IoT industriel : il est temps de prendre conscience des risques de cybersécurité

Les systèmes d'automatisation et de production industrielle sont aujourd'hui assemblés à partir de composants matériels et logiciels standardisés. Ces systèmes ouverts facilitent l'intégration et réduisent la dépendance vis-à-vis de fournisseurs uniques. La communication continue accélère la production, permet une meilleure vue d'ensemble et réduit les coûts d'exploitation et de production. Mais la standardisation avec ses systèmes ouverts facilite également les attaques de pirates.

Dans le passé, les données des systèmes financiers ou des soins de santé étaient une cible particulièrement attractive pour les pirates informatiques. Mais avec la transformation digitale des industries, l'environnement de l'industrie manufacturière est de plus en plus préoccupant. Pour autant, l'industrie ne peut plus se passer de la digitalisation. Les services informatiques doivent donc relever le défi de minimiser les risques de sécurité et de protéger les systèmes critiques de l'entreprise contre les attaques ennemies, le sabotage et l'espionnage.

Un défi que les industriels sont tenus de relever

Un système de production se compose de nombreux systèmes et n'est sûr que si son maillon le plus faible est sécurisé. Les composants matériels et logiciels mis en œuvre, tels que les automates, les PC et les scanners, ne sont généralement pas protégés contre les attaques internes ou externes. Ces vulnérabilités des installations de production et des systèmes informatiques connexes sont soumises à un cycle de vie sensiblement plus long que celui de l'informatique de bureau en raison des différences de durée de vie et de cycles de travail du matériel. Le matériel informatique de bureau est techniquement obsolète après cinq ans et sera soit échangé, soit mis hors ligne.

Cependant, le matériel informatique dédié à la production a souvent une durée de vie supérieure à 20 ans et ne peut pas être simplement remplacé par de nouveaux systèmes. Il est souvent impossible d'intégrer une solution de cybersécurité dans un contrôle de production vieux de 15 ans en raison de leur intégration profonde dans les systèmes de production et du problème que des systèmes d'exploitation dépassés comme Windows 2000 ou Windows XP ne sont plus pris en charge par les logiciels de sécurité informatique modernes. Les serveurs IHM (interface homme-machine), sont une cible fréquente des attaques via des vulnérabilités non corrigées, dont les connexions mal sécurisées entre les systèmes DMZ et SCADA sont utilisées pour insérer des logiciels malveillants.

Les systèmes de contrôle industriel (PLC), qui sont utilisés dans l'industrie manufacturière, le secteur de la production d'énergie ou d'autres domaines, fonctionnent avec les systèmes de surveillance et d'acquisition de données correspondants. Les vulnérabilités de l'environnement de ces industries, qui pourraient paralyser des usines dernier cri, sont dues à l'absence d'audits informatiques appropriés, qui pourraient identifier un problème potentiel, comme une cyber-attaque. Les solutions de sécurité informatique ne doivent pas interférer avec la capacité de performance en temps réel des équipements de contrôle industriels !

Des portes d’entrée grandes ouvertes

La plupart des hackers tentent de saboter les équipements industriels en modifiant les paramètres des ventilateurs de l'unité centrale, en influençant les programmes des robots automatiques ou en perturbant les systèmes de surveillance. De nombreuses attaques sont menées contre des personnes ou des groupes, pour semer le chaos, extorquer de l'argent ou attirer l'attention pour des raisons politiques.

Le risque d'une menace au sein de la propre organisation n'est pas moins dangereux. Les employés de l'entreprise utilisent différents dispositifs pour le transport de données commercial, mais aussi à des fins de divertissement privé, comme les jeux en ligne ou les services de streaming. C'est ainsi que des logiciels malveillants peuvent pénétrer à l’insu du personnel dans le système PLC.

L’exemple du téléphone Android infecté

Imaginons un scénario d'attaque par des hackers : une grande entreprise industrielle exploite des systèmes vieux de plus de 15 ans, dont le système de contrôle est basé sur Windows XP. Afin d'installer les mises à jour, les systèmes industriels sont équipés d'un port USB qui représente une interface non protégée avec le système SCADA.

Ces interfaces USB ne sont pas seulement utilisées par les employés pour l'installation des mises à jour mais aussi, par exemple, pour écouter de la musique ou recharger des téléphones portables. Le téléphone portable infecté d'un employé est donc capable de transmettre le virus au système SCADA, et de stopper complètement le fonctionnement normal de l'usine.

Les conséquences peuvent être multiples : l’outil de production peut être détruit, une machine peut être endommagée, les données produites par ces machines peuvent être corrompues ou volées, ou bien le robot de production effectue des mouvements aléatoires qui peuvent mettre en danger les employés à proximité.

Mais trois pistes existent pour malgré tout protéger l’IoT industriel des pirates. La première est le contrôle des dispositifs et des applications exécutés par le système, ce qui rend difficile l’accès des pirates aux biens. Un second est un audit poussé du système informatique, afin d’identifier les points faibles, allant de la surface d’attaque aux dommages qui peuvent être causés en cas d’attaque réussie. Enfin, il faut avoir un plan de rétablissement du site industriel afin de pouvoir rapidement reprendre les activités si une attaque avait réussi à paralyser l’appareil de production.

De par leur longévité accrue et des contraintes physiques, les sites industriels font face à des défis de sécurité informatique uniques. Un attaquant peut facilement s’appuyer sur des systèmes informatiques anciens pour s’infiltrer, et ensuite prendre le contrôle de l’appareil de production et causer de lourds dommages. Cependant, de bonnes pratiques peuvent grandement réduire ces risques.