Des années d’abandon mettent en danger les infrastructures critiques

Par Yves Grandmontagne, rédacteur en chef de Datacenter Magazine 

C’est certainement le principal enseignement de l’attaque du ransomware sur Colonial Pipeline : des années de sous-investissement et d’inaction ont fragilisé les infrastructures critiques et laissent aujourd’hui des failles d’infrastructure.

L’attaque a fait grand bruit aux Etats-Unis : Colonial Pipeline Co, l’un des principaux transporteurs de carburants, a subit une attaque par ransomware et a fini pas payer la rançon. Le réseau de pipelines a été compromis par un gang de ransomwares lié à la Russie : DarkSide.

L’attaque a porté sur les infrastructures critiques, les réseaux industriels, de la société. Or, le risque est connu, depuis longtemps, mais Colonial Pipeline est coupable de ne pas y avoir porté suffisamment d’intérêt, et ainsi de s’être mise en danger.

L’idée qui prévôt dans une partie de l’industrie, c’est que les infrastructures critiques, les réseaux qui communiquent et pilotent les systèmes industriels, sont d’une grande robustesse puisqu’ils sont propriétaires et fermés. Mais c’est oublier que le risque a augmenté avec l’exposition des systèmes de contrôle industriels OT à l’Internet ouvert et connectés aux systèmes informatiques via l’automatisation.

Une étude récente (2021) de la société de cybersécurité industrielle Claroty révèle qu’aux Etats-Unis les systèmes de contrôle industriels ont fait l’objet de 893 divulgations de vulnérabilités en 2020, en hausse de 25% d’une année sur l’autre. La fabrication critique, l’énergie – dont l’électricité, le pétrole et le gaz naturel -, l’eau et les eaux usées ont signalé le plus de vulnérabilités.

Du côté des ransomwares, les attaques contre les infrastructures industrielles critiques ne cessent d’augmenter régulièrement. L’Université Temple a documenté 396 attaques de ransomwares contre des infrastructures critiques américaines en 2020, soit une hausse de 93% d’une année sur l’autre.

La dépendante aux technologies numériques pour rationaliser les opérations a augmenté la surface d’attaque vulnérable. Les responsables des infrastructures critiques le savent depuis des années, l’automatisation et l’exposition à l’Internet public en font des cibles plus visibles d’attaques malveillantes.

De nombreuses entreprises manquent d’éléments de sécurité importants, notamment un inventaire complet des actifs, des technologies de protection telles que les pare-feu et la segmentation du réseau, des outils pour détecter les activités réseau anormales ou malveillantes, ou un personnel de sécurité formé pour répondre aux attaques.

Le datacenter, positionné en point d’accès et de collecte des données pour les systèmes d’information se retrouve au cœur du risque industriel. Avec la vision du edge computing qui trouve sa place dans les espaces de colocation via en particulier des infrastructures bare metal, une parpie de la menace sur les systèmes OT connectés passe désormais par les datacenters. Sans oublier non plus les équipements industriels (UPS, électrique, groupes, etc.) dont certains par leur vétusté offrent une surface d’attaque.

Une prise de conscience du risque cyber jusque dans les infrastructures critique s’impose, chez les opérateurs de datacenter comme chez les industriels et leurs clients.