Sécurité du secteur énergétique : favoriser la micro-segmentation

Le refus d’accorder l’agrément de sécurité à Electrabel pour les centrales nucléaires pose la question de la protection des données. Une piste serait la micro-segmentation, avance Unisys.

Electrabel, l’exploitant des sept réacteurs nucléaires belges, n’a pas reçu l’agrément de sécurité de l’Agence fédérale de contrôle nucléaire; il a six mois pour se conformer à toutes les règles en matière de sécurité. En cause, la protection des documents liés à la sécurité des centrales nucléaires; ils ne seraient pas suffisamment protégés… L’affaire est d’importance. Jamais la manière dont le secteur de l’énergie aborde la sécurisation de son infrastructure numérique n’aura revêtu un caractère aussi critique.

Depuis longtemps, Unisys prône la mise en oeuvre de techniques de chiffrement et de micro-segmentation basée sur l’identité. «C’est là une approche robuste de la sécurité qui permet aux entreprises de segmenter aisément leurs réseaux physiques en milliers de micro-segments logiques, explique Tom Patterson, Chief Trust Officer, Unisys. Quand bien même des personnes malveillantes réussiraient à faire incursion dans l’un des micro-segments, elles n’en auraient pas pour autant la possibilité d’accéder à d’autres parties de l’environnement de l’entreprise. Cette approche doit améliorer l’utilisabilité et la sécurité en établissant des zones de confiance zéro où des contrôles d’accès plus granulaires peuvent être appliqués : des réseaux virtuels isolés sont ainsi créés et existent en parallèle les uns des autres.»

L’exemple de Stuxnet

Historiquement, les systèmes de contrôle industriel (ICS – Industrial Control Systems) vitaux dont dépend le secteur énergétique n’avaient nul besoin d’être connectés à Internet; ils étaient gérés sur des réseaux privés. Toutefois, la demande qui s’est fait jour pour une connectivité Internet, des dispositifs connectés et des processus IoT a pour résultat que plus aucun réseau, aujourd’hui, n’est privé. Si l’on y ajoute le fait que des systèmes d’exploitation vieillis, qui ne sont plus supportés, sont encore à l’oeuvre au sein de nombreux systèmes de contrôle industriel à vocation énergétique, vous avez là tous les ingrédients d’un désastre sécuritaire, explique Unisys.

Stuxnet illustre bien cette évolution. C’est sans doute le malware sophistiqué le mieux documenté et le plus connu qui se soit insinué dans des systèmes de contrôle industriel sans être repéré. Stuxnet, rappelons-le, a réussi à provoquer l’arrêt temporaire de centrifugeuses d’enrichissement d’uranium sur un site nucléaire iranien.

Tout comme Stuxnet s’était déjà installé au sein des systèmes, les épiant, avant d’être activé, il apparaît comme de plus en plus probable que d’autres formes de maliciels aient infecté des infrastructures de production et distribution d’électricité, d’eau, de gaz ou d’autres infrastructures énergétiques critiques et qu’elles se tiennent prêtes à frapper. Dans ce contexte, l’élément inquiétant est que le nombre d’«armes numériques» ait connu une progression significative, en termes de sophistication et d’impact, depuis que Stuxnet a été déclenché. Wiper et Havex sont deux exemples de maliciels qui s’attaquent tant aux infrastructures physiques que numériques.

Plus récemment, l’acte de piratage sur une centrale électrique en Ukraine était un exemple aussi grave que bien réel. Tout accès primaire au réseau -que ce soit par le biais d’un courriel malveillant à l’aide de techniques d’ingénierie sociale ou via des systèmes IT ou des logiciels mal sécurisés- peut mettre à genoux une nation toute entière et peut a priori être considéré comme incontrôlable.

Zero-trust

En réalité, les sociétés peuvent retrouver la maîtrise de la situation grâce à des technologies modernes, notamment la micro-segmentation et, de ce fait, rayer de la carte la menace de cyber-attaques. Mais comment procéder ?

«Il est virtuellement impossible de bloquer chaque instance de malware, répond Tom Patterson. Les cyber-attaquants n’ont de cesse de rechercher de nouvelles techniques et méthodes leur permettant de contourner les mesures de sécurité. Voilà pourquoi il est plus important que jamais que les opérateurs de systèmes de contrôle critiques comprennent l’importance d’un réseau robuste, sécurisé et redoutable qui réduise le degré d’impact disruptif et les conséquences négatives qu’implique l’ouverture d’une brèche.»

Basée sur le principe du zero-trust (aucune confiance), la micro-segmentation permet aux entreprises de programmer une politique de sécurité basée sur le type de données auxquelles il est possible d’accéder et sur leur degré d’importance et de sensibilité. «La segmentation s’opère au niveau des paquets transitant sur le réseau et non au niveau des applications, enchaine Tom Patterson. La méthode est nettement plus efficace qu’une protection individuelle de chaque application contre toute forme possible et imaginable de maliciel. En créant des cloisons de séparation au sein du réseau, on fait en sorte que les accès -et les dommages potentiels- soient limités et que les assaillants ne puissent se progresser par expansion et ne touchent ainsi la totalité du réseau.»

Tout comme le pare-feu fut un choix évident pour la sécurité des réseaux au cours de la décennie écoulée, la micro-segmentation s’imposera dans le paysage sécuritaire les prochaines années. «La technologie s’appuie sur des normes ouvertes, mais la principale raison de sa popularité demeure le fait qu’elle procure une protection plus efficace et plus efficiente que des méthodes traditionnelles telles que l’installation de pare-feu supplémentaires ou de VPN, conclut Tom Patterson. Compte tenu du contexte actuel qui voit les infrastructures nationales critiques faire face à un taux de menace très élevé, le déploiement de la micro-segmentation devrait figurer en tête de liste des priorités des directeurs IT et des dirigeants d’entreprise.»