Cybersécurité dans les réseaux industriels

La sécurité des réseaux industriels est un exercice d'équilibre entre sécurité et facilité de maintenance. Pour qu'un réseau soit parfaitement sécurisé, il faudrait qu'il soit impossible à modifier, ce qui n'est pas une solution réaliste, car l'accès par l'équipe de maintenance est indispensable pour garantir un fonctionnement 24/7. Un ingénieur expérimenté comprend qu'un problème imprévu peut survenir ou qu'une solution de contournement non conforme aux spécifications sera nécessaire, au moins à court terme. C'est de là que vient le terme  “insecure by design” (non sécurisé par conception). Le système de contrôle industriel est configuré de manière à permettre des modifications.

Types de sécurité

Sécurité par l'obscurité
La technique la plus utilisée en matière de sécurité de production est la sécurité par l'obscurité. Cela signifie que si une architecture est suffisamment obscure, il est peu probable qu'un acteur malveillant parvienne à la comprendre. Le principal problème est que si quelqu'un comprend la conception de l'appareil, quelqu'un d'autre peut également comprendre son fonctionnement. Dans le passé, cette technique était efficace, car il fallait des années d'expérience et de formation pour comprendre le fonctionnement d'un appareil ou même d'un réseau. De nos jours, la plupart des réseaux industriels fonctionnent via Ethernet, car cette technologie offre une bande passante élevée, est fiable, facilement accessible et les équipes informatiques la maîtrisent bien. De plus, tous les contrôleurs industriels disposent de tutoriels de programmation en ligne.

La dernière attaque majeure qui a fait grand bruit est celle de Stuxnet. Cette attaque a directement modifié les paramètres des PLC (contrôleurs industriels) de telle sorte que les centrifugeuses utilisées dans le processus d'enrichissement nucléaire iranien tournaient à des vitesses juste assez élevées pour causer des dommages, mais pas assez élevées pour que cela soit évident. Cela a été possible grâce à la nature en réseau des systèmes industriels modernes et a prouvé que les contrôleurs eux-mêmes pouvaient être compromis.

Séparation physique
On dit que le seul réseau sécurisé est celui qui n'est pas connecté à Internet. Il est recommandé de réduire autant que possible la surface d'attaque. Il est donc essentiel d'utiliser des réseaux distincts pour les utilisateurs et la production. Il n'y a aucune raison valable pour qu'un opérateur puisse consulter ses e-mails sur un client DCS.

Une conception idéale consiste donc à utiliser des commutateurs distincts pour chaque réseau. Une solution simple consiste à utiliser un VLAN pour séparer les appareils. Je préconise d'aller encore plus loin lorsque cela est possible, la version la plus sûre étant de séparer physiquement les commutateurs réseau. Ajoutez de nouveaux commutateurs aux armoires réseau existantes, connectez-y uniquement les appareils du réseau de production et installez une nouvelle fibre optique.

Il existe toujours des raisons d'exposer le réseau de production à Internet, par exemple pour pouvoir surveiller les conditions de l'usine à distance. Une solution consisterait à relier les réseaux à l'aide d'un pare-feu. Une équipe informatique utiliserait des techniques connues pour limiter l'accès à cet appareil aux seules personnes qui en ont besoin et le maintenir à jour avec les derniers correctifs de sécurité. Bien que cette solution ne soit pas parfaite, elle est très efficace car elle réduit considérablement la surface d'attaque.

Conception modulaire
Des problèmes surviennent en permanence dans les installations fonctionnant 24/7, où la maintenance passe au second plan par rapport au respect des délais. La conception de l'installation doit toujours viser à éviter les points de défaillance uniques. Si l'un d'entre eux est inévitable, il convient de prévoir un plan d'urgence pouvant être mis en œuvre rapidement.

Chaque terminal doit faire partie d'une cellule capable de s'autogérer et d'accomplir sa tâche sans avoir besoin d'un système de contrôle global. En cas de panne du système de contrôle principal, il doit être possible de faire fonctionner les appareils en mode manuel ou semi-automatique, et ce mode doit être facile d'accès. Cela signifie qu'il faut s'assurer que les appareils de différents fabricants communiquent avec les appareils situés en amont et en aval de la chaîne de production, idéalement sans passer par un point de défaillance central tel qu'un PC configuré par le fabricant de l'appareil pour connecter son groupe d'appareils au réseau interne, qui, d'après mon expérience, est généralement le maillon faible. Il est préférable que les appareils en temps réel s'interfacent avec des appareils en temps réel. À tout le moins, le réseau de production devrait être autosuffisant. Cela nécessite une conception correcte de l'architecture initiale du système, car il est beaucoup plus difficile de moderniser ces fonctionnalités.

Il ne s'agit pas toujours d'une menace externe pour la production. Peut-être qu'un conducteur de chariot élévateur a fait une embardée pour éviter quelqu'un et a percuté une armoire de commande. Peut-être qu'un appareil a été accidentellement chargé avec un code erroné et a déconnecté le bon appareil du réseau. Ce genre de choses arrive, et il est essentiel de gagner du temps pour que l'équipe de maintenance puisse trouver la solution. Chaque machine doit disposer d'un mode manuel et un opérateur doit pouvoir intervenir pour maintenir une partie de la production en marche, quelles que soient les circonstances externes. Dans le cas de la cyberattaque contre le pipeline, il devrait être possible de maintenir le flux de pétrole brut à l'aide d'une commande prioritaire, même si l'efficacité est réduite.

Surveillance continue
Dans la mesure du possible, il est judicieux de surveiller les appareils afin de s'assurer qu'ils fonctionnent correctement. Il faut partir du principe qu'une situation critique peut survenir et prendre des mesures pour garantir que tout dysfonctionnement soit détecté et corrigé rapidement.

Je recommande vivement les systèmes d'historisation qui enregistrent les données clés et sont capables de les afficher sous forme de tendances historiques. La plateforme Wonderware me vient à l'esprit, mais il en existe beaucoup d'autres dans l'infosphère des mégadonnées de l'IoT. Cela est utile pour la maintenance préventive. Une étape supplémentaire consiste à surveiller les contrôleurs industriels afin de s'assurer qu'ils exécutent le code correct à l'aide d'un outil tel que FactoryTalk AssetCentre. Cela est nécessaire car il est possible qu'un technicien charge un code erroné sur un contrôleur et il est préférable de le détecter le plus rapidement possible. Il n'est toutefois pas nécessaire d'utiliser un logiciel aussi coûteux, car il est possible d'utiliser un python pour interfacer les contrôleurs via des bibliothèques existantes et de disposer d'un script simple qui surveille les variables critiques.

Il est également judicieux de surveiller les intrusions dans le réseau. Par exemple, si quelqu'un tente de se connecter à un PLC et utilise un mot de passe par défaut, cela doit être signalé et une alarme doit être déclenchée. Cela permet d'alerter les personnes concernées avant qu'un problème ne survienne.

DevSecOps
DevSecOps signifie penser à la sécurité dès le départ. N'exposez que les points nécessaires à la lecture et à l'écriture, et n'utilisez pas de mots de passe par défaut. Limitez le système à ce dont il a besoin pour fonctionner, car tout le reste constitue un risque potentiel. Au stade de la conception d'un projet, l'architecte système peut y parvenir en quelques clics de souris. Dans le cas d'installations existantes, où il est courant de voir du matériel fonctionner bien au-delà de sa date de péremption, cela rend la sécurité plus difficile.

Cela signifie également qu'il faut s'assurer que les ingénieurs et les techniciens ont la capacité de faire leur travail. Il faut un architecte ayant une expérience de l'ensemble du cycle de vie d'un produit pour comprendre les besoins des équipes d'ingénierie et de maintenance.

Disposer d'un réseau très sécurisé ne signifie pas qu'il est impénétrable. C'est comme avoir un système d'alarme dans votre maison : avec suffisamment de temps et d'efforts, n'importe quelle serrure ou alarme peut être forcée. L'objectif est d'être une cible suffisamment difficile pour que l'attaquant décide que cela n'en vaut pas la peine et se tourne vers des cibles moins sécurisées.