o   l’Internet industriel des objets abaisse les barrières traditionnelles de sécurité entre OT (Operational Technology) et IT (Information Technology);

o   l’absence de mécanismes de sécurité intégrés, une visibilité limitée et le manque de connaissances sont les principaux défis auxquels se heurte la cybersécurité de l’IIoT ;

o   l’IIoT a considérablement étendue la surface d’attaque, d’où une augmentation très forte du nombre d’incidents de sécurité au cours des dernières années.

Pourquoi l’Internet industriel des objets représente-t-il un tel défi en matière de cybersécurité ?

La réponse a trait à la nature même de l’Internet industriel des objets. L’IIoT fait généralement référence à des capteurs, instruments, appareils et applications industrielles interconnectés tels que ceux utilisés dans la gestion de la production et la gestion de l’énergie. Cette connectivité permet la collecte, l’échange et l’analyse de données et a pour objectif d’améliorer la productivité et l’efficacité. Nous devons approfondir cette définition en clarifiant deux autres concepts importants : les systèmes de contrôle industriel (ICS) et la technologie opérationnelle (OT).

  • « Systèmes de contrôle industriel (ICS) » est une expression générique couvrant plusieurs types de systèmes de contrôle et instrumentations associées utilisés dans le contrôle des processus industriels. L’ampleur de ces systèmes est variable, allant de quelques contrôleurs modulaires encastrables à d’immenses systèmes de contrôle interconnectés, distribués de manière interactive et comportant des milliers de connexions sur site.
  • La technologie opérationnelle (OT) fait référence au matériel informatique et aux logiciels dédiés à la détection ou à l’initiation de changements dans les processus physiques par le biais d’une surveillance directe et/ou d’un contrôle des appareils physiques.

Les ICS et l’OT regroupent les systèmes de contrôle et d’acquisition de données (SCADA), les systèmes de contrôle distribués (DCS), les unités terminales distantes (RTU) et les automates programmables industriels (PLC). Les ICS et l’OT ne sont pas des concepts nouveaux, et nombre de leurs technologies et protocoles sous-jacents sont aussi vieux qu’Internet. Les modèles architecturaux qui régissent traditionnellement les ICS et l’OT établissent une séparation claire – ou « vide d’air » – entre contrôle industriel et infrastructure informatique générale. Dans le modèle Purdue, le vide d’air, ou zone dématérialisée, se trouve entre la Zone 3 et la Zone 4 (illustration). Ce vide d’air est important pour assurer la sécurité de la technologie opérationnelle.

Avec le temps, les experts du secteur ont découvert que contourner le vide d’air et connecter l’OT à l’IT et à l’Internet permettait aux organisations de générer encore plus de bénéfices, notamment en abaissant les coûts et en augmentant les performances, la productivité et l’agilité. Et c’est ainsi qu’est né l’Internet industriel des objets, ou Industrie 4.0.

Toutefois, en dépit de tous les avantages qu’elle procure, la convergence de l’OT et de l’IT pose un énorme problème : la sécurité. S’appuyant sur une séparation claire : les équipements et les systèmes de contrôle de l’OT, vieux d’une décennie, n’ont pas été conçus avec des mécanismes de sécurité intégrés, et encore moins pour être connectés à Internet. Les réseaux d’OT sont bien plus complexes, moins standardisés et plus diversifiés que les réseaux d’IT. Une myriade de technologies et de protocoles de communication, dont beaucoup sont exclusifs, ne sont pas conçus pour prendre en charge les mécanismes modernes de cybersécurité.

Aujourd’hui, nous sommes confrontés à une poignée de problèmes de sécurité avec l’OT :

  1. Une absence de mécanismes de cybersécurité intégrés et de normes applicables ;
  2. Une visibilité très limitée (très loin de celle à laquelle nous étions habitués dans l’espace IT) ;
  3. Un manque de connaissances en matière de pratiques cybersécuritaires (spécifiques).

La convergence progressive IT/OT et le développement de l’Internet industriel des objets ont fait naître de nouveaux scénarios de risque. Historiquement parlant, les attaques visant les systèmes ICS se produisent depuis les années 1990. L’attaque Stuxnet en 2010 a été largement médiatisée, un ver informatique conçu pour s’attaquer aux centrifugeuses d’enrichissement d’uranium iraniennes, mettant en lumière ce qui pourrait se produire si des systèmes ICS étaient compromis.

Les trois dernières années ont connu une multiplication significative des cyberévènements liés à l’IIoT. Quelques exemples :

  • le ministère américain de la Sécurité intérieure/FBI a identifié la Russie comme étant le point de départ d’une attaque ayant cours depuis plusieurs années et visant des infrastructures et des industries américaines critiques ;
  • des piratages sont à l’origine d’interruptions temporaires de systèmes de pipelines pétroliers ;
  • des vulnérabilités ont été détectées dans divers types de matériels et de logiciels informatiques, y compris certains PLC, caméras de sécurité, routeurs, ponts/points d’accès et logiciels de gestion de réseau ;
  • émergence d’une nouvelle variante de TRITON/TRISIS pouvant être utilisée pour attaquer de nombreuses autres marques de matériels de systèmes de sécurité et ayant compromis des entreprises américaines ;
  • des organisations de communication par satellite de télécommunications, d’imagerie géospatiale et de défense aux États-Unis et en Asie du Sud-Est auraient été infiltrées par le groupe « Thrip » basé en Chine.

Dans l’article suivant, nous aborderons les solutions potentielles qui existent afin de mettre en place une défense contre ce type d’attaques.

__________
Bogdan Botezatu est Directeur des recherches sur les menaces de Bitdefender