if ( !emtpy($headline_subheadline ) ) : ?>
La perturbation d’un petit générateur britannique et les attaques contre les systèmes d’approvisionnement en eau aux États-Unis témoignent d’une cyber-tactique de guerre croissante consistant à exploiter des équipements industriels connectés à Internet dans de petites installations qui manquent d’argent et de personnel pour les défendre.
endif; ?>
Une cyberattaque qui a forcé un petit générateur électrique britannique hors service pendant quatre jours n’a provoqué aucune coupure de courant, n’a menacé aucune partie du réseau national et n’a peut-être même pas été menée par les pirates informatiques liés à l’Iran initialement accusés.
Mais l’incident illustre une faiblesse conséquente des infrastructures critiques occidentales. Des milliers de petits générateurs, de systèmes d’approvisionnement en eau et d’autres sites industriels disposent d’une technologie opérationnelle vieillissante – des automates programmables exposés, des modems cellulaires, des systèmes de gestion à distance – connectés à Internet sans programmes de sécurité protégeant leurs homologues plus importants, laissant des cibles faciles pendant une période de conflit géopolitique.
Les journaux britanniques ont rapporté que des pirates informatiques liés à l’Iran avaient attaqué le générateur non identifié en juillet. Le gouvernement britannique a confirmé qu’un incident s’était produit, mais n’a pas identifié l’installation, ni révélé ce que les attaquants ont fait, ni attribué l’attaque à l’Iran.
Le ministre de l’Energie, Michael Shanks, a cherché à atténuer certaines des couvertures les plus alarmantes, affirmant que le générateur était « minuscule » comparé à ce que la plupart des gens considéreraient comme une centrale électrique. Le gouvernement a néanmoins informé les dirigeants du secteur de l’énergie et a commencé à travailler avec les régulateurs et le Centre national de cybersécurité pour évaluer la menace et renforcer les protections.
Le peu d’informations publiques rend impossible de déterminer si l’incident était une opération iranienne, une intrusion opportuniste d’un autre acteur ou autre chose. Une personnalité en ligne se faisant appeler APT Iran a nié toute responsabilité.
Mais Tonkin prévient que les informations publiques sont devenues plus dramatiques à mesure qu’elles se transmettaient aux agences de presse – évoluant d’un incident survenu dans une petite installation énergétique à des informations faisant état d’une attaque contre une centrale électrique ou une centrale de pointe au gaz, malgré l’absence d’informations officielles étayant ces descriptions.
« Ce que nous avons vu jusqu’à présent semble avoir été un ensemble d’hypothèses rapportées et mises à l’échelle », dit-il.
Des systèmes d’eau américains au générateur britannique
Quoi qu’il se soit passé en Grande-Bretagne, cela correspond à un modèle documenté plus concrètement aux États-Unis.
Le FBI et l’Environmental Protection Agency ont déclaré le 30 juillet que les services publics de l’eau et des eaux usées d’au moins sept États avaient signalé des attaques contre les automates Rockwell Automation MicroLogix 1100 et 1400 connectés à Internet. Les attaquants ont modifié les adresses IP et les mots de passe, faisant perdre aux opérateurs la surveillance et le contrôle des équipements connectés.
Certaines attaques ont provoqué une perte de pression de l’eau et des inondations, selon les agences. Au moins une victime a découvert des fichiers de projet PLC modifiés et des anomalies dans l’équipement de contrôle de la logique à relais. Les conséquences opérationnelles variaient selon ce que le contrôleur gérait et si l’installation pouvait passer en fonctionnement manuel.
Le gouvernement n’a pas formellement attribué publiquement tous ces incidents à l’Iran. Mais un précédent avis multi-agences décrivait des acteurs affiliés à l’Iran exploitant des automates exposés et utilisant un logiciel de configuration pour apporter des modifications malveillantes.
Le nombre signalé d’États touchés est également controversé. L’APT Iran a reconnu des attaques dans moins d’États que ne l’ont rapporté certains médias, tout en niant l’intrusion du Royaume-Uni – une curieuse combinaison entre la revendication de certaines opérations et le désaveu d’autres.
« Lorsque nous voyons des groupes comme APT Iran ou CyberAv3ngers s’auto-attribuer des attaques, cela ne veut pas dire qu’il s’agit du gouvernement iranien », explique Tonkin. « Cela n’a pas vraiment d’importance pour le défenseur. Le défenseur doit savoir ce qui est vulnérable et comment défendre ces actifs, car n’importe qui peut copier ces méthodes. »
L’ambiguïté pourrait en elle-même profiter à l’Iran. Des attaques relativement simples peuvent créer des gros titres, de l’incertitude et des pressions politiques sans produire la clarté scientifique qui pourrait inciter le gouvernement à réagir vigoureusement.
Pour les attaquants incapables d’égaler la puissance militaire conventionnelle des États-Unis et de leurs alliés, les cyber-opérations offrent également un moyen relativement peu coûteux de déclencher un conflit sur le territoire d’un adversaire.
« Si vous y parvenez de manière significative, cela pourrait être dévastateur », dit Picolet. L’intention, spécule-t-il, pourrait être « de nuire à vos adversaires ou peut-être de briser votre volonté » en amenant le combat au niveau national, même s’il reste dans le cyberespace.
Pour l’instant, les opérations ont été plus perturbatrices que destructrices. Leur valeur immédiate pourrait résider dans le fait de créer de l’anxiété et de gagner de la publicité en affichant des captures d’écran de systèmes industriels compromis.
La longue traîne des infrastructures critiques
Le point commun le plus important entre les incidents au Royaume-Uni et aux États-Unis n’est pas nécessairement l’attaquant. C’est la cible.
Dans les deux pays, les grands services publics d’électricité, les sociétés pétrolières et gazières et les grands fabricants opèrent généralement dans le cadre de réglementations, de programmes formels de gestion des risques et d’architectures de sécurité conçues pour empêcher que des équipements industriels soient placés directement sur l’Internet public.
Les petits réseaux d’eau municipaux, les coopératives rurales et les installations communautaires ne bénéficient souvent d’aucun de ces avantages.
Leur numérisation a apporté de réels bénéfices. Un ingénieur n’a plus besoin de se rendre à une station de pompage ou à un générateur éloigné pour inspecter son état. Un modem cellulaire et une interface de gestion à distance permettent de surveiller et de régler les équipements à des kilomètres de distance.
La même connexion peut exposer des équipements conçus il y a des décennies, alors que leurs fabricants n’avaient jamais envisagé qu’ils seraient confrontés à des attaquants basés sur Internet.
« Ce qui a apporté l’efficacité a exposé ces actifs », explique Tonkin. « Dans les petites organisations, aucune gouvernance n’empêche un ingénieur de le faire. Des milliers et des milliers d’appareils très vulnérables sont connectés directement à Internet. »
Ces systèmes plus petits peuvent, individuellement, être sans conséquence sur un réseau national ou un approvisionnement en eau. Collectivement, cependant, ils créent des opportunités de perturbations généralisées, en particulier si un attaquant coordonne les opérations sur de nombreux sites ou exploite les dépendances entre les fournisseurs d’électricité, d’eau, de fabrication, de transport et de communications.
Tufts cite Colonial Pipeline comme un aperçu de cette dynamique, dans laquelle une attaque de ransomware contre une seule entreprise exploitant un pipeline s’est répercutée sur des pénuries de carburant bien au-delà de ses propres clients. « Cela interrompait les super majors », dit-il.
Retirez les automates de l’Internet public et préparez-vous au fonctionnement manuel
Les mesures de protection les plus urgentes ne sont ni nouvelles ni techniquement compliquées.
Le FBI et l’EPA recommandent de retirer les automates programmables de l’exposition directe à Internet et de placer l’accès à distance derrière une passerelle surveillée. Les opérateurs doivent sécuriser les modems cellulaires, remplacer les mots de passe par défaut ou faibles, restreindre les communications via des pare-feu ou des listes de contrôle d’accès et placer les commutateurs à clé physiques ou logiciels en position d’exécution pour empêcher les modifications non autorisées.
Les installations doivent également conserver des copies en bon état des programmes d’automate, inspecter la logique d’exécution pour déceler toute modification et tester leur capacité à faire fonctionner l’équipement manuellement.
Les équipements qui n’ont pas besoin d’être exposés à Internet doivent être déconnectés ou placés derrière une interface de gestion contrôlée, explique Picolet. Là où l’équipement ne peut pas être déconnecté, les opérateurs ont besoin d’une alternative testée, ajoute-t-il.
« Si vous dites que vous ne pouvez pas l’éteindre, alors vous feriez mieux de prévoir de passer en mode manuel ou de le désactiver si un événement se produit », explique Picolet. Les opérateurs doivent identifier les systèmes exposés avant qu’un attaquant ne le fasse et s’assurer que les employés se sont entraînés à les mettre dans un état manuel sûr.
Cela peut être difficile pour les petits services publics avec peu d’employés, une expertise technique limitée et des budgets financés par les contribuables locaux. Contrairement aux grandes compagnies d’électricité, les installations appartenant à la communauté peuvent manquer à la fois d’un processus formel de gestion des risques et des économies d’échelle nécessaires pour mettre en place un programme de sécurité OT conventionnel.
La Maison Blanche prépare actuellement un programme qui ferait appel à des sociétés privées de cybersécurité pour aider les services publics des eaux à identifier et à remédier aux équipements exposés.
Les grands opérateurs d’infrastructures ont également un rôle à jouer. Bien que leurs RSSI ne contrôlent pas directement la sécurité d’une usine d’eau rurale ou d’un générateur indépendant, leurs organisations peuvent dépendre de ces installations – ou y être connectées physiquement ou numériquement.
« Les RSSI et les grandes organisations peuvent faire beaucoup pour réfléchir aux personnes dont ils dépendent réellement dans leur chaîne d’approvisionnement énergétique et à la manière dont ils peuvent impliquer ces partenaires », explique Tonkin.
Il a comparé l’approche nécessaire avec les accords d’entraide que les services publics d’électricité utilisent après des tempêtes majeures. Les équipes de lignes de tout le pays aident à rétablir le service dans les zones touchées plutôt que de laisser chaque service public se débrouiller seul.
« Je pense qu’il est nécessaire que nous fassions davantage en tant que communauté dans le cyberespace pour résoudre certains de ces problèmes, car ces petites entités sont très, très difficiles à soutenir », déclare Tonkin. « Ils n’ont ni les budgets, ni les ressources. »
Dans le même temps, ces opérateurs doivent se protéger contre les risques qu’ils ne peuvent pas gérer directement, quel que soit l’auteur de la menace.
« Du point de vue des cyberdéfenseurs, cela ne nous importe pas : cela pourrait être des Martiens, des Iraniens, des Américains », dit Tufts. « Nous devons être meilleurs, et si quelqu’un prouve qu’il possède ces capacités, alors nous devons prendre cet avertissement. »
