Les systèmes de contrôle industriels face à un risque cyber accru amid tensions US-Iran

Le récent pic de tensions US-Iran a intensifié le paysage de menaces pour les systèmes de contrôle industriels (ICS). Les organisations opérant des infrastructures industrielles connectées doivent maintenant adopter une posture de sécurité plus vigilante.

Eyal Elyashiv, CEO et co-fondateur de Cynamics, a averti que l'impact cyber découlant de l'assassinat du général iranien Qasem Soleimani pourrait être significatif.

Les analystes de l'industrie notent que le conflit US-Iran accru élève le risque cyber global. Bill Malik, VP infrastructure strategies chez Trend Micro, a déclaré : « Nous n'avons pas de connaissance interne de plans d'attaque spécifiques, mais il est logique que des tensions politiques croissantes puissent déclencher plus de cyberattaques. »

Après l'assassinat, de nombreux experts en cybersécurité et officiels du gouvernement US ont émis des avertissements sur le risque accru d'attaques d'adversaires affiliés à l'Iran.

Andrea Little Limbago, Ph.D., chief social scientist chez Virtru, a mis en garde que la probabilité de cyberattaques plus petites, orientées diversion, est plus élevée qu'une cyber-guerre totale. Elle a ajouté : « L'activité cyber de l'Iran — des attaques destructrices à la désinformation — est répandue depuis un bon moment. Ce n'est pas nouveau et pas lié aux événements de cette semaine. »

Au cours de la dernière décennie, les capacités cyber de l'Iran se sont dramatiquement étendues. Les analystes ont attribué une gamme d'attaques — incluant des assauts denial-of-service sur les banques US et du malware custom ciblant Saudi Aramco — à des acteurs iraniens. En 2015, des rapports alléguaient que des hackers iraniens avaient infiltré le réseau électrique US.

Les officiels US devraient rester hautement concernés par la portée cyber de l'Iran, a insisté Elyashiv.

Une alerte du Department of Homeland Security émise le 4 janv. a averti que l'Iran pourrait, au minimum, lancer des attaques aux effets perturbateurs temporaires contre les infrastructures critiques US.

De même, la US Cybersecurity and Infrastructure Security Agency a souligné un risque accru de cyber-espionnage et d'attaques contre la finance, l'énergie, les télécommunications et les systèmes de contrôle industriels.

L'acte d'accusation 2016 du US Justice Department a inculpé sept contractors iraniens liés aux Islamic Revolutionary Guards Corps pour cyberattaques sur plusieurs banques et un barrage de New York. Le DHS a aussi averti d'acteurs iraniens « scouting and planning against infrastructure targets and cyber-enabled attacks against a range of U.S.-based targets. »

Dans le secteur industriel, un collectif de hackers connu sous le nom d'Advanced Persistent Threat 33, lié à l'Iran, a ciblé des organisations de défense, transport et énergie, selon Cyberscoop.

Limbago croit qu'au niveau actuel de tensions, l'Iran est peu susceptible de prioriser l'exploitation de vulnérabilités ICS explicites à court terme. Elle a noté que « l'Iran comprend que des attaques destructrices sur les infrastructures critiques déclencheraient probablement escalade et représailles. »

L'ancienne directrice exécutive du CIA Counterterrorism Center, Carol Rollie Flynn, prédit que les acteurs iraniens se concentreront sur des cyberattaques plus petites pour éviter la provocation.

Limbago suggère aussi que les adversaires iraniens pourraient cibler des organisations du secteur privé sans lien ICS évident. Le précédent historique, comme l'attaque 2015 du Sands Casino alléguément liée à l'Iran, supporte cette approche.

La désinformation reste un composant central de la stratégie cyber de l'Iran. Limbago a décrit ces opérations comme « extrêmement prolifiques et globales », visant à renforcer le soutien domestique et semer le sentiment anti-américain mondial.

Gérer le cyber-risque

Quel que soit le paysage géopolitique évolutif, les opérateurs industriels doivent auditer leurs appareils connectés. Malik recommande de revoir les inventaires technologiques, d'évaluer les vulnérabilités, et d'appliquer des contrôles pour réduire les surfaces d'attaque.

Puisque l'uptime est primordial, de nombreux environnements industriels continuent d'utiliser du hardware et software legacy non patchés. Elyashiv a mis en garde que « les organisations doivent regarder au-delà de ces systèmes antiques protégeant actuellement les infrastructures critiques, car l'histoire récente montre clairement qu'ils peuvent être facilement compromis. »

David Goldstein, president et CEO de AssetLink Global LLC, a insisté que sécuriser l'IIoT requiert plus que hardware et software. « La réponse à la sécurité IIoT n'est pas entièrement dans le hardware et le software », a-t-il dit.

L'attaque Stuxnet sur l'installation d'enrichissement nucléaire de Natanz en Iran a exemplifié l'importance des contrôles d'accès physique. Dans cette opération, des agents doubles ont installé du malware sur un réseau central air-gapped, détruisant finalement environ 1 000 centrifugeuses.

Goldstein a souligné que la confiance et le contrôle d'accès sont critiques. Il a demandé : « Avec qui travaillez-vous, en qui avez-vous confiance, qui a les credentials pour entrer dans votre système, qui a l'accès physique ? La confiance entre acteurs et partenaires deviendra de plus en plus importante à mesure que les systèmes IoT imprègnent tout. »

À mesure que les technologies IoT se répandent dans les contextes industriels, une pénurie d'experts cyber familiers avec les systèmes de contrôle industriels persiste. Goldstein a noté que la plupart des analystes appliquent des techniques IT génériques à l'IoT industriel, ignorant les protocoles propriétaires et défis de mise à jour, qui posent des vulnérabilités significatives.

Des organisations comme le US Department of Defense et MITRE Corp. comblent ce gap avec des frameworks comme MITRE ATT&CK for ICs. Malik a expliqué que ce framework permet aux fabricants, propriétaires et opérateurs de discuter scénarios d'attaque et reporter vulnérabilités consistently across sectors.

Malik a insisté que la cybersécurité est un voyage, pas une destination. Donnée la nature à court terme des tensions actuelles, il a dit : « Il y a peu que les fabricants IC peuvent faire pour renforcer rapidement leur posture de sécurité de production. »

Il a aussi identifié une vulnérabilité spécifique : les liens de maintenance terrain utilisés pour le diagnostic peuvent devenir des vecteurs d'attaque. Malik a exhorté les vendeurs à sécuriser les données clients, chiffrer le trafic quand possible, et assurer que les mises à jour software sont exemptes de malware.