Selon une récente étude, on estime qu’en 2020, plus de 30 % des attaques subies par les entreprises ont concerné des données situées dans des environnements IT obsolètes comme des applications héritées. Dans de nombreuses industries, les systèmes hérités peuvent fonctionner sur du matériel ancien et s’appuyer des systèmes d’exploitation qui ne peuvent pas être facilement mis à jour, mais qui doivent continuer à fonctionner car leur remplacement nécessiterait une refonte de fond de l’environnement utilisé.
Le problème est que, pour prolonger la durée d’utilisation de ces environnements à long terme, il est souvent nécessaire de les connecter à de nouveaux systèmes ou machines sur des réseaux transportant différents flux d’informations, mais qui peuvent également contenir des logiciels malveillants.
Le premier défi est alors de les isoler tout en limitant la communication à des sources limitées. Le second est de garantir que toutes les données transférées entre ces anciens et ces nouveaux systèmes peuvent être validées de manière à ce que les contenus malveillants ne puissent pas être échangés. En effet, les anciens systèmes manquent souvent de sécurité et sont particulièrement vulnérables. Le matériel ou les systèmes d’exploitation, y compris la couche TCP/IP, peuvent être obsolètes et ne pas être mis à jour lorsque de nouvelles vulnérabilités sont identifiées, telle que des attaques comme ‘Ripple20’ qui ont affecté des millions d’appareils IoT en juin 2020.
Dans ces environnements, l’utilisation de pare-feu n’est pas suffisante, étant basée sur des logiciels et sujette à des compromis. De plus, les Data diodes n’autorisent qu’une communication unidirectionnelle, ce qui signifie qu’en raison de la configuration du flux de trafic, les mises à jour ne peuvent pas être effectuées. Une visite sur site est alors souvent le seul moyen de résoudre le problème, mais nécessite des ressources importantes pour trouver une solution. Au regard de ce constat, de nombreux industriels renoncent donc à faire quoi que ce soit et exposent ainsi fortement leurs infrastructures à des risques importants.
Pour ne pas rester passif et se prémunir de risques majeurs, une bonne approche consiste à permettre aux réseaux d’être connectés en utilisant un Airgap électronique qui ne peut pas être compromis. Ainsi, quels que soient les bibliothèques TCP/IP, les machines métiers ou les objets connectés, l’utilisateur sera totalement immunisé contre les attaques RIPPLE20 ou autres concernant TCP/IP. De plus, il est possible de filtrer les fichiers et de choisir de ne laisser passer que ceux de confiance, grâce à des mécanismes de vérification d’intégrité et d’authenticité des fichiers.
Les systèmes hérités peuvent alors être connectés sans aucun correctif au niveau du système d’exploitation ou du réseau et l’échange d’informations peut se faire à l’intérieur ou à l’extérieur de l’entreprise, sans nécessiter de visites sur site.
Par Xavier FACELINA chez SECLAB
