Le nouveau cadre de sécurité IoT du NIST (NISTIR 8228) : implications pour vos dispositifs

Début 2024, l'Institut National des Standards et de la Technologie (NIST) a publié le projet de publication NISTIR 8228, intitulé « Considérations pour la gestion des risques de cybersécurité et de confidentialité de l'Internet des Objets (IoT) ». Il pose les bases d'une série de documents de guidance visant à aider tant les agences fédérales que les organisations du secteur privé à atténuer les menaces uniques posées par les dispositifs IoT.

Le NISTIR 8228 identifie trois vulnérabilités de sécurité critiques communes aux dispositifs IoT et décrit trois objectifs globaux pour l'atténuation des risques. Le document est une ressource pratique et actionnable pour quiconque est responsable du déploiement ou de la gestion de l'IoT en environnement corporate ou gouvernemental.

NISTIR 8228 : décortiquer les menaces de sécurité fondamentales de l'IoT

Contrairement aux équipements IT traditionnels — ordinateurs, tablettes ou smartphones — les dispositifs IoT tournent sur des systèmes d'exploitation personnalisés, souvent propriétaires, difficiles à surveiller ou patcher pour les équipes IT. Comme ces dispositifs sont fréquemment connectés à Internet, ils peuvent devenir des points d'entrée dans des réseaux par ailleurs sécurisés. Quand un attaquant exploite une vulnérabilité dans le firmware d'un dispositif, il peut utiliser ce point d'appui pour lancer des attaques sur n'importe quel hôte du réseau. Le vecteur le plus courant est une tentative de force brute SSH qui tire parti des identifiants par défaut.

Au-delà de l'accès réseau non autorisé, les dispositifs IoT ont été recrutés dans d'immenses botnets lançant des attaques par déni de service distribué (DDoS). La panne Dyn de 2016, le plus grand événement DDoS de l'histoire, a démontré comment des millions de dispositifs IoT non sécurisés furent cooptés pour submerger l'infrastructure DNS. Les attaquants exploitèrent des failles de firmware pour compromettre chaque dispositif, puis orchestrer des tempêtes de trafic qui paralysèrent les principaux services Internet.

Plus alarmant encore, certains dispositifs IoT peuvent manipuler directement des systèmes physiques — CVC, ascenseurs, contrôles d'arrosage, etc. S'ils sont détournés, ces dispositifs peuvent causer des dommages physiques ou mettre en danger la sécurité.

Vous cherchez un moyen sécurisé de déployer un système de suivi IoT ? Planifiez une démo gratuite avec LinkLabs.

Cadre IoT du NIST : recommandations pratiques sur le cycle de vie du dispositif

Pour adresser les risques identifiés, le NIST recommande un ensemble d'actions couvrant tout le cycle de vie du dispositif IoT :

• Réaliser une évaluation de risque approfondie pour comprendre le paysage de menaces spécifique.
• Réviser les politiques et procédures organisationnelles pour les aligner sur les risques spécifiques à l'IoT.
• Implémenter des pratiques d'atténuation robustes, basées sur des preuves — de la segmentation réseau à la gestion sécurisée du firmware.

Les fabricants sont exhortés à intégrer sécurité et confidentialité dans leurs produits dès la conception. Cependant, le marché contient encore des millions de dispositifs legacy qui manquent de ces garde-fous. Combler cet écart prendra du temps, et les concepteurs doivent équilibrer sécurité et contraintes de coût.

Différentes catégories IoT exigent des couches de sécurité variables. Certains dispositifs ne requièrent qu'une protection au niveau dispositif, d'autres ont besoin de chiffrement des données et de safeguards de confidentialité en plus de la sécurité du dispositif. Le NISTIR 8228 appelle les organisations à évaluer le niveau de protection approprié pour chaque dispositif déployé.

Si le cadre offre un point de départ précieux, ce n'est que la première étape. Les futures guidances devront s'attaquer à la construction de dispositifs sécurisés et rentables et à la protection de l'écosystème IoT existant.

Deux ans après l'incident Dyn, de nombreuses vulnérabilités demeurent non adressées. Les entreprises doivent se demander : Comment atténuer les risques des dispositifs IoT que nous utilisons actuellement pour le suivi et la surveillance d'actifs ?

Pour de petites flottes, changer simplement les mots de passe par défaut est une première ligne de défense efficace. Pour les déploiements plus larges — centaines ou milliers de dispositifs — cette approche est impraticable vu le temps et la main-d'œuvre requis.

LinkLabs offre une solution complète. Notre système AirFinder isole les dispositifs IoT sur des réseaux dédiés qui évitent les protocoles IP standards, rendant le compromis difficile. Pour les déploiements à grande zone, notre plateforme Symphony Link incorpore une infrastructure à clés publiques (PKI) répondant aux standards NSA, supporte les mises à jour firmware over-the-air, l'échange de clés AES en temps réel, et le TLS de grade bancaire pour le trafic réseau. Ces fonctionnalités permettent un patching rapide et une communication sécurisée sans accès physique au dispositif.

Pour apprendre comment LinkLabs peut protéger vos déploiements IoT des risques décrits dans le NISTIR 8228, contactez-nous aujourd'hui et sécurisez vos actifs avec une technologie éprouvée de grade industriel.