Ne laissez pas les logiciels creuser un trou dangereux dans les réseaux de nouvelle génération et l'IoT

Dmitry Kurbatov de Positive Technologies

Une fois déployée, la gestion des réseaux mobiles était auparavant relativement simple. La voix et le texte avaient une certaine prévisibilité. Hormis les événements spéciaux, l'utilisation de ces deux services se déroulerait dans le cadre d'un ensemble de paramètres que l'équipe d'exploitation du réseau prospective pourrait estimer avec une précision suffisante pour empêcher les problèmes de se produire.

Entrez dans le nouveau monde de l'Internet mobile, et avec lui, un tout nouvel ensemble de variables. Les opérateurs ont découvert (parfois à leurs dépens) que les utilisateurs trouveraient un moyen de les surprendre, que ce soit avec des applications lourdes en données, le partage de connexion ou un certain nombre d'utilisations inattendues de la connexion Internet. La réaction instinctive était la limitation de certains services, des coûts supplémentaires pour utiliser le Web mobile d'une certaine manière ou parfois un blocage pur et simple, explique Dmitry Kurbatov, responsable de la sécurité des télécommunications chez Positive Technologies .

L'émergence du monde assoiffé de données de l'IoT déplace ce problème dans un tout nouveau monde. Non seulement il y aura les mêmes surprises inattendues, mais la promesse de la 5G a été fortement vendue en tant que connecteur universel. Les objets autrefois inanimés consomment désormais de la bande passante, souvent de manière inefficace.

Heureusement, le darwinisme numérique fonctionne dans les deux sens. Dans l'espace a évolué le nouveau monde brillant de NFV et SDN. Besoin de capacité rapidement, ou vous souhaitez provisionner un nouveau service ? C'est simple, cliquez dessus, faites-le glisser là-bas et le problème est résolu, n'est-ce pas ?

Pas exactement. Si le développement d'un tel logiciel facilite sans aucun doute la tâche des opérateurs, il fait également ce que les acteurs de l'industrie de la cybersécurité craignent le plus, en centralisant le contrôle de quelque chose de très important et en le connectant à Internet. Il s'agit d'une pratique qui crée une cible pour un pirate informatique, un atout qui, avec suffisamment de temps et de ressources par une équipe créative et dotée de ressources suffisantes, pourrait être exploité. C'est quelque chose que les entreprises disposant de bases de données clients ou financières importantes ont appris à leurs risques et périls au cours des dernières années. Mettre les bijoux du roi dans un seul coffre en fait une cible.

Comprendre cet état d'esprit est la première étape cruciale de la sécurisation de tout réseau. Deuxièmement, et tout aussi important, est en fait de faire quelque chose à ce sujet. Cela semble évident, mais les équipes de sécurité et d'exploitation du réseau sont bombardées d'un million et une tâches alors qu'elles se préparent à passer à leur nouveau réseau virtualisé, chacune étant prioritaire et absorbant des ressources limitées alors que les échéances défilent à une vitesse terrifiante.

Obtenir un point de vue externe sur la sécurité est vital ici. Ceux qui ont participé à leur planification et à leur déploiement sont intrinsèquement biaisés. Ce n'est pas une critique, n'importe quelle équipe au milieu d'un déploiement technologique complexe ne pourra pas voir le bois pour les arbres. Donner à quelqu'un en dehors de cela le mandat de casser des choses peut être un apprentissage précieux. Comme mentionné précédemment, la connaissance de l'état d'esprit des pirates informatiques est un outil défensif précieux. Le fait d'employer une équipe ayant pour mission spécifique de trouver des problèmes peut donc être une révélation.

Cette équipe doit avoir la liberté de tout auditer, du code utilisé dans les zones critiques de votre déploiement à l'évaluation de la visibilité de votre réseau depuis « l'extérieur ». De nombreux opérateurs supposent qu'ils n'ont aucune visibilité sur l'Internet au sens large, mais ce n'est pas toujours le cas d'après notre expérience. Un seul point d'accès visible ou une connexion mal configurée suffit parfois pour créer un profil d'attaque. Considérez-le comme une faille dans votre armure.

Cela vaut pour toutes les interconnexions de réseau. L'infrastructure mobile sous-jacente, basée sur des protocoles SS7 obsolètes ou sur son nouveau prédécesseur Diametre, est de plus en plus insuffisante. Les vulnérabilités techniques de l'infrastructure sous-jacente offrent aux attaquants une porte ouverte par laquelle marcher. Une fois à l'intérieur, un attaquant n'a pas besoin d'un grand nombre d'étapes latérales pour accéder à des points de contrôle centraux cruciaux.

La prétendue difficulté pour un attaquant d'accéder physiquement à ces points a déjà été utilisée pour diffuser le spectre de ce risque particulier. Cependant, l'accès à une passerelle est de plus en plus facile via le marché noir, ou il peut même être obtenu directement via un équipement de support piraté ou des femtocells.

N'étant pas un pour la peur, l'incertitude et le doute, je m'abstiendrai de décrire les scénarios apocalyptiques que de telles faiblesses peuvent provoquer dans un monde où tout est connecté. Je ne prétends même pas pouvoir deviner les multiples. Autant dire qu'il suffit de se promener dans le Mobile World Congress pour voir la pléthore d'appareils très importants qui dépendront finalement de la connectivité mobile sous une forme ou une autre. Imaginez maintenant que quelqu'un surcharge malicieusement des zones critiques ou détourne des capacités ailleurs, et l'impact parle de lui-même.

Les logiciels et la virtualisation sont une bonne chose pour l'industrie mobile, en général. Il aide les opérateurs à être plus efficaces et à adopter l'innovation, tout en réduisant les OPEX. Cependant, j'exhorte les réseaux mobiles à ne pas se précipiter dans ce monde utopique sans considérer les implications de sécurité. Prendre quelques étapes relativement simples avant le déploiement et maintenir une surveillance continue peut faire la différence entre construire quelque chose de spécial et simplement créer un autre point de risque.

L'auteur de ce blog est Dmitry Kurbatov, responsable de la sécurité des télécommunications chez Positive Technologies