Ces dernières années, les cyberattaques visant des infrastructures critiques OT (Operation Technology) ont littéralement explosé, avec une augmentation de 2000 % selon le dernier rapport IBM X-Force! Alors comment s’y prendre pour sécuriser les accès à distance au réseau d’une organisation, ayant un grand nombre d’opérateurs, sous-traitants et fournisseurs, sans utiliser de VPN, sans compromettre les processus et la continuité des opérations, ni pénaliser la productivité ?

Au minimum, il convient de savoir à tout moment qui (identité) fait quoi sur le réseau, à partir de quel endpoint et quand. Il faut surtout pouvoir exercer systématiquement un contrôle granulaire complet des accès, sur site et à distance. Voici quatre conseils de bonnes pratiques pour protéger les environnements OT des cybermenaces.

N°1 – Instaurer un cadre Zero-Trust

La plupart des organisations restent bloquées par le modèle traditionnel de sécurité du périmètre du réseau et utilisent des VPN et d’autres outils pour accorder l’accès à distance. Or, pour sécuriser un réseau, il faut d’abord identifier chaque utilisateur et chaque endpoint qui se connecte et à quelles données. C’est la base de tout cadre de sécurité, quel qu’il soit, y compris Zero-Trust. Voici comment procéder pour instaurer l’approche Zero-Trust à tout un réseau OT :

  • Appliquer la segmentation réseau : distinguer l’accès aux applications de l’accès au réseau. Ainsi, sous-traitants et fournisseurs n’ont accès qu’aux applications et aux systèmes dont ils ont besoin, sans VPN ni configuration complexe de pare-feu.
  • Appliquer la micro-segmentation au niveau applicatif, ce qui empêche les utilisateurs de découvrir des applications dont l’accès leur est interdit. En plus de se protéger de malveillances internes ou d’agressions extérieures, cette étape aide aussi à protéger l’environnement des erreurs humaines, l’une des premières causes de compromission et de mise à l’arrêt des systèmes.
  • Établir un point central de visibilité et d’accessibilité pour différents systèmes aux méthodes de connexion différentes. Les systèmes OT sont de plus en plus intégrés à des systèmes IT dans une volonté d’automatisation, d’efficacité et de réduction des coûts, limiter leur visibilité et leur accessibilité sur Internet aux seuls utilisateurs autorisés élimine donc une grande partie de la surface d’attaque.
  • Surveiller et enregistrer toutes les activités liées aux accès à distance par l’enregistrement vidéo des opérations à l’écran, l’enregistrement de la frappe, etc. L’enregistrement de session est essentiel à la fois pour la sécurité et pour la conformité.
  • Exercer un contrôle granulaire des sessions par l’instauration du principe de moindre privilège et la restriction des commandes pouvant être exécutées par identité/utilisateur.
  • Sécuriser les API : la protection des API contribue grandement à préserver l’intégrité des données communiquées entre dispositifs IoT et systèmes back-end. Seuls des dispositifs, développeurs et applications autorisés doivent pouvoir communiquer avec des API spécifiques.

N°2 : Faire coïncider les bons outils d’accès à distance aux bons scénarios

L’an dernier, la généralisation du télétravail a provoqué une adoption record des VPN. Malheureusement, les VPN et autres technologies d’accès à distance, comme RDP, sont utilisés au-delà des limites normalement prévues et donc de façon imprudente. Jamais le risque n’est plus grand et dévastateur que sur les réseaux OT. Les VPN et RDP doivent donc être éliminés dans ces scénarios, surtout en présence d’accès privilégiés et de tiers. S’ils conviennent pour les accès basiques de salariés distants à des systèmes réputés non sensibles (ex. e-mail, etc.), les VPN n’offrent pas la granularité de contrôle d’accès, la visibilité, l’évolutivité ni les avantages économiques qu’exigent les accès de tierces parties ou de salariés distants aux dispositifs OT/IoT. Les VPN ne permettent pas les accès granulaires selon le principe de moindre privilège, ni la surveillance/gestion des sessions indispensables pour sécuriser et superviser les accès des utilisateurs privilégiés.

N°3 : Comprendre la sécurité IT vs. la sécurité OT

Dans la plupart des organisations, les règles et les accords de service conclus pour les systèmes IT ne sont pas valables pour l’environnement OT, ce qui crée des failles de sécurité et de gestion. Gérer la sécurité et le risque des environnements OT ne peut se réduire à la simple application des meilleures pratiques de sécurité IT au système OT. Se contenter de solutions grand public d’accès à distance, de support et autres ne suffit pas à garantir la protection des environnements les plus sensibles. De plus, les délais d’obsolescence de la technologie OT sont bien plus longs que pour les systèmes IT. On continue de voir des environnements OT où prolifèrent des systèmes en place depuis 20-25 ans. Dans l’univers IT, les équipements durent rarement plus de cinq ans. Conclusion, des endpoints différents coexistent pour lesquels il n’existe pas de correctifs ou même de mise à jour faute de puissance de calcul suffisante.

N°4 : Adopter des pratiques robustes de gestion des identifiants privilégiés, sans aucun partage de mots de passe !

Les mauvaises pratiques d’utilisation des mots de passe persistent dans les environnements OT et demeurent l’une des causes principales de compromissions. Il n’est pas rare que les mots de passe soient partagés en interne et avec l’extérieur et les accès ne sont pas limités à des périphériques ou segments de réseau spécifiques. Pour réduire les risques de compromission des identifiants privilégiés au sein de l’environnement OT, il faut protéger les accès aux mots de passe des comptes privilégiés et aux clés SSH. Les organisations peuvent mettre en place une solution de gestion des identifiants privilégiés permettant un contrôle total des accès aux systèmes et aux applications par la gestion des sessions live, de sorte que les administrateurs puissent enregistrer, bloquer et documenter tout comportement suspect avec la possibilité de verrouiller ou de couper les sessions. Une telle solution doit également permettre d’éliminer les mots de passe embarqués et par défaut de les fédérer sous une même gestion centrale et active.

L’OT sous-tend des processus critiques qui, s’ils venaient à être compromis, pourraient avoir des conséquences catastrophiques, y compris des pertes de vies humaines. Il est donc plus que nécessaire que les organisations adoptent des solutions et des stratégies pour sécuriser leurs environnements OT au regard de leurs besoins spécifiques, pour les protéger de toute potentielle cyber attaque.
___________________

Par William Culbert, Directeur EMEA Sud de BeyondTrust