Dans cet avis d’expert, Oded Gonda, vice-président des produits de sécurité réseau de Check Point, répertorie les menaces qui pèsent sur les réseaux SCADA et ICS, et les solutions de protections disponibles.
Les cyberattaques sur les infrastructures critiques sont en hausse et deviennent une préoccupation croissante pour les entreprises et les gouvernements à travers le monde. Les installations de production d'énergie, les systèmes de contrôle de la circulation, les usines et les systèmes de traitement de l'eau, sont devenus la cible des agresseurs et ont récemment été victimes de failles au niveau de leur réseau, de vols de données et d'attaques de déni de service. Ces systèmes sont touchés par différentes vulnérabilités, qui vont du mot de passe par défaut voire tout simplement du manque de mot de passe, à des problèmes de configuration et des anomalies des logiciels. Dès qu'un agresseur est en mesure d'exécuter un logiciel qui a accès à un contrôleur, la probabilité d'une attaque réussie augmente très nettement.
Infrastructures critiques attaquées
Ce n'est pas de l'alarmisme à tout va. En 2014, le ministère américain de la sécurité intérieure a annoncé qu'il allait mener une enquête sur le cheval de Troie Havex qui a compromis les systèmes de contrôle industriels de plus de 1 000 entreprises du secteur de l'énergie en Europe et en Amérique du Nord. En décembre 2012, la compagnie d'électricité allemande 50Hertz, a été frappée par une cyberattaque qui a déconnecté ses systèmes de communication sur Internet. C'est le premier assaut numérique confirmé contre un gestionnaire de réseau européen. L'attaque Stuxnet bien connue de 2010, s'en est pris à une installation nucléaire iranienne à l'aide d'un simple virus informatique ciblé. Qui plus est, ce type d'attaque peut être organisé par des individus mécontents et ne sont pas le seul apanage du crime organisé. En 2001, un Australien a été envoyé en prison après avoir été reconnu coupable du piratage d'un système de traitement informatisée des déchets qui a provoqué le déversement de millions de litres d'eaux usées dans des parcs et des rivières.
Des attaques telles que celles-ci menées contre des infrastructures critiques réduisent considérablement la disponibilité des services, l'intégrité des données, le respect de la conformité et même la sécurité publique, et exigent des entreprises qu'elles mettent en œuvre des mesures pour faire face à ces problèmes de sécurité.
Cela ne peut être fait qu'en comprenant la différence entre ICS/SCADA et les environnements informatiques traditionnels, et en réutilisant certains savoir-faire et technologies développées ces 20 dernières années pour protéger les réseaux informatiques.
Comprendre SCADA
Les infrastructures critiques (électricité, pétrole, gaz, eau, déchets, etc.), s'appuient fortement sur des équipements électriques, mécaniques, hydrauliques et d'autres types d'équipements. Ces équipements sont contrôlés et supervisés par des systèmes informatiques dédiés appelés contrôleurs et capteurs. Ces systèmes sont raccordés à des systèmes de gestion, et forment ensemble des réseaux utilisant les solutions SCADA (système de télésurveillance et d'acquisition de données) et ICS (système de contrôle industriel). SCADA et ICS permettent la collecte et l'analyse efficaces des données, et le contrôle automatique des équipements tels que pompes, vannes et relais. Les avantages fournis par ces systèmes ont contribué à leur adoption à grande échelle. Leur robustesse et leur stabilité permettent aux infrastructures critiques d'utiliser les solutions SCADA et ICS pendant de longues périodes. Les réseaux et les dispositifs SCADA/ICS ont été conçus pour offrir une maniabilité et un contrôle avec un maximum de fiabilité. Ils n'intègrent souvent pas de mécanismes de sécurité pour empêcher les accès non autorisés, ni pour faire face aux menaces de sécurité en constante évolution provenant des réseaux externes ou internes qui sont répandues dans le monde informatiques.
Bien que leur mise en œuvre soit souvent propriétaire, les contrôleurs SCADA sont essentiellement des petits ordinateurs. Ils utilisent des éléments informatiques standards tels que système d'exploitation (Windows ou Unix, souvent embarqué), applications logicielles, comptes et connexions, protocoles de communication, etc. De plus, certains des environnements de gestion sont des postes de travail Windows et Unix standards. En conséquence, les problématiques bien connues de vulnérabilité s'appliquent également aux systèmes SCADA et ICS, avec pour problématique supplémentaire la difficulté d'accès physique à ces systèmes ou l'impossibilité de stopper leur fonctionnement.
Vulnérabilités de SCADA
Contrairement à la croyance commune, les réseaux SCADA et ICS ne sont généralement pas physiquement séparés des réseaux informatiques. Certaines entreprises ont toutefois des réseaux locaux distincts, ou séparent leur réseau d'entreprise de leur réseau de contrôle. Dans d'autres cas, les entreprises utilisent le même réseau local et étendu, mais chiffrent le trafic SCADA et ICS dans l'infrastructure partagée. Plus fréquemment toutefois, les réseaux nécessitent un certain niveau d'interconnexions pour obtenir des commandes opérationnelles et exporter des données vers des systèmes externes tiers. Les équipements réseau SCADA ont des caractéristiques spécifiques qui peuvent être très différentes des systèmes informatiques traditionnels.
-
Ils sont souvent installés dans des endroits difficiles d'accès (par exemple, dans des tours, des platesformes pétrolières et des machines industrielles) et ont des contraintes environnementales différentes des systèmes informatiques standards (par exemple, fonctionnement en extérieur, températures extrêmes, vibrations) ou nécessitent des tensions d'entrée et des assemblages spéciaux.
-
Ils utilisent souvent des systèmes d'exploitation propriétaires qui ne sont pas renforcés.
-
Leurs logiciels ne peuvent être mis à jour ou corrigés fréquemment, en raison des difficultés d'accès, des temps d'arrêt probables ou de la nécessité de les certifier de nouveau.
-
Ils utilisent des protocoles propriétaires ou spéciaux.
Ces différents environnements créent des problèmes tels que le manque d'authentification et de chiffrement, et la faiblesse du stockage des mots de passe permettant à des pirates d'accéder aux systèmes. Même si la plupart des réseaux SCADA/ICS possèdent un certain degré de défense au niveau de leur périmètre, y compris par la segmentation du réseau et des technologies de pare-feu, les agresseurs sont toujours à la recherche d'autres moyens de pénétrer à l'intérieur, par exemple, à travers une porte dérobée ou en déclenchant des actions depuis l'intérieur de l'entreprise pour ouvrir un canal de communication avec l'extérieur. Les scénarios d'attaques typiques sont :
– L'utilisation d'un port d'accès à distance habituellement réservé à un fournisseur de services de maintenance
– Le piratage d'un canal légitime entre les systèmes informatiques et les systèmes SCADA/ICS
– Convaincre un utilisateur interne de cliquer sur un lien dans un email depuis un poste de travail connecté au réseau SCADA/ICS et à Internet
– Infecter des ordinateurs portables et/ou des supports amovibles à l'extérieur du réseau SCADA/ICS, puis infecter les systèmes internes lorsqu'ils se connectent au réseau pour collecter de données, mettre à jour le contrôleur/les capteurs, etc.
– Exploiter des erreurs de configuration de la sécurité ou des dispositifs connectés.
Un pirate qui a réussi à infiltrer un réseau SCADA est en mesure d'envoyer des commandes malveillantes pour bloquer ou freiner les dispositifs, et interférer avec les processus critiques spécifiques qu'ils contrôlent, tels que l'ouverture et la fermeture de vannes.
Sécurisation de SCADA pour protéger les infrastructures critiques
Pour parvenir au niveau de protection requis pour les réseaux industriels et critiques, la sécurité doit évoluer d'une simple superposition de technologies vers un processus de travail efficace. Une stratégie de sécurité efficace doit être en mesure de détecter tout comportement anormal et bloquer les attaques tout en fournissant aux entreprises des moyens d'enquêter sur les attaques quand elles se produisent. La stratégie de sécurité doit veiller à ce que toute activité soit journalisée d'une manière indépendante qui ne soit pas liée à la configuration des équipements SCADA, puisqu'ils peuvent être piratés par des intrus. Un référentiel de comportements normaux des équipements SCADA devrait définir ce qui est permis, ce qui est interdit, et ce qui est considéré comme étant suspect. Une fois cela établi, la stratégie devrait inclure la notification et la prévention automatiques des écarts par rapport au référentiel, afin de prendre beaucoup plus efficacement les mesures appropriées contre l'exploitation indésirable du réseau.
En plus d'établir une stratégie, il est également essentiel que l'ensemble du réseau informatique des entreprises soit sécurisé pour protéger les équipements SCADA. Les attaques de ces dernières années montrent que l'environnement informatique, qui est généralement connecté à Internet, peut être un moyen d'accès à l'environnement opérationnel. En tant que tel, il est essentiel d'utiliser des mécanismes de restriction des accès, tels que le contrôle des applications et la prise en charge des identités, ainsi que la prévention des menaces avec pare-feu, prévention des intrusions, antivirus et émulation des menaces.
Un élément clé d'une défense multicouches pour les équipements SCADA devrait inclure des renseignements sur les menaces, pour partager et recueillir des renseignements sur les nouvelles menaces et les menaces émergentes ciblant les infrastructures critiques. Ces renseignements sur les menaces permettent aux entreprises de défendre leur réseau contre les cybermenaces avant qu'elles n'y pénètrent, et enfin de mieux protéger les équipements SCADA et les rendre moins vulnérables aux attaques.
Le nombre de cybermenaces visant les systèmes SCADA a augmenté ces dernières années et c'est une tendance qui ne devrait pas changer dans un avenir proche. Les pirates deviennent de plus en plus intelligents et s'intéressent comme jamais aux infrastructures critiques. En raison de vulnérabilités bien connues, les réseaux SCADA sont les plus à risque. Il est donc essentiel de mettre en œuvre des stratégies et des systèmes pour protéger le réseau et les services qu'ils contrôlent, afin de protéger non seulement les entreprises mais également le public dans son ensemble.
