En quoi les réseaux industriels sont-ils différents des réseaux TI et comment les sécuriser

1 septembre 2021
Par: Maxime Mourand, Jean-François Vaillancourt
Catégorie Cybersécurité, NETsatori, Réseau

INTRODUCTION

Traditionnellement, les technologies de l’information (TI) étaient séparées des technologies opérationnelles (TO).

Cependant, grâce aux nombreux avantages que l’intégration des deux types de technologies procure, nous avons observé dernièrement comment ces deux mondes convergent rapidement.

Non seulement les technologies de l’information et les technologies opérationnelles sont plus interconnectées que jamais, mais elles sont également de plus en plus connectées à Internet. Ce qui introduit de nouveaux risques et de nouvelles précautions qui doivent être prises.

TI: La technologie de l’information se concentre sur le stockage, la récupération, la transmission, la manipulation et la protection des données. Quelques exemples de TI sont: CRM, ERP, Email, etc.

TO: Les technologies opérationnelles sont plus orientées vers la maîtrise des processus ou leur évolution via la surveillance et le contrôle des appareils. Quelques exemples de TO sont: SCADA, ICS, PLC, HMI, etc.

DEUX MONDES À PART

Les TI et les TO font partie de deux mondes différents. Cet état de fait est principalement issu de leurs raisons d’être. Les TI ont un usage orienté vers les affaires et les TO vers l’industrie. Les TI véhiculent majoritairement du data alors que les TO contrôlent et monitorent des objets physiques.

Chacun de ces systèmes a des requis différents :

Requis de performance
Requis de fiabilité
Systèmes d’opération et des applications
Gestion de risque
Requis d’architecture de sécurité
Requis d’objectifs de sécurité

Pour les TI, la confidentialité des données est la priorité numéro 1 car les informations qui s’y retrouvent sont fréquemment très sensibles et, bien souvent, parcourent la planète pour passer d’un serveur à l’autre. Une fuite de données informatiques est l’un des pires cauchemars auquel une entreprise peut faire face

Pour des raisons tout à fait légitimes, du côté des TO, la confidentialité se trouve au dernier rang des priorités. Imaginons une entreprise qui déploie dans son usine une nouvelle sous-station pour sa chaîne de montage. La priorité absolue de son réseau est la disponibilité, afin d’assurer une production rapide et sans interruption pour la fabrication, les services ou afin d’éviter de dangereux incidents. Dans le monde des TO, la sécurité (physique) est toujours le facteur numéro 1. À la moindre coupure de communication, dans la plupart des cas, le système s’arrête. La raison est bien simple : on veut éviter un risque d’accident physique pouvant aller de pertes financières à mort d'homme.

Comme les performances requises dans les réseaux TO sont beaucoup plus élevées et que ces réseaux ont été isolés pendant des années, on considérait jusqu’il y a peu comme inutile d’impacter les performances ou de complexifier les déploiements, au donc détriment de la confidentialité de l’information. En effet, le risque était considéré comme quasiment nul puisque les vecteurs d’attaques étaient réduits, un accès physique aux équipements étant requis dans la plupart des situations. Bien sûr, les réseaux de type « air gapped » demeures sensibles aux attaques de type « Supply Chain Attacks » et à celles d’acteurs malicieux.

POURQUOI LES RÉSEAUX TO CONVERGENT AVEC LES RÉSEAUX TI ?

La question se pose et les réponses sont nombreuses. Quelles sont les raisons pour lesquelles les réseaux de types industriels convergent de plus en plus avec les réseaux d’entreprise ? En voici quelques-unes des plus populaires :

Nombreux bénéfices en termes de visibilité et de support
Possibilité de faire du « big data », de l’analytique et de la maintenance préventive
Meilleure conformité aux normes réglementaires, car l’ajout de l’informatique aux TO permet une meilleure visibilité
Intégration avec des appareils de type IoT (P. EX. Capteurs de mouvements Wi-Fi) et de type IIoT (Industrial IoT)
Gestion plus efficace des actifs

PRINCIPAUX ENJEUX DE SÉCURITÉ DES RÉSEAUX TO

Nombreux sont les clients qui interconnectent leurs réseaux industriels à celui de leur entreprise pour bénéficier des nombreux avantages énumérés précédemment. Souvent, cela est fait rapidement et sans réelle analyse de tous les nouveaux vecteurs d’attaques auxquels ils peuvent maintenant faire face.

Un des principaux enjeux est que le département des TO est bien souvent isolé de celui des TI. Il est donc hors de la chaîne d’autorité du CISO/CSO (si présent dans l’entreprise). Les équipes TI, en général, ne maîtrisent pas les technologies industrielles installées, les flux de données et les différents risques de l’intégration du réseau industriel à celui de l’entreprise. Pour leur part, les gens TO ont des connaissances souvent très limitées en cybersécurité & en TI, à l’image aussi, malheureusement, des divers manufacturiers industriels.

Il n’est pas rare de trouver sur les planchers de production des stations qui fonctionnent encore sous Windows XP. Il n’est pas rare non plus que ces mêmes stations aient 2 cartes réseaux et qu’elles soient utilisées pour faire un pont entre les deux types de réseaux. Un autre facteur de risque est que les équipements industriels n’ont pas été conçus pour être « patchés » pour être renforcés au niveau de la sécurité et qu'ils ont un cycle de vie très long. Parmi les composantes des réseaux industriels, on retrouve des PLC (Programmable Logic Controller), commutateurs de type non géré, HMI (Human Machine Interfaces), « Drives », Servo, etc.

Le problème survient lorsque, sans prendre les bonnes précautions, on rend disponibles ces appareils sur le réseau d’entreprise et, souvent même, l’Internet.

Pourquoi ces appareils sont-ils plus à risque?

Composantes souvent impossibles à « patcher » ou qui ne sont plus supportées
La mise à jour de ces systèmes est souvent perçue comme un risque et non une nécessité
Il est quasi impossible de tester les patchs dans un environnement hors production
Cycle de vie des équipements en moyenne de 15 à 20 ans, et souvent plus
Système d’exploitation des équipements souvent propriétaire et développé sur mesure
Mauvaise visibilité sur les actifs et souvent aucune centralisation de ceux-ci
Le processus d’inventaire est couramment manuel, sporadique et incomplet

Plusieurs autres facteurs viennent encore augmenter le risque que les réseaux industriels posent pour la sécurité; et ce dans un contexte où, compte tenu du coût élevé des équipements industriels et de leur opération, une attaque pourrait avoir un terrible impact sur les communautés et les économies.

SECTEURS À RISQUE ET VECTEURS D’ATTAQUES

Selon une étude basée sur les avis d’ICS-CERT, nous pouvons comparer le nombre de vulnérabilités par secteur entre l’année 2019 et 2020.

On observe une forte croissance en 2020 vis-à-vis de 2019 pour plusieurs secteurs.

Dans le cadre de la même étude, ils ont divisé le pourcentage de vulnérabilités en fonction des vecteurs d’attaque.

Le vecteur principal est donc le réseau, avec un résultat de 70.14%. La 2^e seconde plus grande cible est le vecteur « Local » qui repose sur des attaques où une interaction de l’utilisateur est requise. Typiquement, ces attaques requièrent des techniques de type « Social Engineering ».

Le moteur de recherche Shodan a créé un engin qui explore le web à la recherche de protocoles ICS (Industrial Control Systems) sur des systèmes joignables directement depuis l’internet. Une carte en temps réel, disponible ici https://ics-radar.shodan.io/, donne une idée de l’envergure et de l’authenticité de la menace.

LES SOLUTIONS

Il existe plusieurs solutions pour sécuriser le périmètre du réseau industriel, tout en lui permettant de communiquer avec le réseau informatique d’entreprise et l’internet. La première étape est de mener un audit de l’environnement et d’inventorier les actifs ainsi que leurs flux de communication.

Lorsque l’analyse est terminée, on retrouve généralement trois méthodes qui, lorsqu’elles sont combinées, s’avèrent très efficaces pour réduire le risque d’attaques.

1. Renforcer le Périmètre

Le concept de renforcement du périmètre est simple et crucial. Il est l’élément le plus important afin de bien protéger son réseau industriel lorsqu’il s’interconnecte au réseau d’entreprise ou qu’il a accès à l’internet.

2. La Défense en Profondeur

La défense en profondeur est communément appelée « approche du château » car elle reflète les défenses en couches d’un château médiéval. Avant de pouvoir pénétrer dans le château, vous êtes confrontés aux fossés, aux remparts, au pont-levis, aux tours, aux créneaux et ainsi de suite.

3. Sécuriser l’Accès à Distance

De plus en plus de systèmes industriels sont mis en ligne et disponibles à distance pour accroitre leurs capacités et augmenter leur efficacité. Ces systèmes, modernisés, nécessitent que les vendeurs hors site, les employés, les opérateurs, les fournisseurs et les sous-traitants accèdent à ces systèmes via internet.

Cette transition de systèmes fermés à systèmes ouverts a généré une multitude de nouveaux risques de sécurité. Permettre un accès distant sécurisé à vos systèmes OT est néanmoins essentiel pour maintenir la productivité et la continuité des activités de votre organisation.

NETsatori possède une équipe hybride avec une vaste expérience en cybersécurité autant TI que TO. Avec à son actif plusieurs projets d’industrie 4.0, de convergence TI et TO, d’architecture de systèmes pour solutions next-gen et d’accompagnement de client. Nous offrons un éventail de produits pouvant remédier aux nombreux enjeux que la convergence de ces deux réseaux apporte.