Comment de bons soins transforment des bébés écureuils abandonnés en animaux de compagnie heureux

Rencontrez Humphrey

Humphrey est un écureuil gris qu'un ami a sauvé comme bébé abandonné. Pendant des semaines, mon ami et sa famille ont nourri le petit à la main. En grandissant, Humphrey est devenu très proche des membres de la famille, se perchant souvent sur leurs épaules et se blottissant dans leurs bras pour faire la sieste. Il avait la liberté de la maison et un panier pour dormir, qu'il utilisait la nuit. Quand il a été assez fort pour survivre seul, la famille l'a relâché dans la nature pour qu'il vive sa vie d'écureuil gris en bonne santé. Ayant gardé de l'affection pour sa famille humaine, Humphrey a construit un nid dans un arbre juste devant leur porte arrière et saute encore sur les genoux et épaules quand la famille est dehors ensemble.

Le « conte » de deux villes

Comment l'histoire d'un écureuil sauvé se connecte-t-elle à notre sujet d'actualité, la cybersécurité ? En y réfléchissant, il existe une vulnérabilité rampante et significative pour les particuliers et les entreprises, qui fait écho à l'histoire d'Humphrey.

Dans notre société technologique, les « objets connectés », ou Internet des objets (IoT), prolifèrent. Le terme IoT représente la pléthore d'objets connectés à Internet offrant des avantages utiles mais ciblés. Une estimation de SecurityToday.com prévoit 31 milliards (avec un b) d'appareils IoT installés en 2020 et plus de 75 milliards d'ici 2025 ! Chez moi, réfrigérateur, four, thermostat, sonnette, TV, détecteurs de fumée sont connectés. S'y ajoutent cafetières « intelligentes », mijoteuses, ampoules, enceintes, et la liste s'allonge. Bientôt, tout ce qui se branche sur le secteur se « branchera » aussi sur Internet.

Quelle est la préoccupation cybersécurité qui hante chaque RSSI et devrait hanter chaque particulier et fabricant ? La réalité : les appareils IoT sont conçus pour être fonctionnels, peu chers, faciles à configurer et à utiliser, mais pas nécessairement sécurisés. Résultat : une base d'installation en croissance rapide d'appareils faiblement sécurisés, offrant un terrain de jeu aux hackers. La vraie vulnérabilité n'est pas nécessairement la perte de fonction d'un appareil IoT, mais l'offre d'une porte dérobée vers un réseau d'entreprise ou domestique, exposant potentiellement des données précieuses au vol ou à la destruction. C'est ainsi que Target a été piraté en 2013, causant plus de 200 millions $ de pertes.

C'est dingue !

Arrêtez-vous et considérez les données précieuses sur votre réseau domestique ou professionnel. Si un pirate s'infiltre et lance une attaque par ransomware, vous coupant l'accès à toutes ces informations, pourriez-vous récupérer sans payer la rançon ? Pire : si le pirate détruit d'abord vos sauvegardes avant le ransomware. Avez-vous des sauvegardes hors ligne pour récupérer ? On pourrait s'arrêter là et écrire un exposé sur la nécessité d'une solution de sauvegarde résiliente, mais ce sera pour un autre jour.

En repensant au sauvetage d'Humphrey, on reconnaît vite les risques de manipuler un animal sauvage. Humphrey est mignon, mais il a des griffes acérées, des dents pointues et des mâchoires puissantes. Si on ne se concentre que sur sa beauté sans prendre de précautions de sécurité raisonnables, un passage aux urgences n'est pas exclu. De même, avec nos appareils IoT, si on ne se concentre que sur leur fonctionnalité en ignorant leurs risques de sécurité inhérents, on fait simplement la queue, en attendant que nos données et systèmes soient victimisés.

La cage à écureuil

Pour protéger nos données sensibles des pirates, nous devons reconfigurer nos réseaux pour profiter des bénéfices fonctionnels de nos appareils IoT tout en les séparant de nos systèmes de données précieux. Les termes réseaux pour cela sont ségrégation et isolation.

Revenons à Humphrey : il n'a heureusement jamais mordu ou griffé ses sauveteurs au point de nécessiter des soins, mais s'il avait été protégé par une cage le jour, sa propre sécurité aurait été assurée tout en réduisant le risque pour les humains. De même, avec nos appareils IoT, nous devons envisager de mettre nos actifs précieux dans une « cage » pour les protéger d'un appareil IoT potentiellement piraté. De plus, comme de nombreux appareils IoT coexistent sur un réseau, on peut aussi vouloir isoler chaque appareil dans sa propre cage pour empêcher un pirate de poursuivre son attaque après avoir pénétré un appareil.

Restez dans votre voie

Que ce soit un petit réseau domestique ou un grand réseau d'entreprise, la ségrégation et l'isolation sont des solutions assez faciles à implémenter, bien que nécessitant planification et matériel capable. De nombreux guides en ligne donnent des instructions spécifiques pour ségréger et isoler des appareils sur du matériel précis (pare-feu, commutateurs, contrôleurs sans fil) ; nous n'aborderons que le concept.

La ségrégation permet à nos appareils IoT d'opérer sur notre réseau et de se connecter à Internet, mais limite leur capacité à « parler » aux autres appareils internes. Cette solution place efficacement un pare-feu entre chaque appareil IoT, permettant à l'administrateur réseau de limiter spécifiquement les connexions autorisées depuis cet appareil vers les autres. Avec la ségrégation et l'isolation, si un appareil IoT individuel est compromis, le pirate est isolé du reste des composants du réseau.

Glands et brindilles

Comme les écureuils utilisent des matériaux naturels pour leurs nids, la ségrégation et l'isolation utilisent leurs propres outils et paramètres de configuration. La plupart des routeurs sans fil domestiques et petits bureaux peuvent créer un réseau invité supplémentaire séparé du réseau principal à accès complet. Les paramètres « invité » sont une solution de ségrégation préconfigurée offerte par de nombreux routeurs qui ne permettront aux systèmes connectés d'accéder qu'à Internet et les empêchera de se connecter aux appareils des autres réseaux, filaires ou sans fil. De plus, certains routeurs offrent aussi l'isolement qui empêche ces appareils de voir tout autre appareil connecté au réseau invité. Envisagez de connecter les appareils IoT non critiques au réseau invité pour implémenter la ségrégation. Pour les réseaux d'entreprise, la segmentation se fait via réseaux locaux virtuels (VLAN), règles de routage et règles d'accès, offrant un niveau de protection personnalisé accru.

Les appareils IoT n'autorisent généralement pas l'accès à leurs outils de gestion intégrés, nous sommes donc largement incapables d'effectuer des fonctions de sécurité simples comme changer les noms d'utilisateur et mots de passe par défaut. La séparation est donc notre outil principal pour sécuriser ces appareils dans nos réseaux. Comme nous cherchons à vivre en harmonie avec un animal sauvage « amical », qu'il s'agisse d'Humphrey ou de nos chers appareils IoT, l'implémentation de protocoles de sécurité sensés nous aidera tous à vivre en sécurité, sereinement et heureux pour toujours.

Ce billet fait partie d'une série publiée pour le Mois national de la sensibilisation à la cybersécurité (NCSAM). Autres billets : Créer une culture de la sécurité par Celia Paulsen, Esprits suspicieux : signes non techniques que votre entreprise a été piratée par Pat Toth, Sécuriser les dispositifs médicaux connectés par Jennifer Kurtz, L'avenir des dispositifs connectés par Erik Fogleman et Jeff Orszak.