Le cabinet conseil en cybersécurité, LEXSI a mené, pendant 4 ans, un audit sur les infrastructures de 50 de ses clients (notamment issus du CAC 40). Cette enquête, réalisée sur la base d’une référentiel maison représentatif (celui de l’ANSSI étendu) et mise à jour chaque année, a permis au cabinet de dresser le top 10 des principales vulnérabilités rencontrées lors de cet audit.
- Sécurité des OS/firmware, mis en danger du fait de systèmes d’exploitation obsolètes ou non à jour ou encore pas de hardening (mots de passes stockés de manière non sécurisés, privilèges administrateur en local…). Conséquences : des compromissions instantanées des machines / équipements terrain, des prise de main sur le SCADA et les IHMs… perturbation des automates.
- Protocoles non-sécurisés, c’est-à-dire sans chiffrement. Conséquences : récupération de logins/mots de passe… Déni / perturbation de service en modifiant des configurations réseau par exemple.
- Absence de SIEM, d’Intrusion Prevention System ou d’Intrusion Detection System. Conséquences : incapacité à détecter les attaques (tentative de brute-force sur une machine par exemple, envoi d’ordres aux équipements…) ou à détecter les signaux faibles précurseurs d’attaques, type APT.
- Interface Homme Machine connectée en permanence avec un compte « admin » par exemple ou encore session Windows non verrouillée et IHM accessible (accès physique au poste de supervision ou par de la prise en main à distance). Conséquence : perturbation du procédé industriel (compromission logique du poste ou accès physique).
- Pas de veille en cybersécurité, qui implique donc peu ou aucune connaissance des menaces et vulnérabilités affectant les systèmes et composants industriels. Conséquences : un manque de culture cybersécurité industrielle et donc une absence d’intégration de la sécurité dans les projets.
- L’absence d’antivirus actif et à jour sur les postes de travail et serveurs, qui a engendré pour 50% des cas, la présence du vers conficker sur des postes de supervision industrielle. Conséquences : une multiplication des infections des postes et serveurs par des malwares importés via des clés USB, perturbation des composants informatiques d’un système industriel.
- Interconnexion SIG/SII non sûre, exemple de cas de figure observés : un seul et unique réseau regroupant la bureautique et le SI Industriel, présence d’un firewall mais des règles non maîtrisées… Conséquences : les attaquants ont la possibilité de rebondir dans le SI industriel à partir du SI de gestion ou encore composants industriels exposés à des actes de malveillance volontaires ou involontaires.
- Mauvaise gestion des comptes, c’est-à-dire des mots de passe trop faibles ou inexistants ou encore l’usage d’identifiant par défaut user/user, winccd/winccpass, etc. Conséquences : possibilité de connexion illégitime à différentes ressources, obtention de droits élevés sur les systèmes exposés.
- Pas de tests sécurité, soit une absence totale de sécurité au sein des projets informatiques. Conséquences : exploitation des vulnérabilités, absence de feuille de route pour la cybersécurité industrielle.
- Pas de développement sécurisé, qui s’explique par des développements en interne (en fonction des besoins), comme par exemple : mot de passe hardcodés, stockage de comptes en clair ou encodés trivialement. Conséquences : des vulnérabilités aisément exploitables ou encore obtention de logins/mots de passe d’accès au SCADA et donc possibilité de perturbation de la supervision.
« Ce top 10 démontre qu’aujourd’hui les systèmes industriels sont particulièrement vulnérables et qu’il devient nécessaire que les entreprises se penchent sur cette problématique, prise, par ailleurs, très au sérieux par le législateur (notamment à travers la Loi de Programmation Militaire). Cependant, il est difficile d’appliquer des recommandations dans un environnement industriel ; cela implique inévitablement des conséquences sur la production et donc sur le coût », déclare David Bigot, expert SCADA chez Lexsi. « Mais c’est par la sensibilisation et l’évolution des mentalités, par le soutien de la direction et par la création de groupes de travail multi-compétences que passera l’amélioration de la sécurité au sein du monde industriel. »