Infrastructure hardening: cas d'usage

Une grande partie du parc de contrôle installé a des décennies, n'a jamais été conçue pour des réseaux hostiles, et est documentée, si tant est qu'elle le soit, par les fournisseurs étrangers qui l'ont bâtie. Un programme de durcissement commence donc par évaluer le parc tel qu'il est réellement plutôt que tel que les plans le prétendent, puis hiérarchise la réduction de l'exposition, segmente les réseaux de contrôle de ceux d'entreprise pour qu'une intrusion sur le réseau d'affaires ne puisse atteindre l'usine, et vérifie que les correctifs tiennent. Mener ce travail avec les exploitants qui font tourner les systèmes garde la carte détaillée du parc qui en résulte en mains nationales au lieu d'un fournisseur étranger, là où une carte de système de contrôle finit sinon discrètement.

Les systèmes SCADA et de contrôle industriel ne tolèrent ni l'indisponibilité ni les faux positifs que la sécurité informatique tient pour acquis, raison pour laquelle leur appliquer des schémas d'entreprise manque le point. La surveillance passive fonctionne partout où un commutateur peut être dupliqué, si bien que chaque vendeur crédible mène avec elle ; ce qui se brise dans les environnements isolés est la dépendance au cloud qu'une plateforme hébergée présume. Le mandat ici couvre spécifiquement les réseaux coupés avec une tolérance nulle aux faux positifs, car dans une sous-station ou une compensation de paiement, agir sur une mauvaise alerte peut déclencher la production ou arrêter le règlement. Le fonctionnement en réseau coupé et le chemin de mise à jour des signatures ont tous deux leur place dans un appel d'offres comme exigences écrites plutôt qu'hypothèses.

Les sous-stations sont là où le manuel de sécurité informatique échoue le plus visiblement, car les protocoles sont en temps réel et l'équipement précède le modèle de menace. La technologie de sécurité de sous-stations bâtie pour les environnements IEC 61850, validée par un laboratoire gouvernemental et déployée en réel plutôt qu'en pilote, se tient aux côtés d'une découverte zéro jour créditée au registre NIST américain. La couverture de protocoles court jusqu'à IEC 61850, Modbus et DNP3 y compris sur réseaux coupés, et l'étape d'acquisition honnête est de donner à chaque soumissionnaire le propre inventaire de protocoles de l'exploitant et de le faire répondre ligne par ligne, puis de demander lesquels de ces protocoles les chercheurs de chaque fournisseur ont personnellement brisés plutôt que simplement listés.

Le durcissement réduit ce qu'un attaquant peut atteindre ; la surveillance et la réponse traitent ce qui passe encore, si bien que les deux sont complémentaires plutôt qu'alternatifs. Beaucoup d'exploitants font tourner une plateforme de détection aux côtés d'un programme de durcissement plutôt que de choisir entre eux, et la pratique défensive ici tourne aux côtés du travail de durcissement, les opérations de sécurité bloquant plus de 100 000 menaces par jour sur les réseaux électriques, la finance régulée et les flottes en mer. Chiffré contre un abonnement de surveillance OT, le durcissement est un travail d'ingénierie cadré à état final défini plutôt qu'un coût qui récurre et s'échelonne avec sites et actifs, si bien que la comparaison juste est le coût total de programme sur cinq ans, conditions d'hébergement et de résidence des données comprises.

Les réseaux électriques et les systèmes de paiement défaillent différemment, pourtant la discipline sous-jacente est plus proche que la plupart des acheteurs ne le pensent : les deux sont en temps réel, les deux sont impitoyables à l'indisponibilité, et les deux sont défendus par trop peu de personnes. La pratique couvre énergie et électricité, infrastructure financière, systèmes de contrôle industriel et infrastructure nationale depuis une seule équipe, et elle s'étend aux OT derrière les ports où les systèmes de contrôle de terminaux comptent autant que ceux du réseau électrique. Parce qu'elle est native des OT et livrée par un seul canal redevable, un État peut durcir plusieurs parcs critiques sous une seule ligne de redevabilité plutôt que plusieurs fournisseurs étrangers, et il vaut de demander quels ingénieurs nommés travaillent réellement à la fois côté réseau électrique et côté paiement.

L'évaluation offensive contre le parc de contrôle trouve les faiblesses, le durcissement réduit l'exposition qu'elles révèlent, et les opérations défensives surveillent ce qui reste en continu, si bien que mener les trois par un seul canal redevable signifie que chaque étape informe la suivante au lieu d'arriver en contrats déconnectés. Le programme apparie aussi le durcissement cyber avec une inspection non destructive qui certifie le parc physique : le durcissement rétrécit la surface d'attaque des systèmes de contrôle tandis que l'inspection vérifie les structures qu'ils font tourner. Là où cette référence ne porte aucun chiffre audité, la capacité devrait se juger sur la méthode, évaluation native des OT, feuille de route hiérarchisée, segmentation et vérification, exécutée avec les propres personnes de l'exploitant et ne laissant aucune ligne de divulgation étrangère sur ce qui est trouvé.