La faille SolarWinds révèle les vulnérabilités IoT et supply chain

Quel que soit le secteur, les cyberattaques semblent s'intensifier en ampleur et en échelle.

La vaste campagne de piratage lancée par la Russie il y a trois mois — qui a touché jusqu'à 18 000 clients de l'éditeur texan SolarWinds Corp. — est un exemple flagrant de la portée dévastatrice d'une attaque supply chain potentielle.

Le terme « risque supply chain » est un large parapluie couvrant de nombreuses menaces et vulnérabilités. Dans le cas SolarWinds, les acteurs de la menace, soupçonnés de travailler pour un gouvernement étranger, ont trojanisé les mises à jour logicielles d'un outil populaire, SolarWinds Orion. L'attaque a laissé des points d'accès backdoor potentiels vers des centaines d'entreprises et neuf agences fédérales. Et ce n'est que ce que nous savons — nous découvrirons probablement les effets de cette brèche pendant des années.

D'autres risques supply chain peuvent se manifester sous forme de failles de sécurité intégrées dans les appareils électroniques. Les fabricants de smartphones, imprimantes, routeurs, objets connectés (IoT) et systèmes d'infrastructure critique achètent des composants auprès de tiers. Ces composants sont livrés avec un firmware embarqué qui peut contenir des failles de sécurité préexistantes. Pire encore, une partie de ce firmware n'a pas été écrite par le fabricant, mais provient de code open source maintenu par des bénévoles de la communauté IT.

Voici ce que l'industrie supply chain au sens large doit savoir sur les cyberattaques.

Logiciels voilés

Un mouvement croissant d'acheteurs exige des listes exhaustives des logiciels embarqués dans un appareil — mais pour l'instant, il est rare que les fabricants les fournissent. Cette liste, appelée nomenclature logicielle (SBOM, Software Bill of Materials), est clé pour la sécurité supply chain, mais il est important de noter qu'elle n'est pas une panacée. Par exemple, un SBOM n'aurait pas détecté la backdoor SolarWinds. Il aurait fallu qu'un membre de l'équipe sécurité analyse les fichiers logiciels finaux avant leur diffusion aux clients.

La sécurité reléguée au second plan

Les développeurs logiciels et fabricants d'appareils ont basculé vers des processus de développement rapide. Côté logiciel, ce cadre agile pousse de nombreuses mises à jour rapides, parfois pour ajouter des fonctionnalités, parfois pour corriger des failles. Une poussée similaire existe côté appareils — et c'est particulièrement vrai pour les objets IoT vendus comme produits de base en gros volumes.

Dans les deux cas, la sécurité finit souvent par passer au second plan. Il incombe à la direction de l'organisation de reconnaître le risque de ne pas prioriser la sécurité, et aux équipes de développement d'être proactives pour atténuer ces risques avant qu'ils ne soient exploités. La réalité : les attaquants ont une longueur d'avance sur l'industrie. Cela a mis les organisations en posture réactive et fait naître de nombreuses réglementations et normes. Il est plus que jamais crucial pour les entreprises, fabricants et acheteurs, d'adopter une approche proactive.

Potentiel d'accès

Les supply chains mondiales sont devenues des cibles particulièrement attractives en raison de leurs systèmes largement connectés et souvent mal sécurisés. Il est courant de dupliquer un logiciel sur plusieurs appareils — ce qui signifie que si un pirate trouve une vulnérabilité dans une sonnette connectée, il pourrait aussi exploiter une autre marque de sonnette, une smart TV, un réfrigérateur connecté ou un thermostat domestique.

Pour les pirates, une vulnérabilité affectant un seul appareil est insignifiante, car difficile à monétiser, mais les vulnérabilités supply chain pervasives peuvent être bien plus lucratives. Pour les dirigeants supply chain, il est important de considérer tous les appareils de votre entreprise qui pourraient permettre des pivots vers d'autres systèmes.

La brèche SolarWinds a été un signal d'alarme pour beaucoup dans la communauté cybersécurité et au-delà. Pour d'autres, c'était une confirmation de ce qu'ils savaient déjà et qu'ils travaillent dur à prévenir.

La leçon la plus importante de cette attaque est que nous devons réévaluer la confiance que nous accordons aux fournisseurs, logiciels et appareils. Quel que soit votre place dans la supply chain — utilisateur d'entreprise, OEM ou fournisseur logiciel — vous placez probablement une confiance immense dans vos vendeurs et leurs produits. Nous devons repenser comment nous évaluons ces relations de confiance, et surtout, comprendre comment nous pouvons vérifier la sécurité de ces logiciels, firmwares et matériels tout au long de leur cycle de vie complet.

Matt Wyckhouse est fondateur et CEO de Finite State.