Les récentes attaques contre les services publics de distribution d'eau montrent pourquoi la sécurité des technologies opérationnelles ne peut pas attendre.

Les récentes attaques contre le secteur de l'eau montrent pourquoi la sécurité des technologies opérationnelles ne peut pas attendre.

Infrastructures critiques Le secteur de l'eau est discrètement devenu l'un des domaines les plus disputés de la cybersécurité, et cet été l'a rendu impossible à ignorer. Une vague de cyberattaques, largement soupçonnées d'être liées à l'Iran, bien que non officiellement attribuées, a touché les systèmes informatiques opérationnels des services d'eau dans plus d'une douzaine d'États américains. Les attaquants ont pénétré les automates programmables connectés à Internet, ces petits ordinateurs industriels qui commandent les vannes, actionnent les pompes et maintiennent la pression de l'eau. Dans plusieurs cas, ils ont bloqué l'accès des opérateurs ou contraint les services d'eau à revenir à un contrôle manuel. Aucune eau potable n'a été contaminée et la plupart des incidents ont été résolus en quelques heures. Mais cette campagne a mis en lumière un problème dont le secteur de l'eau est averti depuis des années : les technologies opérationnelles conçues des décennies avant l'avènement des pratiques modernes de cybersécurité sont désormais dans le collimateur des acteurs étatiques.

Je me suis entretenu avec Nick Tausek, architecte de solutions principal chez Swimlane, pour discuter des raisons pour lesquelles les services de distribution d'eau figurent toujours sur cette liste, de ce qu'il faut réellement pour combler l'écart et de la place qu'occupe l'automatisation dans une solution que beaucoup de services publics ne peuvent pas se permettre autrement.

Pourquoi les services publics de distribution d'eau se retrouvent-ils constamment sur la liste des cibles ?

“ Il y a plusieurs raisons pour lesquelles les services de distribution d'eau, en particulier, constituent une cible si attrayante pour les acteurs étatiques ”, explique Tausek.

• La première est d'ordre technique. Ces systèmes utilisent généralement des technologies opérationnelles anciennes, antérieures aux pratiques modernes de cybersécurité. Les conseils habituels prodigués par les équipes de sécurité (authentification multifacteurs, mots de passe robustes, segmentation du réseau, principe du moindre privilège) ne sont souvent pas directement applicables aux anciens matériels OT.
• La seconde est économique. Une grande partie des services de distribution d'eau américains opèrent en zones rurales avec des budgets restreints. Beaucoup pensent qu'ils sont trop petits pour intéresser un adversaire. Cette supposition est erronée. Comme l'explique Tausek : “ lorsqu'un État ou un cyberadversaire compétent recherche des cibles, tout ce qui est connecté à Internet devient une cible. ”
• La troisième raison est l'impact. Les réseaux d'eau potable peuvent être rapidement endommagés et leur réparation lente. L'eau est essentielle à notre bien-être, et son absence engendre une situation d'urgence bien plus rapidement qu'une fuite de données, par exemple.

5 principes fondamentaux pour renforcer l'OT que personne ne peut ignorer

Interrogé sur les conseils qu'il donnerait à un service public fonctionnant avec un budget limité et du matériel ancien – ce qui, comme il le souligne, est le cas de la plupart des services d'eau du pays –, Tausek a expliqué cinq choses faciles à faire :

1. Séparez autant que possible les réseaux OT et IT, et utilisez des boîtiers de rebond plutôt que des connexions directes pour atteindre les systèmes OT qui ne peuvent pas être mis à niveau.
2. N’exposez jamais les dispositifs OT à l’internet public. Les automates programmables, en particulier, ne doivent absolument pas être accessibles depuis l’internet.
3. Changez les mots de passe par défaut partout. C'est un détail qui reste pourtant négligé dans le secteur.
4. Appliquez l'authentification multifacteurs et le principe du moindre privilège partout où l'équipement le permet.
5. Concernant les automates programmables industriels (API) en particulier : placez-les derrière des pare-feu et des passerelles avec des listes de contrôle d’accès (ACL) à jour, utilisez un accès réseau zéro confiance lorsque cela est possible, vérifiez régulièrement les configurations pour détecter les modifications non autorisées et remplacez les équipements en fin de vie lorsque le budget le permet.

Il ne s'agit pas là de conseils exotiques. Le problème ne réside pas dans l'information, mais dans sa mise en œuvre.

Là où l'hygiène fait défaut

Voici le problème : un service public peut mettre en œuvre toutes les mesures de cette liste et subir quand même une intrusion, car la segmentation et l’hygiène des mots de passe ne répondent pas à la question qui détermine réellement la gravité d’un incident : que se passe-t-il dans l’heure qui suit sa découverte ?.

Il s'agit généralement d'une procédure documentée comportant une vingtaine d'étapes : isoler le périphérique concerné, décider du basculement vers une sauvegarde, obtenir l'approbation des personnes compétentes, préserver les preuves et, enfin, prouver à un auditeur ou à un organisme de réglementation que tout s'est déroulé correctement. En temps normal, c'est gérable. En pleine crise, avec une équipe réduite et probablement surchargée de travail, c'est précisément le genre de procédure que l'on a tendance à négliger.

Le secteur a un nom pour l'indicateur qui mesure le coût de cette interruption : le temps de présence, soit l'intervalle entre l'intrusion d'un pirate et son expulsion effective. Plus cet intervalle est long, plus les dégâts sont importants et plus il devient difficile d'avoir la certitude qu'un environnement est réellement sécurisé ; de nombreux incidents qui semblaient résolus s'avèrent, parfois un an plus tard, ne jamais avoir été complètement clos.

Où un SoC basé sur l'IA est l'une des solutions

C’est là que l’automatisation trouve toute sa place, non pas en remplacement de la segmentation et du nettoyage, mais comme une des façons de combler l'écart ces mesures laissent la porte ouverte.

• Des manuels de jeu codifiés. Un processus d'isolation et de basculement en trente étapes est encodé une seule fois et exécuté de la même manière à chaque fois, au lieu de dépendre de la capacité de la personne de garde à s'en souvenir correctement à 2 heures du matin.
•  Gestion des dossiers avec piste d'audit. Les approbations, la collecte de preuves, les enquêtes sur les alertes et les mesures correctives sont gérées par un seul système capable également de produire la documentation qu'un auditeur ou un organisme de réglementation pourrait éventuellement demander.
• Intégration de l'outil d'audit. Plutôt que de générer une nouvelle pile de résultats de tests d'intrusion qu'une petite équipe ne peut exploiter, une couche d'automatisation basée sur l'IA peut s'interfacer directement avec les outils que les services publics utilisent déjà et transformer les résultats non structurés en un backlog priorisé et exploitable ; le problème précis auquel, selon Tausek, de nombreux services publics d'eau sont confrontés avec leur technologie héritée.
• Enquête accélérée par l'IA. Au lieu de jongler manuellement avec une douzaine d'outils pour confirmer la signification réelle d'une alerte, l'IA peut rassembler ce contexte en quelques minutes et confirmer, et non pas seulement supposer, qu'un attaquant a bel et bien disparu, et pas seulement cessé de fonctionner.

Le résultat mis en avant par Tausek est une réduction mesurable du temps d'exposition et un délai de réparation plus court, deux indicateurs qui, selon lui, seraient les plus importants. modifier la façon dont un incident de ce type se déroule pour une entreprise de services publics qui en est équipée par rapport à une qui n'en est pas équipée.

Que se passera-t-il ensuite ?

Tausek estime que ce problème ne se limite pas aux services de distribution d'eau. “ Nos adversaires utilisent des attaques basées sur l'IA contre tout ce qui est connecté à Internet, et pas seulement contre les services de distribution d'eau ”, explique-t-il. Il s'attend à ce que la complexité de ces attaques ne cesse de croître et que des organisations qui ne s'attendaient pas à être ciblées le découvrent de plus en plus souvent.  

Son point de conclusion mérite qu'on s'y attarde :

“ Peu importe que vous soyez un acteur du numérique ou un acteur du web ; si vous êtes connecté à Internet, vous deviendrez la cible d’un acteur géopolitique. La question est de savoir si vous en serez conscient et si vous pourrez y faire quelque chose. ”

Les attaques contre les compagnies des eaux cet été ne sont qu'un avant-goût d'un schéma qui va se répéter partout où un appareil est connecté à Internet. Les organisations qui se remettront le plus rapidement de la prochaine attaque seront celles qui auront déjà connaissance de l'incident. Nous avons déjà un système prêt à agir.

Foire aux questions sur la sécurité OT

L'eau potable a-t-elle été contaminée lors des cyberattaques contre le service des eaux ?

Non. Lors de la vague d'attaques qui a touché les systèmes de contrôle des services d'eau potable dans plus d'une douzaine d'États américains cet été, aucune eau potable n'a été contaminée et la plupart des perturbations ont été résolues en quelques heures. Les pirates ont accédé aux automates programmables (API) connectés à Internet et, dans plusieurs cas, ont bloqué l'accès des opérateurs aux commandes ou contraint les services d'eau à fonctionner manuellement, mais l'approvisionnement en eau lui-même est resté intact.

Qu'est-ce qu'un automate programmable industriel (API) et pourquoi les attaquants le ciblent-ils ?

Un automate programmable (PLC) est un petit ordinateur industriel qui gère les processus physiques d'une station d'épuration : ouverture des vannes, fonctionnement des pompes et maintien d'une pression d'eau constante. Les automates programmables attirent les pirates informatiques car nombre d'entre eux sont accessibles via Internet, fonctionnent avec des technologies antérieures aux pratiques modernes de cybersécurité et offrent à un attaquant un contrôle direct de l'infrastructure physique une fois compromis.

Pourquoi les services de distribution d'eau sont-ils fréquemment la cible de cyberattaques étatiques ?

D'après Nick Tausek, architecte de solutions principal chez Swimlane, les services de distribution d'eau sont ciblés pour trois raisons principales : leur technologie opérationnelle est antérieure aux pratiques modernes de cybersécurité ; nombre d'entre eux estiment que leurs budgets restreints, typiques des zones rurales, les rendent inintéressants, une opinion que les acteurs étatiques contestent ; enfin, les réseaux d'eau peuvent être compromis rapidement, mais réparés lentement, ce qui peut engendrer une situation d'urgence en un rien de temps.

Qu’est-ce que la sécurité OT et en quoi diffère-t-elle de la sécurité IT ?

La sécurité des technologies opérationnelles (OT) protège les systèmes qui gèrent les processus physiques, tels que les pompes, les vannes et les contrôleurs industriels, tandis que la sécurité informatique protège les ordinateurs, les réseaux et les données. Le matériel OT est souvent ancien et n'a pas été conçu en tenant compte de la cybersécurité ; par conséquent, les pratiques informatiques standard comme l'authentification multifacteur (MFA) et le principe du moindre privilège ne sont pas toujours directement applicables et doivent être adaptées aux capacités de l'équipement.

Comment les services de distribution d'eau peuvent-ils renforcer la sécurité de leurs systèmes OT contre les attaques ?

Tausek propose cinq mesures qui ne nécessitent pas un budget important : séparer les réseaux OT et IT et utiliser des passerelles plutôt que des connexions directes ; ne jamais exposer les équipements OT, notamment les automates programmables, à Internet ; modifier les mots de passe par défaut ; appliquer l’authentification multifacteur et le principe du moindre privilège lorsque l’équipement le permet ; et, pour les automates programmables en particulier, utiliser des pare-feu, des passerelles, un accès réseau « zéro confiance », effectuer des audits de configuration réguliers et remplacer les équipements en fin de vie dès que possible.

Qu’est-ce que le temps de séjour et pourquoi est-il important dans les incidents de sécurité OT ?

Le temps de présence correspond à l'intervalle entre l'intrusion d'un attaquant dans un système et son expulsion effective. Plus cet intervalle est long, plus les dégâts potentiels sont importants et plus il devient difficile de garantir la sécurité de l'environnement. Certains incidents, pourtant considérés comme résolus, s'avèrent parfois, un an plus tard, ne jamais avoir été complètement clos.

Qu’est-ce qu’un SOC basé sur l’IA, et comment contribue-t-il à combler le fossé en matière de sécurité OT ?

Un SOC (centre d'opérations de sécurité) basé sur l'IA formalise les procédures de réponse aux incidents, gère les cas grâce à une piste d'audit intégrée, s'intègre aux outils d'audit déjà utilisés par l'entreprise et exploite l'IA pour analyser les alertes et confirmer leur résolution. Swimlane met en avant une réduction du temps de détection et une accélération de la résolution des incidents comme résultats mesurables, comblant ainsi les lacunes que la segmentation du réseau et la gestion rigoureuse des mots de passe ne permettent pas d'atteindre à elles seules.

Ce problème ne concerne-t-il que les services de distribution d'eau, ou affecte-t-il d'autres secteurs ?

Cela concerne toute organisation connectée à Internet. Comme l'explique Tausek : “ Que vous soyez dans le secteur des technologies de l'information (TI) ou des technologies opérationnelles (TO), vous deviendrez la cible d'un acteur géopolitique si vous êtes connecté à Internet. ” Il prévoit que les attaques pilotées par l'IA gagneront en complexité dans tous les secteurs, et pas seulement dans la distribution d'eau.