Leçons de sécurité IIoT tirées de l'attaque DDoS Mirai

L'attaque DDoS Mirai qui s'est déroulée vendredi dernier a exposé une faiblesse fondamentale dans les déploiements IoT d'aujourd'hui. Bien qu'elle ait ciblé des dispositifs grand public, les mêmes vulnérabilités résonnent dans les environnements industriels. Le botnet a exploité des dizaines de millions d'adresses IP, tirant parti de mots de passe par défaut définis par les fabricants, notoirement faciles à deviner. Combien d'opérateurs industriels ont rencontré le même dilemme du mot de passe par défaut ? Plus important encore, combien ont déjà audité leurs dispositifs pour confirmer un changement de mot de passe ? Les chiffres suggèrent que cette dernière pratique est rare.

Bien qu'il puisse sembler que les réseaux industriels sont isolés de telles attaques à grande échelle, la stratégie d'attaque sous-jacente est directement applicable. En compromettant un ou plusieurs dispositifs périphériques, un adversaire peut lancer des attaques secondaires contre des actifs critiques ou des réseaux entiers. Les défenseurs industriels doivent donc anticiper et atténuer ce vecteur d'« attaque latérale ».

1. Les dispositifs sont déployés sur des sites distants, difficiles à gérer, où les mises à jour logicielles sont sporadiques ou absentes.
2. Ils opèrent de manière autonome avec une supervision minimale ; les administrateurs les configurent souvent une fois et les oublient.
3. Ils se connectent à des réseaux plus larges et partagent des données, augmentant l'exposition.
4. Les vecteurs de compromission sont généralement simples et peu coûteux.
5. La sécurité du transport réseau est souvent insuffisante, laissant les données vulnérables.
6. Puisque les dispositifs compromis ne sont que des tremplins, les fabricants ont peu d'incitation à investir dans une sécurité robuste.

Ces caractéristiques reflètent-elles votre environnement industriel ? Elles le font, et l'histoire le confirme. L'attaque de 2015 sur le système de distribution d'électricité SCADA en Ukraine a démontré que la confiance dans l'isolation et l'anonymat ne suffit plus. À mesure que plus de dispositifs industriels s'intègrent à Internet et aux réseaux privés, la surface d'attaque s'élargit. Les menaces peuvent aussi entrer par intrusion physique (ex: Stuxnet) ou en exploitant des logiciels mal conçus. L'hypothèse qu'un réseau peut être parfaitement gardé est irréaliste ; au lieu de cela, nous devons concevoir pour la présence d'adversaires internes.

La première ligne de défense est le durcissement des dispositifs. Les industries doivent adopter des pratiques complètes de signature et de sécurité couvrant puces matérielles, systèmes d'exploitation, bibliothèques et applications. Le démarrage sécurisé, les mécanismes de chaîne de confiance et les firmwares signés sont des prérequis essentiels pour tout déploiement industriel.

Même avec une sécurité robuste des dispositifs, nous ne pouvons pas supposer que tous les participants du réseau restent non compromis. Les données industrielles sont critiques et doivent être protégées à chaque couche.

Voici la norme OMG Secure DDS et RTI Connext® DDS Secure — des solutions qui intègrent la sécurité directement dans l'infrastructure de distribution de données. RTI Connext DDS, construit sur la norme OMG Secure DDS, offre :

1. Authentification de découverte
2. Contrôle d'accès centré sur les données
3. Protection cryptographique
4. Étiquetage et journalisation
5. Non-répudiation
6. Multicast sécurisé

Ces capacités sont agnostiques au transport et prêtes à brancher, permettant aux organisations de remplacer les bibliothèques de sécurité sous-jacentes via des API standard sans modifier la logique applicative.

Distinctions clés de Secure DDS par rapport aux outils de sécurité réseau traditionnels :

1. La sécurité est intégrale à l'infrastructure et reflétée dans les métriques de Quality-of-Service.
2. Elle supporte un contrôle d'accès granulaire au niveau topic de données — ce qu'on appelle la sécurité des flux de données.
3. Elle permet un mélange configurable de chiffrement, authentification et contrôle d'accès adapté à chaque topic de données.
4. La configuration pilote la sécurité ; les développeurs d'applications peuvent se concentrer sur la fonctionnalité tandis que les architectes gèrent les politiques de sécurité.

Secure DDS délivre un paradigme fondamentalement différent : la sécurité cuite dans le tissu du réseau dès le premier jour. Cela conduit à un déploiement plus simple, une performance plus élevée et une résilience accrue. Nos clients, qui comptent sur DDS Secure pour certaines des applications industrielles les plus critiques, en attestent l'efficacité.

Les outils sont déjà disponibles ; l'étape suivante est de les adopter et de tracer un chemin de migration vers ce modèle sécurisé. En savoir plus sur RTI Connext DDS Secure ici et contactez-nous pour explorer comment les solutions RTI peuvent protéger votre environnement IIoT.

[i] https://www.techrepublic.com/article/dyn-ddos-attack-5-takeaways-on-what-we-know-and-why-it-matters/

[ii] https://www.computerworld.com/article/3134746/security/fridays-iot-based-ddos-attack-has-security-experts-worried.html