Oldsmar : les réseaux industriels plus que jamais vulnérables aux cyberattaques

Fabien Pereira Vaz. En février dernier, la compagnie des eaux d’Oldsmar, située en Floride aux États-Unis, a été victime d’une cyberattaque de sabotage. Le hackeur a réussi à prendre la main sur le système de contrôle central et a pu multiplier par plusieurs centaines l’ajout de soude (hydroxyde de sodium), produit chimique utilisé dans le traitement des eaux pour réguler l’acidité de l’eau potable. Comme ce service des eaux dessert environ 15 000 résidents du comté ainsi que des commerces et entreprises locales, les conséquences de ce piratage auraient pu être désastreuses

F. P. V. Le hackeur s’est donc infiltré jusqu’aux commandes du système par le biais d’un accès à distance, technologie régulièrement utilisée par le personnel et les prestataires de services via des comptes autorisés. Il s’est d’abord connecté une première fois, quelques heures avant l’attaque proprement dite, mais l’opérateur, ayant remarqué sa présence, a supposé qu’il s’agissait de son superviseur. Il n’a pas été établi si le hackeur s’est servi de l’accès de ce superviseur mais si ce n’est pas le cas, le système de cybersécurité installé n’était manifestement pas en mesure d’identifier de façon fiable une personne nouvellement connectée au réseau de manière non autorisée.

F. P. V. Heureusement, l’attaque n’a pas causé de dommages, mais davantage grâce au fruit du hasard qu’à un concept de sécurité élaboré. L’opérateur du système était en effet assis devant son écran et a été surpris que quelqu’un prenne le contrôle du curseur de sa souris. Il a ainsi pu intervenir à temps mais dans d’autres circonstances, même si les couches de sécurité ultérieures auraient probablement signalé tôt ou tard l’augmentation massive du produit chimique, il est peu probable que l’altération aurait été évitée. Cette attaque montre à quel point les réseaux industriels sont réellement vulnérables, avec des failles de sécurité qui existent encore dans de nombreuses infrastructures critiques desservant des milliers de personnes et pouvant être rapidement et facilement perturbées.

F. P. V. Une stratégie de cybersécurité efficace ne consiste pas à trouver un dispositif unique qui convient pour tout. Les cybermenaces et les environnements informatiques devenant de plus en plus complexes, il s’agit plutôt d’identifier le bon ensemble de mesures et de les mettre en œuvre dans tout le système d’information. Le principe est d’adopter littéralement toutes les approches et normes de cybersécurité en considérant que seule une mise en place systématique de mesures complémentaires (tant organisationnelles que techniques) conduira à un niveau de sécurité approprié.

Ce principe est généralement appelé « défense en profondeur », avec plusieurs couches de défense spécialisées, nécessaires pour protéger des réseaux OT. Selon ce concept, si l’on dispose de plusieurs couches de sécurité, le réseau central est mieux sécurisé.

F. P. V. On peut comparer cela aux châteaux médiévaux et leur succession de murs, portes, rétrécissements et tranchées qui garantissent que si un dispositif tombe, la structure globale est toujours sécurisée. Pour la cybersécurité des infrastructures critiques, cela se traduit par une combinaison de gestion des risques, de pare-feu, de VPN, d’authentification forte, de segmentation du réseau, de supervision du réseau et des équipements ainsi que de détection des anomalies.

Bien entendu, la stratégie de « défense en profondeur » doit intégrer à la fois les technologies opérationnelles (OT) et informatiques (IT). Comme l’OT est l’épine dorsale du fonctionnement quotidien des infrastructures critiques et présente des exigences et des défis très différents de ceux de l’IT d’entreprises de bureau, il est utile de combiner différents dispositifs qui répondent à certains besoins spécifiques de l’OT. Il s’agit avant tout d’assurer la stabilité par des approches passives qui ne perturbent pas les processus industriels.

Il y a une grande leçon à tirer de ce qui s’est passé à l’usine de traitement des eaux d’Oldsmar et cet incident devrait servir d’avertissement aux grandes entreprises d’infrastructures pour qu’elles bâtissent une barrière solide et sécurisée autour de leurs systèmes IT et OT. Les méthodes utilisées par les hackeurs pour accéder aux systèmes d’information étant de plus en plus sophistiquées, les entreprises doivent avoir une longueur d’avance en supervisant attentivement l’ensemble du réseau et en identifiant toute faille qui pourrait rendre le système vulnérable aux attaques.

F. P. V. La méthodologie Zero trust est en lien avec celle de la défense en profondeur, avec un niveau de granularité très poussé au niveau des identifications et des accès à des applicatifs ou des données. Cela permet également de micro-segmenter le réseau. Ce qui peut être très efficace mais aussi compliqué à mettre en place à grande échelle. Quoi qu’il en soit, il s’agit à n’en pas douter d’une solution à retenir pour les périmètres les plus critiques, notamment dans l’industrie bien sûr. Dans les environnements OT, une segmentation rigoureuse des flux avec une approche Zero trust va permettre de contrôler les flux traversant les réseaux des sites industriels, grâce à leur micro-segmentation.