Groupe de réflexion sur la sécurité : l’évolution des menaces, la technologie, laisse le CNI exposé

Un plus grand intérêt pour les infrastructures essentielles

La récente tentative d’attaque contre l’usine de traitement des eaux d’Oldsmar en Floride est un exemple d’une tentative d’exploiter l’accès à distance pour compromettre la technologie opérationnelle. L’attaquant a pu avoir accès à un logiciel de contrôle industriel pour modifier la concentration d’hydroxyde de sodium dans le système de traitement de 100 ppm à 11 100 ppm. Heureusement, dans ce cas, un exploitant d’usine vigilant a remarqué le changement et l’a inversé immédiatement, mais si cela ne s’était pas produit, l’attaque aurait pu avoir une incidence sur la santé d’environ 15 000 résidents fournis par l’usine.

La technologie opérationnelle fait également l’objet d’une attention accrue parce qu’il y a plus d’informations à la disposition des attaquants. Des outils de recherche internet dédiés, tels que Shodan, permettent de découvrir des appareils industriels connectés à Internet et des outils de piratage de technologies opérationnelles dédiés, tels que « Industroyer », réduire le niveau de connaissances nécessaires pour tenter une attaque.

Parallèlement, les connaissances sur les systèmes industriels et les technologies opérationnelles ne ce sont que de plus en plus, en partie à cause de l’évolution de la connectivité et de la fusion des technologies, mais aussi de la divulgation croissante des vulnérabilités.

Alors, compte tenu de ces risques immédiats, que peut-on faire?

Comprendre vos systèmes

Ce premier conseil est aussi vieux que certaines des technologies utilisées. Il est essentiel de savoir quels sont les atouts que vous avez dans votre technologie opérationnelle et de comprendre comment ils se rapportent à ce que vous faites.

Si une vulnérabilité est divulguée pour un composant, l’impact potentiel de la vulnérabilité ne peut être correctement évalué que si la prolifération de la composante au sein de l’infrastructure est connue. La réponse sera très différente pour un composant en utilisation limitée sur un système isolé par rapport à un composant commun à travers plusieurs systèmes critiques.

Comprendre les risques

Les évaluations des risques doivent être effectuées pour tous les systèmes critiques et réexaminées sur une base annuelle, ou en réponse à un changement important dans la configuration de la menace ou du système. Les évaluations des risques devraient être basées sur des scénarios de menace crédibles pour l’organisation et devraient se transformer en plans d’atténuation des risques.

S’assurer que l’infrastructure essentielle est « sécurisée par la conception »

Il est largement reconnua déclaré qu’il est plus facile et plus rentable de concevoir quelque chose en toute sécurité dès le début, plutôt que d’essayer d’intégrer des fonctionnalités de sécurité à un stade ultérieur. Bien que cette approche ne puisse être adoptée que pour les nouveaux systèmes, les principes directeurs de la « sécurité par la conception » devraient être incorporés dans la mesure du possible.

En outre, l’approche devrait être suffisamment large pour aller au-delà de la technologie et rendre les personnes et les processus « sécurisés par la conception » ainsi.

Surveiller activement les systèmes critiques

Il est essentiel de comprendre ce qui se passe à la fois au sein de votre réseau et aux limites, ainsi que d’avoir une base de comportement normal établie pour votre infrastructure et vos systèmes. Cela peut être beaucoup plus facile à réaliser avec la plus grande disponibilité de solutions de surveillance matures et spécifiques à l’OT.

Soyez prêt à intervenir en cas d’incident

Enfin, il doit y avoir un plan d’intervention en cas d’incident éprouvé qui œuvre à bon compte des cyber causes de défaillance et guide les réponses appropriées pour récupérer les systèmes afin de rétablir les opérations conformément aux objectifs de l’entreprise.

Tim Parker est un expert en cybersécurité des infrastructures nationales essentielles chez PA Consulting