Systèmes de contrôle industriels en danger amid tensions US-Iran

Au milieu de tensions US-Iran escaladées, les organisations opérant des infrastructures industrielles connectées doivent renforcer leurs défenses cyber.

« L'impact cyber de l'assassinat du général Qasem Soleimani est profond », a averti Eyal Elyashiv, CEO et co-fondateur de la firme de sécurité réseau Cynamics.

Les analystes de l'industrie notent que la récente flambée US-Iran élargit le risque cyber global. « Nous n'avons pas d'intel insider sur des attaques spécifiques, mais des tensions politiques accrues sont susceptibles de déclencher plus d'assauts cyber », a dit Bill Malik, vice-président infrastructure strategies chez Trend Micro.

Suite à la mort de Soleimani, spécialistes cyber et officiels US ont mis en garde contre la menace qu'adversaires affiliés à l'Iran posent aux systèmes de contrôle industriels.

Certains experts arguent que les attaquants pourraient lancer des incidents cyber plus petits, de diversion, au lieu d'une cyber-guerre à grande échelle. « Supposer un conflit cyber total est prématuré », a noté Andrea Little Limbago, Ph.D., chief social scientist chez Virtru. « L'activité cyber de l'Iran, allant d'attaques destructrices à la désinformation, est pervasive depuis des années et n'est pas spécifiquement liée aux événements récents. »

Au cours de la dernière décennie, les capacités cyber de l'Iran ont dramatiquement grandi. Des chercheurs en sécurité attribuent une gamme d'attaques — incluant des assauts DDoS sur des banques US et du malware custom visant Saudi Aramco — à des acteurs iraniens. En 2015, des rapports alléguaient aussi que des hackers iraniens avaient infiltré le réseau électrique US.

« Les officiels US devraient être profondément concernés par la portée et capacités cyber de l'Iran », a insisté Elyashiv.

Malgré des rapports d'apaisement des tensions bilatérales, une alerte DHS émise le 4 janv. a averti que l'Iran pourrait lancer « des attaques aux effets perturbateurs temporaires contre les infrastructures critiques US. »

La US Cybersecurity and Infrastructure Security Agency (CISA) a également signalé un risque accru d'attaques et cyber-espionnage contre les secteurs stratégiques — finance, énergie, télécommunications — et noté un focus croissant sur les systèmes de contrôle industriels et technology opérationnelle.

Les acteurs iraniens ont un track record de ciblage d'infrastructures US. En 2016, le Justice Department a dévoilé un acte d'accusation contre sept contractors liés aux Islamic Revolutionary Guard Corps pour cyberattaques sur multiples banques et un barrage de New York. Le DHS a aussi averti qu'acteurs affiliés à l'Iran « scout and plan against infrastructure targets, executing cyber-enabled attacks on a range of U.S. sites. »

Les cibles industrielles ne sont pas épargnées. Cyberscoop rapporte que le collectif de hackers lié à l'Iran Advanced Persistent Threat 33 a répétitivement ciblé les secteurs défense, transport et énergie.

Limbago met en garde qu'il est prématuré de s'attendre à ce que l'Iran se concentre sur l'exploitation de vulnérabilités de contrôle industriel imminentemment. « Si les tensions montent davantage, la stratégie peut changer, mais à présent l'activité cyber de l'Iran reste dans la zone grise — en dessous de la guerre ouverte », a-t-elle expliqué. « L'Iran sait que des attaques destructrices sur les infrastructures critiques provoqueraient des représailles. »

L'ancienne exécutive du CIA Counterterrorism Center, Carol Rollie Flynn, prédit que l'Iran lancera des cyberattaques plus petites pour éviter la représaille US. « Elles veulent rester sous le radar », a-t-elle dit.

Limbago a aussi averti que l'Iran pourrait frapper des entités privées sans liens industriels évidents. Elle a cité un incident 2015 où l'ancien directeur du renseignement national James Clapper a attribué une attaque sur Sands Casino à l'Iran, en représailles aux commentaires du CEO Sheldon Adelson. « L'Iran cible typiquement des firmes privées connectées à la branche exécutive pour infliger des dommages financiers sans enflammer une réponse US plus large », a noté Limbago.

Les campagnes de désinformation forment un core de la stratégie cyber de l'Iran. Limbago les a décrites comme « extrêmement prolifiques et globales. » « Ces opérations persisteront tant domestiquement, pour bolster le sentiment pro-gouvernement, qu'internationalement, pour fuel les narratifs anti-américains », a-t-elle ajouté.

Gérer le Cyber Risque

Quel que soit l'évolution des tensions actuelles, le moment offre aux opérateurs d'infrastructures industrielles une chance d'auditer leurs appareils connectés. « Nous exhortons les propriétaires et opérateurs de systèmes de contrôle industriels à inventorier leur technologie, évaluer vulnérabilités, et implémenter des contrôles qui baissent leur surface d'attaque », a conseillé Malik.

Les entités industrielles priorisent l'uptime, ce qui résulte souvent en reliance sur du hardware et software legacy non patchés. « Vous devez regarder au-delà de ces systèmes antiques, car l'histoire montre qu'ils sont facilement compromis », a mis en garde Elyashiv.

L'hygiène cyber reste essentielle, mais David Goldstein, president et CEO de AssetLink Global LLC, insiste sur le besoin de sécurité physique robuste. « La sécurité IIoT n'est pas solely about hardware et software », a-t-il dit.

L'accès physique s'est avéré pivotal dans l'opération Stuxnet 2010 contre l'installation d'enrichissement nucléaire de Natanz en Iran. Des agents doubles liés aux renseignements US et israéliens auraient introduit du malware dans le réseau air-gapped, désactivant finalement environ 1 000 centrifugeuses.

Goldstein note que Stuxnet souligne la nécessité de contrôles d'accès stricts et de confiance. « Avec qui vous collaborez, la confiance que vous placez en partenaires, et qui a l'accès physique sont des facteurs critiques », a-t-il insisté.

Avec la prolifération de l'IoT dans l'industrie, un talent gap émerge : peu d'experts cyber se spécialisent dans les systèmes de contrôle industriels. « Beaucoup d'analystes appliquent des tactiques IT conventionnelles à l'IoT industriel sans account pour les protocoles propriétaires et défis de mise à jour, créant des vulnérabilités significatives », a averti Goldstein.

Des agences fédérales — incluant le Department of Defense — et la MITRE Corporation adressent ce gap avec des frameworks de contrôle industriel comme MITRE ATT&CK for IC. « Ce framework permet aux fabricants, propriétaires et opérateurs d'articuler scénarios d'attaque et reporter vulnérabilités consistently across sectors », a expliqué Malik. « Toutes les organisations devraient l'adopter pour évaluer leur posture de sécurité IC. »

Malik a souligné que la cybersécurité est un voyage continu, pas une destination. « Si les tensions accrues sont de courte durée, les fabricants ont une portée limitée pour fortifier rapidement leur sécurité de production », a-t-il dit.

Il a pointé une vulnérabilité clé : les liens de maintenance terrain. « Quand les vendeurs accèdent à leur équipement pour maintenance ou diagnostic de panne, ces connexions deviennent des vecteurs d'attaque potentiels », a averti Malik.

Malik a exhorté les vendeurs à sauvegarder les données clients en chiffrant le trafic où faisable et sécurisant les mises à jour software. « Ce serait désastreux si un problème mineur chez un client amenait un fabricant à déployer un patch qui introduisait inadvertamment du malware across tout son portefeuille », a-t-il mis en garde.