Protéger les Systèmes de Contrôle Industriels : Stratégies Éprouvées et Bonnes Pratiques

Le rapport annuel Cisco sur la cybersécurité offre une vision complète des tendances mondiales en matière de sécurité et des menaces émergentes. Le rôle croissant de l'Internet des objets (IdO) dans l'industrie a attiré l'attention de nombreux analystes en sécurité et d'acteurs malveillants, en faisant un sujet brûlant du rapport Cisco 2018. Il a été rapporté que 69 % des personnes interrogées considéraient leur équipement de technologie opérationnelle (OT) comme une cible d'attaque viable, tandis que 31 % des professionnels de la sécurité avaient déjà subi un type de cyberattaque sur leur équipement OT.

Alors, comment protéger un système de contrôle industriel ? Comment les organisations peuvent-elles garantir des techniques de sécurité strictes pour leur équipement OT, similaires à celles suivies par l'infrastructure informatique (IT) ?

Il faut bien comprendre qu'en plus d'être vulnérables, les systèmes de contrôle industriels donnent accès au matériel opérationnel d'une entreprise qui détermine directement sa productivité. Si une violation d'un serveur de fichiers peut être dommageable, une prise de contrôle par rançongiciel du système de contrôle industriel peut arrêter les opérations, ou pire, entraîner un comportement opérationnel anormal pouvant mettre en danger des vies humaines.

Sécuriser le Réseau

Premièrement, les organisations industrielles doivent s'assurer d'avoir une bonne conception de réseau, avec des frontières bien définies. La norme ISA CEI 62443 sert de guide pratique pour la segmentation des réseaux. Ensuite, toutes les applications sans fil doivent être sécurisées, et des solutions d'accès à distance doivent être déployées pour la maintenance et le dépannage. En conjonction avec cela, tout l'équipement d'infrastructure réseau doit être surveillé.

Sécuriser les Points d'Extrémité (Endpoints)

La plupart des professionnels OT sont convaincus que les points d'extrémité de leur infrastructure sont solidement sécurisés contre les attaques numériques grâce à des protocoles spécialisés, des pare-feu et des anti-malwares. Cependant, la protection s'érode rapidement et mène à la vulnérabilité lorsque les employés sont autorisés à apporter leurs appareils numériques (ordinateurs portables, smartphones, etc.) au travail et à les connecter au réseau de l'entreprise.

Pour traiter ce problème, les entreprises doivent garantir la sécurité de leurs points d'extrémité, en interdisant au personnel de se connecter aux réseaux d'entreprise. De plus, des politiques numériques doivent être en place, telles que l'interdiction de la connectivité USB, des points d'accès Wi-Fi fantômes, etc.

Une entreprise peut faire le premier pas vers la sécurisation de ses points d'extrémité en commençant par la découverte d'actifs, ce qui l'aidera à effectuer un inventaire de chaque point d'extrémité. Ensuite, elle peut définir des contrôles et les automatiser pour assurer la présence de la protection. Enfin, ces points d'extrémité peuvent être surveillés en permanence, et une réaction peut être déclenchée en cas de modifications non autorisées.

Sécuriser les Contrôleurs

Les environnements industriels sont composés de systèmes physiques tels que des automates (PLC), actionneurs, capteurs, etc. Les contrôleurs agissent comme des ordinateurs spécialisés pour contrôler des équipements industriels hautement diversifiés et, en raison de leur nature de plus en plus sophistiquée, sont sujets aux attaques par logiciels malveillants.

Des cas documentés existent où des acteurs malveillants ont obtenu l'accès à des PLC, PAC ou PC industriels, semant le chaos dans le système, voire causant une destruction physique. L'un des cas les plus célèbres est celui de Stuxnet, lorsque les PLC de Siemens contrôlant des centrifugeuses à grande vitesse ont été ciblés, entraînant des dommages physiques et une perte de productivité irréversible. Une fois de plus, même dans ce cas, le logiciel malveillant a pénétré via le réseau, et si des politiques de contrôle réseau strictes sont établies, de tels épisodes peuvent être évités.

En plus des pare-feu périmétriques et des réseaux privés virtuels, le contrôle d'accès et la journalisation d'activité doivent être mis en œuvre pour garantir que seules certaines personnes ont accès aux systèmes critiques. De plus, la présence de logiciels anti-malware peut aider à intercepter tout code dangereux qui aurait franchi les premières lignes de défense.