La transformation numérique expose les centrales électriques aux cyberattaques : ce qu'il faut savoir

La transformation numérique de la technologie opérationnelle (OT) pour la surveillance et le contrôle des processus physiques a introduit de nouveaux angles morts et en a amplifié d'autres, rendant les systèmes de contrôle industriel (ICS) vulnérables aux attaques d'États-nations.

Nous avons déjà vu des attaques terroristes qui privilégiaient la violation d'une centrale électrique plutôt que le ciblage d'une zone densément peuplée avec des armes militaires. Considérez l'attaque du réseau électrique en décembre 2015 qui a laissé plus de 230 000 personnes dans le noir dans l'ouest de l'Ukraine pendant plus de six heures. Le pays a accusé la Russie pour l'attaque. Douze mois plus tard, le système électrique a été ciblé à nouveau, cette fois affectant une grande partie de la capitale Kiev. Un distributeur d'électricité à Porto Rico a subi une cyberattaque par déni de service en juin, causant des pannes pour des centaines de milliers de résidents, avant qu'un incendie ne ravage la sous-station.

Il n'est pas farfelu de penser qu'une attaque d'État-nation pourrait viser à causer un blackout de plusieurs semaines dans une grande ville comme New York. En fait, les experts pensent que quelque chose dans ce domaine est susceptible de se produire.

Un rapport de l'Institut Ponemon sponsorisé par Siemens a révélé que 56 % des professionnels de la sécurité OT interrogés ont signalé au moins une attaque impliquant une perte d'informations privées ou une panne dans leur environnement OT au cours des 12 derniers mois.

Comment ces types d'attaques sont-ils devenus si populaires ? Et que faut-il faire pour favoriser un environnement OT plus sûr ?

La Quatrième Révolution Industrielle

Les services publics se modernisent, cherchant des gains d'efficacité et de productivité. Atteindre ces objectifs signifie numériser et automatiser de nombreux processus qui étaient auparavant effectués en interne et manuellement. Cette transition se produit si rapidement que la sécurité est une réflexion après coup.

La refonte numérique rapide des processus industriels, largement appelée la Quatrième Révolution Industrielle, met plus de systèmes et de processus en ligne. Cela crée inhérentement plus de points d'entrée potentiels pour les acteurs de menace, et avec tant d'industries le faisant en même temps, il y a plus d'opportunités pour une attaque plus conséquente.

Dans les décennies précédentes, les centres de données et les mainframes qui exécutent les composants ICS étaient « air gappés » (isolés), ce qui signifie que les systèmes IT étaient sur un réseau local, mais non connectés à internet. De nombreuses installations pensaient à tort que cela rendait leurs systèmes à l'abri des attaques, mais ils étaient encore vulnérables aux attaques sur site comme une attaque « bash bunny » qui pourrait compromettre un système avec un virus via un périphérique USB.

Ce fut le cas en Iran lorsque la centrale nucléaire de Bushehr a été attaquée en utilisant le ver Stuxnet. Introduit dans le réseau via une clé USB, Stuxnet s'est ensuite propagé pour infecter d'autres actifs sur le réseau, tels que les centrifugeuses utilisées pour enrichir le gaz d'uranium.

Alors que de plus en plus de services publics et d'installations OT se précipitent pour mettre leurs systèmes en ligne, ils n'ont pas alloué de ressources appropriées pour la sécurité comme l'une des étapes du processus. Plus il y a de pièces d'équipement hérité connectées et d'appareils IoT ajoutés, plus la surface d'attaque pour les acteurs de menace potentiels est grande.

Les acteurs de menace évoluent

Amplifiant le problème de la sécurité laxiste sont les moyens de plus en plus créatifs et sophistiqués dont les acteurs de menace exploitent les organisations. En fait, ils ne sont pas toujours ceux qui infiltrent le réseau.

Selon l'étude de l'Institut Ponemon, les menaces internes représentent la majorité des attaques OT. L'une des plus notables remonte à 1999 dans ce qui était alors le Shire de Maroochy en Australie. Un travailleur mécontent qui gérait les tuyaux d'égouts a démissionné, et peu de temps après a exploité le système via une copie piratée du logiciel de système de contrôle.

Les menaces internes ne sont pas toujours des employés malveillants ; les utilisateurs négligents tombent souvent victimes d'attaques de phishing, utilisent des mots de passe faibles, et cliquent sur des liens qui donnent l'accès aux pirates. Un autre vecteur courant est un tiers ou un sous-traitant qui ouvre une porte au réseau et mène à l'exploitation. Dans l'attaque de la chaîne d'approvisionnement Kaseya, le gang de ransomware REvil a obtenu l'accès à des centaines d'entreprises via une mise à jour logicielle. Les tiers ne sont généralement pas sécurisés, et les entreprises ne devraient pas supposer qu'ils le sont.

Gartner a été optimiste sur la sécurité OT et a sonné l'alarme que les organisations industrielles ont du mal à définir des cadres de contrôle appropriés. Gartner dit aussi que d'ici 2025, les attaquants « auront armé les environnements OT pour nuire ou tuer des humains avec succès. »

Trop d'entreprises sont si profondément enracinées dans leurs processus des dernières décennies qu'elles ne voient pas ces piratages, violations et attaques des gros titres comme des menaces pour elles-mêmes. Elles ne veulent pas réparer ce qui, dans leur esprit, n'est pas cassé. En fait, elles ne voient même pas le potentiel pour qu'il soit cassé jusqu'à ce qu'il casse.

Une nouvelle approche pour sécuriser l'OT

Les entreprises ont besoin d'une visibilité appropriée dans leurs réseaux et une compréhension complète jusqu'au niveau d'actif individuel, y compris comment ces ressources et utilisateurs se connectent entre eux et aux réseaux dans leur ensemble. Souvent, celles qui creusent enfin les détails de leurs réseaux trouveront des actifs fantômes dont elles ignoraient l'existence. Ce sont des problèmes de sécurité qu'il faut attraper avant qu'ils ne soient exploités.

La première étape que les entreprises peuvent prendre pour mieux se protéger est simplement d'éduquer les employés sur l'hygiène de sécurité appropriée avec une formation de sécurité complète. Trop souvent, les entreprises qui mettent la lumière sur la sécurité le font de manière hasardeuse, avec une présentation rapide et sans suivi auprès des employés quant à l'importance de ce qu'ils viennent d'apprendre.

La priorité absolue sera toujours l'efficacité et la fonctionnalité des machines OT, mais si elles sont sous attaque, à quoi bon ? Éduquer les employés sur ce qu'il faut rechercher et à quel point les attaques sont devenues courantes pourrait faire beaucoup de chemin.

Un employé observateur a évité le désastre en mars 2021, lorsque le système d'eau d'Oldsmar, en Floride, a été piraté et que le niveau d'hydroxyde de sodium a été augmenté par un acteur de menace à un niveau dangereux. Heureusement, un ingénieur était sur le coup, a remarqué le changement, et a rapidement reconnu qu'il s'agissait d'une attaque et non simplement d'un dysfonctionnement.

En octobre, des stations à travers l'Iran ont été forcées de fermer. Le pays a dit qu'une cyberattaque était en cause, et a ciblé les cartes électroniques émises par le gouvernement qui subventionnent les prix du carburant pour les Iraniens.

Pour se protéger contre de telles attaques, les entreprises ont besoin d'une visibilité totale dans leurs réseaux, leur permettant de voir tous les actifs connectés et vulnérables. Mais ce n'est que la première étape. Il existe des outils complets de sécurité OT qui fournissent des alertes sur les machines ICS non seulement pour les actions de sécurité, mais aussi pour les signaux d'alarme de productivité. Les contrôles de sécurité appropriés offriront des capacités de visibilité et de réponse pour le réseau OT sans affecter les opérations quotidiennes ou faire des changements substantiels au réseau.

Les technologies passives peuvent surveiller l'activité sans affecter les réseaux OT sensibles de quelque manière que ce soit, contrairement aux plateformes « in-line » disruptives. La bonne plateforme passive sera capable de répondre à des débits élevés et d'assurer des taux minimaux de faux positifs.

L'utilisation de nouveaux outils peut être intimidante pour les cadres OT de carrière réticents à changer des processus éprouvés, mais il vaut mieux être préparé que de vivre dans la peur d'une attaque potentielle qui causerait des dommages généralisés à la fois à l'entreprise et à ses consommateurs.

Elad Ben-Meir est PDG de SCADAfence.