La surface d'attaque croissante dans l'infrastructure de génie

Les deux dernières décennies ont réécrit cette réalité. Les services publics, les stations de traitement de l'eau, les pipelines, les systèmes de contrôle des transports et les installations de fabrication ont tous relié leur technologie opérationnelle (OT) aux réseaux informatiques d'entreprise et, de plus en plus, à Internet en général. Cette convergence offre de réels avantages et de la monnaie; la surveillance à distance, la maintenance prédictive, l'optimisation axée sur les données et la réduction des coûts.

L'Internet industriel des choses (IIoT) a accéléré cette tendance. Les capteurs, les contrôleurs logiques programmables (PLC), les unités terminaux distantes (RTU) et les systèmes d'interface homme-machine (HMI) diffusent maintenant des données sur les réseaux qui n'ont jamais été conçus avec la cybersécurité moderne. Le résultat est une surface d'attaque mesurée non seulement dans le nombre de dispositifs mais aussi dans la complexité de leurs interconnexions.

Conséquences du monde réel : quand l'infrastructure tombe

L'attaque de 2015 contre le réseau électrique ukrainien a laissé plus de 200 000 habitants sans électricité après que des adversaires aient manipulé à distance les commandes des stations secondaires. En 2021, une attaque ransomware contre Colonial Pipeline a forcé la compagnie à arrêter les opérations à travers un système qui a livré environ 45 pour cent de carburant à la côte Est des États-Unis, provoquant l'achat de panique, des pics de prix et des pénuries temporaires dans des milliers de stations de détail.

Ces événements ont un modèle commun : les adversaires exploitent les lacunes dans la segmentation du réseau, la faiblesse de l'authentification ou le transfert de logiciels non-patchés d'environnements informatiques moins sûrs vers les systèmes opérationnels. Les conséquences vont au-delà des pertes financières pour inclure les risques de sécurité publique, les dommages environnementaux et l'érosion de la confiance dans les services essentiels.

Systèmes hérités : la vulnérabilité persistante

Une caractéristique déterminante de beaucoup d'infrastructure d'ingénierie est sa longévité. Transformateurs d'énergie, vannes de commande de pipeline, pompes à eau et équipement de signalisation ferroviaire sont conçus pour fonctionner pendant des décennies. Le logiciel et le firmware intégrés dans ces actifs remontent souvent à une époque avant la cybersécurité était une exigence de conception.

Il est rarement possible de remplacer chaque composant hérité par un équivalent moderne en raison des coûts, des exigences de continuité opérationnelle et des cycles de certification. Les organisations doivent plutôt mettre en place une sécurité autour de ces systèmes. La segmentation des réseaux, les passerelles unidirectionnelles et les contrôles d'accès rigoureux peuvent atténuer les risques que pose le vieillissement de l'équipement. Toutefois, ces contrôles compensatoires exigent une gestion et un suivi continus, que de nombreuses équipes d'ingénierie ne sont pas entièrement dotées de ressources.

Complexité du réseau et convergence OT/IT

Les systèmes de planification des ressources d'entreprise échangent désormais des données avec des systèmes d'exécution de fabrication. Les solutions d'accès à distance permettent aux fournisseurs et aux ingénieurs de résoudre les systèmes de contrôle de n'importe où dans le monde. Les plateformes d'analyse basées sur le cloud ingèrent les données de capteurs en temps réel pour optimiser les calendriers de production. Chaque point d'intégration crée des dépendances et introduit des risques.

La complexité est l'ennemi de la sécurité. Lorsque les réseaux grandissent de façon organique sans frontières architecturales claires, il devient difficile de cartographier les flux de données, d'identifier les comportements anormaux ou de contenir une brèche. De nombreuses organisations d'ingénierie exploitent des réseaux plats où un ordinateur portable compromis du côté de l'entreprise peut communiquer directement avec un PLC sur le plancher de l'usine. La visibilité dans le trafic OT est souvent limitée parce que les outils de sécurité informatique traditionnels n'ont pas été construits pour reconnaître des protocoles industriels tels que Modbus, DNP3 ou Profinet.

Le rôle de l'architecture de la confiance zéro

Les principes de confiance zéro, qui supposent qu'aucun appareil ou utilisateur n'est intrinsèquement digne de confiance, indépendamment de la localisation du réseau, sont de plus en plus pertinents pour l'infrastructure d'ingénierie. La micro-segmentation, l'authentification continue et les politiques d'accès les moins privilèges peuvent réduire considérablement le rayon de souffle de tout compromis. L'application de la confiance zéro aux environnements OT nécessite l'adaptation du modèle pour tenir compte des systèmes existants qui ne peuvent pas supporter l'authentification moderne.

Menaces d'initié : intentionnelles et accidentelles

Les employés, les entrepreneurs et les fournisseurs ayant un accès légitime aux systèmes d'ingénierie peuvent causer des dommages par négligence, mécontention ou contrainte. La menace d'initié est particulièrement difficile parce que ces personnes possèdent déjà des pouvoirs, connaissent la disposition du système et peuvent contourner les défenses du périmètre. Les incidents d'initié accidentels sont beaucoup plus fréquents que les incidents malveillants : un technicien qui branche un ordinateur portable infecté sur un réseau de contrôle, un ingénieur qui malconfigure une règle de pare-feu ou un entrepreneur qui partage des pouvoirs sur un canal non chiffré.

Les pistes de surveillance et de vérification doivent saisir qui a fait quoi et quand, avec des alertes pour des modèles d'activités inhabituels. Des vérifications de contexte et des examens d'accès devraient être effectués régulièrement pour tout le personnel ayant des privilèges élevés. Il est tout aussi important de favoriser une culture de sécurité où les employés se sentent habilités à signaler des erreurs sans crainte de punition, car le signalement précoce d'une erreur de configuration peut empêcher un incident à grande échelle.

Stratégies globales de cybersécurité pour l'infrastructure de génie

La protection de l'infrastructure d'ingénierie exige une approche en profondeur et en couches qui s'adresse aux personnes, aux processus et aux technologies. Les stratégies suivantes constituent une base pour toute organisation sérieuse en matière de résilience opérationnelle.

Inventaire des actifs et visibilité

Un inventaire complet et à jour de tous les connexions matérielles, logicielles, firmware et réseau dans l'environnement OT est essentiel, notamment pour documenter les types d'appareils, les fabricants, les versions de firmware, les adresses IP, les protocoles de communication et l'état des patchs. Les outils automatisés de découverte d'actifs conçus pour les réseaux industriels peuvent identifier des appareils précédemment inconnus et signaler des connexions non autorisées.

Segmentation des réseaux et politiques sur les pare-feu

L'architecture de référence de Purdue Enterprise, communément appelée modèle Purdue, fournit un cadre hiérarchique pour séparer les réseaux OT en niveaux, des dispositifs de terrain au niveau 0 aux systèmes d'entreprise au niveau 4. Pare-feu industriels et passerelles unidirectionnelles appliquent des règles qui permettent seulement le trafic nécessaire entre les niveaux. Cette stratégie de confinement empêche une brèche dans le réseau d'entreprise d'atteindre des contrôles critiques en matière de sécurité et limite le mouvement latéral si un dispositif OT est compromis.

Contrôles d'accès et authentification

Les identifiants par défaut sont l'une des vulnérabilités les plus courantes et les plus dangereuses dans les systèmes d'ingénierie. Tous les noms d'utilisateur et mots de passe par défaut doivent être modifiés avant le déploiement. L'authentification multifactorielle doit être requise pour tout accès à distance ou administratif aux systèmes OT. Lorsque l'équipement existant ne peut pas supporter MFA, les organisations doivent déployer des serveurs bastion ou sauts qui font exécuter l'authentification avant de proxyner les connexions aux périphériques en aval.

Gestion des lots et des vulnérabilités

Les fournisseurs doivent certifier les correctifs pour des modèles d'appareils particuliers et appliquer des mises à jour peut exiger des pannes programmées qui perturbent la production. Les organisations devraient maintenir un programme de gestion de la vulnérabilité fondé sur le risque qui priorise les correctifs en fonction de l'exploitation, de l'impact potentiel et des contrôles compensatoires disponibles.

Surveillance continue et détection des anomalies

La surveillance continue du trafic réseau OT, des journaux de périphériques et des événements système permet de détecter rapidement les opérations de reconnaissance, de mouvement latéral ou d'exécution de commandes malveillantes. Les plateformes de gestion d'informations et d'événements de sécurité (SIEM) peuvent regrouper les données provenant de sources IT et OT, mais elles doivent être adaptées pour reconnaître les anomalies du protocole industriel qui échapperaient aux signatures informatiques traditionnelles.

Planification et exercices de la réaction aux incidents

Chaque organisation technique devrait avoir un plan écrit d'intervention en cas d'incident qui traite des scénarios spécifiques à l'OT, y compris la perte de visibilité, la manipulation du système à distance et les impacts sur la sécurité physique. Le plan doit définir des rôles clairs, des protocoles de communication et des voies d'escalade qui fonctionnent pendant une crise lorsque les canaux normaux peuvent être perturbés.

Formation des employés et sensibilisation à la sécurité

Les programmes de formation doivent aller au-delà du personnel de TI pour atteindre tous les ingénieurs, techniciens et entrepreneurs qui interagissent avec les systèmes opérationnels. Le contenu devrait couvrir la sensibilisation au phishing, les pratiques d'accès à distance sécurisées, la manipulation appropriée des supports amovibles et les procédures de signalement d'activités suspectes.

Contexte réglementaire et de conformité

Aux États-Unis, la Cybersecurity and Infrastructure Security Agency (CISA) a publié des directives opérationnelles contraignantes à l'intention des organismes fédéraux et des directives volontaires à l'intention des propriétaires d'infrastructures essentielles. La North American Electric Reliability Corporation (NERC) applique les normes de protection des infrastructures essentielles (CIP) pour les systèmes d'électricité en vrac, exigeant le respect de contrôles de sécurité spécifiques et des audits annuels.

Le NIST Cybersecurity Framework est largement adopté comme norme volontaire pour organiser des programmes de sécurité autour de cinq fonctions : identifier, protéger, détecter, répondre et récupérer. De nombreux organismes de réglementation font référence au cadre comme point de repère pour la diligence raisonnable.

L'avenir : l'IA, l'apprentissage automatique et le design résilient

La cybersécurité de la prochaine génération d'infrastructures d'ingénierie sera façonnée par les progrès de l'intelligence artificielle et de l'apprentissage machine.Ces technologies offrent le potentiel d'analyser des volumes massifs de données OT en temps réel, en détectant des anomalies subtiles que les analystes humains ou les systèmes basés sur des règles pourraient manquer. Les modèles comportementaux peuvent apprendre les modes de fonctionnement normaux d'une turbine ou d'une pompe à eau et déclencher des alertes lorsque les écarts indiquent un compromis potentiel.

Cependant, l'IA n'est pas une balle d'argent. Les adversaires utiliseront également l'apprentissage automatique pour élaborer des campagnes d'hameçonnage plus convaincantes, découvrir des vulnérabilités système plus rapidement et éviter la détection. Les mêmes outils génériques d'IA qui aident les défenseurs à écrire des politiques de sécurité peuvent aider les attaquants à écrire des logiciels malveillants.

Les principes de conception résilients deviendront de plus en plus importants. L'infrastructure devrait être construite non seulement pour résister aux attaques, mais pour continuer à fonctionner en toute sécurité lorsque les défenses sont violées. Cela signifie concevoir pour la dégradation gracieuse, maintenir des capacités de dépassement manuel, et assurer que les systèmes de sécurité sont isolés des systèmes de contrôle.

Collaboration entre les disciplines

La cybersécurité pour les infrastructures d'ingénierie n'est pas un problème qui peut être résolu par les seuls professionnels de la sécurité informatique. Elle nécessite une collaboration étroite entre les ingénieurs qui comprennent le fonctionnement des systèmes, les experts en cybersécurité qui comprennent les vecteurs de menace et les décideurs qui établissent des cadres réglementaires.Le partage d'information entre les organisations est également essentiel.

Les fournisseurs de systèmes de contrôle industriel doivent prioriser la sécurité par la conception, l'expédition de produits avec des défauts de sécurité, des communications chiffrées et des mécanismes de patching simples. Les équipes d'approvisionnement devraient inclure les exigences de cybersécurité dans les contrats et vérifier les pratiques de sécurité des fournisseurs avant le déploiement.

Conclusion: Protéger l'os de la société

L'infrastructure d'ingénierie est la base invisible qui alimente les économies, transporte les gens, fournit de l'eau propre et permet la vie moderne. La transformation numérique qui a rendu ces systèmes plus efficaces les rend également plus vulnérables.Les cybermenaces ne sont pas hypothétiques; elles ont déjà perturbé les réseaux électriques, stoppé l'approvisionnement en carburant et mis en danger la sécurité publique.

Il n'existe pas de solution unique qui élimine tous les risques. Les organisations doivent plutôt adopter une stratégie globale fondée sur la visibilité des actifs, la segmentation des réseaux, les contrôles d'accès, la surveillance continue, la préparation aux incidents et la formation des employés. Elles doivent adapter les cadres réglementaires à mesure que les menaces évoluent et investissent dans de nouvelles technologies qui offrent à la fois des capacités défensives et une résilience opérationnelle.

Pour plus d'informations, le portail Cybersécurité de la CISA offre des ressources adaptées aux secteurs des infrastructures critiques, et les programmes de formation [ de SANS Security[ de SANS Security fournissent des connaissances pratiques aux équipes d'ingénierie.