Le rôle des technologies pour prévenir les cyberattaques contre les infrastructures essentielles

• La cybersécurité étant un problème numérique, elle nécessite des solutions numériques. Or, seule, la technologie ne suffira pas à arrêter les cybercriminels ayant les infrastructures dans leur ligne de mire.
• La solution consiste à adopter une approche modulaire plutôt que monolithique de la technologie.
• Reconnaître la convergence cyberphysique comme base d'innovation pourrait porter ses fruits. 

S'il existait une unité de soins intensifs pour les infrastructures, elle serait remplie de victimes de cyberattaques. En 2021, le système d'oléoducs Colonial Pipeline, l'entreprise de transformation de la viande JBS et l'autorité de transport métropolitaine de New York (MTA) ont été en proie à des attaques par ransomware (ou rançongiciels). Des cybercriminels ont installé des logiciels clandestins et pris en otage des systèmes informatiques en exigeant de lourdes rançons.

Les rançongiciels ne sont que l'une des armes d'un arsenal croissant de cyberattaques potentielles contre les infrastructures essentielles, dans lesquelles des pirates malveillants s'attaquent aux systèmes en réseau des lieux physiques. Les attaques visant à causer des dommages sont encore plus préoccupantes que les attaques motivées par l'appât du gain.

En février 2021, par exemple, des pirates informatiques se sont introduits dans les systèmes d'une usine de traitement des eaux à Oldsmar, en Floride, où ils ont tenté d'empoisonner l'approvisionnement local en eau. Plus précisément, ils ont détourné le logiciel qui contrôle les additifs chimiques et l'ont utilisé pour augmenter la quantité de lessive - le principal ingrédient des nettoyants liquides pour canalisations - jusqu'à 100 fois son niveau normal. Bien que l'attaque ait été détectée et corrigée avant que l'eau ne soit contaminée, les conséquences auraient pu être terribles.

« Je pense que le prochain Pearl Harbor, le prochain 11 septembre sera cybernétique », a déclaré le sénateur Angus King, lors d'une audition organisée en juillet par le Sénat américain sur les vulnérabilités des infrastructures en matière de cybersécurité.

Les atteintes à la cybersécurité pouvant passer inaperçues et n'étant souvent pas signalées, il est difficile d'évaluer l'ampleur réelle du problème. Pourtant, le tableau n'est pas beau à voir. La société de cybersécurité Deep Instinct affirme qu'il y a des « centaines de millions » de tentatives de cyberattaques chaque jour. Dans une étude récente, l'entreprise rapporte qu’au cours de l’année  2020, le nombre de logiciels malveillants en général a augmenté de 358 % et celui des ransomwares de 435 %.

« Le problème ne se limite pas au simple volume des attaques », déclare Guy Caspi, PDG de Deep Instinct. « Notre étude montre que la sophistication des attaques s'est accrue avec des tactiques d'évasion avancées qui rendent la détection beaucoup plus difficile. »

Pour Si Katara, cofondateur et président de HeadLight, fournisseur de technologies d'inspection photographique des infrastructures, le meilleur moyen de contrer les cyberattaques visant les infrastructures essentielles est d'accroître l'innovation.

« Les menaces qui pèsent sur le monde d’aujourd'hui augmentent de manière exponentielle », explique Si Katara. « Pour trouver l'antidote, nous devons faire avancer la sécurité de façon à suivre, voire à dépasser, la vitesse à laquelle ces menaces évoluent. Si nous n'accélérons pas l'innovation en matière de sécurité, les conséquences seront majeures. »

La cybersécurité étant un problème numérique, elle nécessite des solutions numériques. Or, la technologie seule ne suffira pas à arrêter les cybercriminels ayant les infrastructures dans leur ligne de mire. Ce qu'il faut, selon les experts, c'est une approche à 360 degrés de l'innovation, qui associe les nouveaux outils aux personnes, aux processus et aux perspectives.

Des systèmes d'infrastructure monolithiques aux systèmes modulaires

Pour protéger leurs actifs, les propriétaires et les opérateurs d'infrastructures essentielles doivent d'abord comprendre ce qui les rend si vulnérables.

Cela commence par leur valeur intrinsèque en tant que cibles. Les infrastructures sont essentielles, qu'il s'agisse de routes, de ponts, de centrales électriques ou de services de distribution d'eau, ce qui signifie que leur mise hors service a des conséquences considérables. Les économies et même les vies étant en jeu, les criminels partent du principe que des responsables seront désespérés et paieront des sommes considérables pour protéger des actifs vitaux. Et c'est souvent le cas.

Ainsi, les anciens systèmes, qui n'ont pas été conçus en tenant compte de la cybersécurité, perdurent. « Le problème de ces anciens systèmes monolithiques est qu'ils sont difficiles à moderniser », explique M. Katara. « Si l'on veut mettre à jour un élément, il faut redéployer l'ensemble. Ces systèmes monolithiques sont donc actualisés en bricolant et en mettant des rustines. Mais, au fil du temps, le rapport entre le système d'origine et le ruban adhésif s'inverse et, finalement, on se retrouve avec plus de rustines, ce qui affaiblit le système et le rend très vulnérable. Une cyberattaque moderne vient alors de prendre pour cible ces points faibles, et c'est tout le monolithe qui s'écroule ».

La solution consiste à adopter une approche modulaire plutôt que monolithique de la technologie, selon Katara, dont la technologie d'inspection visuelle HeadLight est basée sur le cloud et l’architecture ouverte, ce qui lui permet de communiquer avec les systèmes existants sans en être dépendante. « Il est ainsi beaucoup plus facile d'isoler et d'actualiser les composants pour assurer le bon fonctionnement des choses », explique-t-il. « Lorsqu'il y a une innovation, il n'est pas nécessaire de démolir tout le système. Il suffit de retirer une seule pièce et de brancher le nouveau composant ».

Cela est particulièrement utile du point de vue de la sécurité. Lorsque l'un des clients de HeadLight a été victime d'une cyberattaque, ses anciens systèmes ont été mis hors ligne pendant quatre à six semaines. En attendant, les projets utilisant HeadLight se sont poursuivis sans encombre.

« Comme il fonctionne de manière indépendante, HeadLight n'a pas été affecté par la cyberattaque qui s'est produite », explique Katara. « Dès que l'équipe informatique a pu restaurer ses systèmes existants, toutes les données et informations collectées et stockées par HeadLight ont pu être synchronisées de nouveau avec ces systèmes en toute sécurité. »

Développer un état d'esprit « zéro confiance »

L'architecture modulaire est un exemple d'innovation en matière de sécurité des infrastructures. Selon Kevin Heaslip, chercheur en cybersécurité et professeur de génie civil et environnemental à Virginia Tech, la détection des intrusions en est un autre et

représente une innovation dans la façon de penser, qui consiste à aborder un problème courant sous un nouvel angle. En l'occurrence, il s'agit de passer d'une posture d'arrêt des cyberattaques à une posture de gestion de celles-ci.

« Nous devons cesser de penser que les cyber-systèmespourront être un jour complètement sécurisés », explique M. Heaslip. Le terme utilisé pour cela est « confiance zéro ». Nous devons partir du principe qu'à un moment donné, des personnes seront en mesure de pénétrer dans nos systèmes. Si c'est le cas, nous devrions peut-être moins penser à arrêter les pirates et davantage à détecter leur arrivée et les changements qu'ils apportent aux systèmes pendant qu'ils sont là.

À cette fin, les recherches actuelles de M. Heaslip se concentrent sur l'utilisation de la modélisation 3D pour créer des jumeaux numériques de systèmes cyberphysiques et sur l'apprentissage automatique pour cartographier ces systèmes afin de détecter les changements.

« Si un cyberpirate a une meilleure compréhension de votre système que vous, vous ne pourrez pas vous défendre », explique-t-il. « Nous utilisons l'apprentissage automatique pour établir une base de référence sur la façon dont le système fonctionne lorsqu'il n'est pas attaqué, dans le but de pouvoir détecter les changements lorsqu'ils surviennent ».

Plus précisément, M. Heaslip travaille avec le ministère américain de l'Énergie pour sécuriser les systèmes de recharge des véhicules électriques. « Nous modélisons le véhicule, le chargeur, le réseau et les interactions entre ces trois systèmes pour comprendre où se trouvent les vecteurs d'attaque », explique-t-il. « Ce qui nous inquiète le plus, c'est une attaque qui commence dans un véhicule ou un chargeur, puis se propage dans le réseau pour perturber l'alimentation électrique de toute une région. »

À terme, l'objectif est de créer des systèmes d'autoréparation capables de détecter les intrusions et d'exécuter des mesures d'atténuation et des réparations automatisées. « Il y a des milliards de tentatives et d'attaques qui se produisent chaque jour sur nos réseaux, et nous n'avons pas assez de personnel qualifié pour pouvoir répondre à chacune d'entre elles », explique M. Heaslip. « À long terme, nous devons donc utiliser des fonctions automatisées pour lutter contre ces attaques. »

L'innovation par la collaboration

Malgré sa réputation d’être luddite et son attachement aux systèmes existants, le secteur public apporte une contribution importante à l'innovation en matière de cybersécurité, selon David Mussington, directeur adjoint exécutif pour la sécurité des infrastructures à l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA). Bien que la plupart des innovations en matière de cybersécurité proviennent du secteur privé, il estime que le gouvernement peut contribuer à les catalyser par le biais d'un travail collaboratif.

« Du point de vue des infrastructures essentielles, il existe un partenariat public-privé pour l'application et la codécouverte de solutions », explique M. Mussington. « Nous discutons directement avec l'industrie des risques qu'elle encourt, et nous développons et préconisons de manière interactive des solutions alignées sur les meilleures pratiques. Ces meilleures pratiques proviennent de l'industrie, d'entreprises leaders dans leur domaine, mais aussi d'organismes tels que le NIST (National Institute of Standards and Technology), avec lequel nous collaborons pour nous assurer que les normes de cybersécurité sont traduites dans des formats et des services que l'industrie peut utiliser et avec lesquels elle peut innover.

L'infrastructure énergétique est différente de l'infrastructure hydraulique, qui est donc différente de l'infrastructure de transport. Grâce à la CISA et à son organisation d'engagement des parties prenantes, le gouvernement fédéral peut être un porte-parole neutre pour diffuser les connaissances entre les secteurs afin de codifier les meilleures pratiques et de stimuler de nouvelles idées.

« L'expertise de votre domaine d'activité n'est pas la même que l'expertise des cyberrisques auxquels votre entreprise est exposée », explique M. Mussington. « La CISA est spécialisée dans la sensibilisation aux cyberrisques, c'est-à-dire dans la connaissance des tactiques, techniques et procédures que les cyberpirates pourraient utiliser pour attaquer les infrastructures essentielles, et nous pouvons utiliser cette spécialité pour renforcer les préoccupations en matière de risques commerciaux avec les préoccupations globales concernant les risques opérationnels du point de vue du gouvernement. Nous pouvons le faire dans une perspective intersectorielle. »

Une perspective intersectorielle est particulièrement précieuse dans le contexte de l'informatique omniprésente. « À la CISA, nous passons beaucoup de temps à réfléchir à la convergence cyberphysique », explique M. Mussington. « C'est une chose d'avoir un système critique comme une voiture, un pont ou un tunnel. C'en est une autre lorsque vous placez une infrastructure de communication à l'intérieur de ce système physique. Tout à coup, on se retrouve avec une complexité beaucoup plus grande, avec différents types de risques et de priorités qui doivent être harmonisés. Ce lien cyberphysique prend tout son sens avec l'internet des objets, qui propage les technologies informatiques dans un grand nombre de systèmes qui n'étaient généralement pas mis en réseau auparavant ».

Ne pas reconnaître la convergence cyberphysique peut avoir des conséquences désastreuses pour les infrastructures essentielles, mais l'utiliser comme base d'innovation pourrait largement porter ses fruits.

« Nous pouvons être plus sûrs et plus efficaces en même temps », affirme M. Katara. «Il suffit de renoncer au statu quo. »