Sécuriser l'IdO : Protéger les vies avant que les pirates ne frappent

Robert Haim d'ACG Research explique pourquoi l'Internet des objets (IdO) doit être fortifié avant que des acteurs malveillants ne puissent causer du tort.

L'ancien vice-président américain Dick Cheney a célèbrement désactivé l'accès sans fil à son pacemaker pour éviter une crise cardiaque induite par des terroristes. Dans le film de 2007 « Live Free or Die Hard », des criminels ont détourné les feux de signalisation de Washington, D.C., les passant tous au vert et créant le chaos. Ces incidents réels et fictifs illustrent le potentiel létal de systèmes IdO compromis.

Avec des milliards de capteurs et actionneurs connectés dans le monde, une sécurité faible n'est qu'une question de temps avant que les attaquants ne prennent le contrôle, ne déclenchent des comportements dangereux ou ne manipulent les opérateurs humains pour qu'ils prennent de mauvaises décisions.

Comment arrêter cela avant qu'une tragédie ne survienne ? La réponse réside dans des pratiques de sécurité robustes adaptées aux contraintes uniques de l'IdO.

Repérer l'attaque. Stopper l'attaque

Le défi d'atteindre un réseau IdO « sécurisé » est que la sécurité est intrinsèquement un objectif négatif – vous devez tenir les adversaires à distance sans connaître leurs capacités exactes. De nombreux terminaux IdO manquent de mémoire pour des piles de sécurité sophistiquées, nous forçant à repenser les stratégies de protection.

« Nous devons protéger le dispositif lui-même et planifier ce qui se passe s'il est compromis », note Haim. Étonnamment, 55 % des entreprises ne peuvent pas identifier la source de leurs menaces.

Regarder les actions, pas seulement l'identité

Mark McGovern de CA Technologies souligne que le comportement de l'utilisateur prime sur les identifiants. « Qu'il s'agisse d'une institution financière gérant 100 millions d'utilisateurs ou d'une compagnie de câble, la vraie question est ce qu'un acteur authentifié fait, pas qui il prétend être », dit-il.

L'analytique de CA surveille les motifs et signale les anomalies qui divergent du comportement historique, renforçant les modèles de machine learning et consolidant la confiance.

Commencer par la modélisation des menaces

John Michelsen de Zimperium met en avant la nécessité de la modélisation des menaces au niveau du dispositif. « Avant qu'un produit IdO n'atteigne le marché, identifiez chaque vecteur d'exploitation possible au niveau dispositif, réseau et application », conseille-t-il.

Au Black Hat 2017, 13 des 15 poignées de porte automatisées ont été compromises en quelques heures, soulignant qu'au moins 70 % des dispositifs IdO grand public restent piratables.

Tout le monde doit regarder vers l'extérieur

Roark Pollock de Ziften argue que les tests internes seuls sont insuffisants. « Les audits externes, certifications partenaires et revues de la communauté open source sont essentiels pour valider les contrôles de sécurité », dit-il.

« Ne comptez pas uniquement sur vos ingénieurs », avertit Pollock. Les experts externes et l'examen communautaire peuvent révéler des vulnérabilités cachées.

Utiliser l'intelligence artificielle pour surveiller l'identité

Hank Skorny de Neustar explique que l'identité est probabiliste. « Vous devez continuellement défier et affiner les assertions d'identité en utilisant le machine learning, en surveillant chaque interaction en temps réel », déclare-t-il.

Les modèles pilotés par l'IA détectent les motifs malveillants plus vite que les analystes humains, permettant une intervention instantanée.

Prouver la confiance à travers de multiples domaines

Les lois de protection des données comme HIPAA ou les statuts de sécurité nationale exigent des sauvegardes strictes. Zebra Sports, fournisseur de télémétrie pour athlètes, illustre comment les équipes sportives appliquent les mêmes principes de sécurité rigoureux utilisés dans les contextes militaires et industriels.

John Pollard de Zebra Sports note que la capture de données de performance sans précédent pour les équipes NFL exige une protection identique à toute télémétrie sensible, de la guidance de missiles aux équipements hospitaliers.

Créer des zones de confiance – et les faire respecter

Tous les utilisateurs n'ont pas besoin du même accès. Le personnel IT hospitalier peut avoir besoin de vérifier les données des pompes de dialyse sans les voir, tandis que les techniciens terrain doivent avoir un accès limité, basé sur les rôles. Sanjeev Datla de Lantronix souligne que les zones de confiance doivent être définies par les responsabilités, pas seulement les identifiants.

L'analytique comportementale aide à identifier les valeurs aberrantes – actions qui dévient du motif normal d'un utilisateur – déclenchant des alertes et exigeant une approbation de niveau supérieur.

Ne jamais oublier : tout est connecté

Pollock observe que les dispositifs IdO modernes sont essentiellement des PC complets, pourtant ils sont souvent traités comme des capteurs « bêtes ». « Tous les dispositifs connectés doivent être surveillés pour l'état et l'hygiène. Le durcissement, la surveillance comportementale et la vérification externe sont non-négociables », affirme-t-il.

Lorsque les dispositifs ou applications IdO sont vulnérables, des vies peuvent être en jeu.

L'auteur est Robert Haim, analyste principal – Analyse métier & IdO, ACG Research