Les vulnérabilités de la chaîne d'approvisionnement menacent la sécurité de l'IoT industriel

Les entreprises d'IoT industriel (IIoT) dépendent d'une chaîne d'approvisionnement fiable pour s'approvisionner en matières premières et composants qui maintiennent les lignes de production en marche. Si ces chaînes d'approvisionnement primaires sont étroitement surveillées, une seconde chaîne, souvent négligée, livre le matériel même qui alimente l'infrastructure IIoT. En raison d'une transparence limitée, les origines des composants internes des appareils IIoT sont difficiles à tracer, et beaucoup arrivent avec des failles de sécurité exploitables.

Avec un seul appareil IIoT souvent assemblé à partir de dizaines de fournisseurs mondiaux, le risque de vulnérabilités intégrées se multiplie. Le rapport Finite State Supply Chain Assessment 2019 de Finite State note que les composants passent par plusieurs couches de fournisseurs et d'intégrateurs avant d'être intégrés sur une carte, testés, et expédiés par l'OEM.

Risques réels et multiples pour les infrastructures IIoT

Les opérateurs de réseau reconnaissent les risques de la chaîne d'approvisionnement, mais identifier des vulnérabilités spécifiques est un défi. Les déploiements IIoT s'étendent souvent au-delà des murs du fabricant vers les expéditeurs, marchands et partenaires. À mesure que le réseau grandit, la chance que du code malveillant se propage — et que du firmware apparemment bénin expose des ports ouverts — augmente.

Matt Wyckhouse, CEO de Finite State, observe que de nombreux systèmes embarqués contiennent des vulnérabilités cachées dont les propriétaires d'actifs ne sont pas conscients. Une violation peut devenir un point d'appui pour les attaquants pour infiltrer les systèmes d'entreprise, compromettant les systèmes de contrôle industriels (ICS), les processus de production et les données critiques de l'entreprise. Le problème s'amplifie quand les mises à jour firmware sont retardées ou jamais appliquées.

L'enquête The State of Industrial Cybersecurity de juillet 2019 d'ARC Advisory Group a révélé que 26 % des répondants considéraient les menaces tierces, comme les risques de chaîne d'approvisionnement ou de partenaires, comme une préoccupation majeure, tandis que 44 % les voyaient comme une préoccupation mineure. Notamment, les ransomwares (70 %) et les attaques ciblées (68 %) pourraient être lancés via une violation de la chaîne d'approvisionnement.

Dans la même enquête, 28 % des répondants estimaient « très probable » ou « assez probable » que leur ICS soit ciblé. L'enquête Global Connected Industries Cybersecurity Survey 2019 d'Irdeto a révélé que seulement 17 % des appareils IoT utilisés par les grandes entreprises étaient restés sans attaque l'année précédente.

Pour plus sur la sécurité IoT, inscrivez-vous à notre IoT Security Summit ce décembre.

Comment les chaînes d'approvisionnement IIoT sont compromises

Contrairement aux perturbations conventionnelles de la chaîne d'approvisionnement qui arrêtent la production, les violations IIoT sont dissimulées, se déroulant souvent sur des semaines ou des mois. Les attaquants compromettent généralement des fournisseurs IIoT de niveau 2, infiltrent leurs sites web, et remplacent le firmware légitime par des versions trojanisées. Les administrateurs réseau peuvent télécharger et déployer ce firmware malveillant sans le savoir, donnant aux attaquants un point d'appui à l'intérieur des pare-feu de l'usine.

Une fois à l'intérieur, les attaquants peuvent se propager des réseaux industriels vers les réseaux de données d'entreprise, créant un effet multiplicateur. Les appareils plus anciens — capteurs et composants en place depuis une décennie ou plus — posent des risques plus élevés en raison du support et du patching obsolètes. La recherche de Finite State a cité un composant Huawei utilisant une version OpenSSL de 2003, une vulnérabilité bien documentée.

Les backdoors — qu'il s'agisse de ports de débogage intentionnels ou de points d'accès API cachés — peuvent aussi servir de routes d'entrée pour des acteurs malveillants. Dans de nombreux cas, les fabricants laissent ces ports ouverts pour aider le support, fournissant involontairement aux attaquants un accès facile. Certains pays pourraient même exporter des produits avec des backdoors intentionnels pour voler la propriété intellectuelle.

Des recherches de l'École d'Ingénierie Tandon de l'Université de New York soulignent que l'IoT reste largement non réglementé en termes de standards de sécurité. Les propriétaires d'appareils ont peu de contrôle sur les chaînes d'approvisionnement amont, et de nombreux fournisseurs ne divulguent pas leurs pratiques de cybersécurité.

Objectifs des acteurs malveillants

Les attaques visent souvent les ransomwares, qui peuvent arrêter la production jusqu'au paiement d'une rançon. Les perturbations des lignes de production — via des données de capteurs altérées ou des réglages de machine dangereux — peuvent mener à des produits défectueux et des risques de sécurité. Un rapport de mars 2020 sur les meilleures pratiques de sécurité OT a averti que de telles violations menacent la sécurité humaine, l'environnement et les économies nationales.

Les secteurs à haut profil — énergie, réseaux électriques, pétrole et gaz, et de plus en plus la santé pendant la pandémie — sont des cibles de choix. Wyckhouse de Finite State note une hausse des attaques ransomware sur les hôpitaux, tandis que Byres d'Adolus identifie le secteur médical comme un nouvel environnement riche en cibles.

Au-delà des motifs financiers, les attaquants peuvent chercher la propriété intellectuelle ou utiliser la chaîne d'approvisionnement comme point d'appui initial pour infiltrer les réseaux d'entreprise.

Atténuer les faiblesses de la chaîne d'approvisionnement IIoT

Une défense efficace commence par un inventaire complet de tous les appareils IIoT. Suivez cela avec une évaluation des risques de la chaîne d'approvisionnement qui identifie les risques macro — comme les ransomwares et le vol de données — et évalue les vulnérabilités spécifiques de chaque appareil.

Envisagez d'isoler le trafic IIoT via air-gapping pour séparer les réseaux OT des réseaux IT. Évaluez les fournisseurs au point d'achat ; la posture de sécurité du fournisseur est la plus évaluable lors de l'approvisionnement. Pour les achats à haut volume, établissez un processus de vérification formel pour assurer des standards de sécurité cohérents.

Exigez plus qu'une déclaration de sécurité — demandez des rapports de sécurité détaillés ou des évaluations tierces. Exploitez des ressources publiques comme la Base de Données Nationale des Vulnérabilités (NVD) du National Institute of Standards and Technology (NIST) pour croiser les Common Vulnerabilities and Exposures (CVEs).

Des services émergents adressent ces défis. Adolus, né d'une initiative du Département de la Sécurité Intérieure des États-Unis, offre une base de données qui suit la lignée des appareils, les origines des composants et les vulnérabilités connues. Finite State fournit des outils d'analyse de firmware qui détectent les risques cachés et réévaluent les profils de risque après les mises à jour.