Fin novembre, quelques jours seulement avant que la dinde de Thanksgiving ne touche la table, les pirates informatiques lanceront une attaque coordonnée sur le réseau électrique nord-américain. Ils cibleront les centrales de production d’électricité, les tours de transmission et les installations de distribution dans le cadre d’une démonstration de force qui laissera des millions de maisons sans électricité et arrêtera les installations d’infrastructure.
Le FBI, le Département de la sécurité intérieure et des dizaines de responsables de la sécurité de l’information (RSSI) dans les principaux services publics auront du mal à répondre et à empêcher l’attaque de se propager. Heureusement, ils auront une ligne directe vers les attaquants et comprendront leurs motivations : ils veulent nous protéger.
Ce scénario d’attaque fait partie d’un effort massif de la part du plus grand chien de garde des services publics du pays pour tester la préparation de notre système énergétique, afin de trouver ses forces et d’approfondir ses faiblesses à une attaque numérique ou physique. La North American Electric Reliability Corporation (NERC), le chien de garde du secteur, lancera cette agression simulée contre des centaines de services publics les 16 et 17 novembre.
Les enjeux n’ont jamais été aussi élevés. L’année dernière, les attaques de ransomware et de chaîne d’approvisionnement contre les réseaux utilitaires ont plus que doublé, selon une étude de la NERC. Au cours des deux années qui ont suivi le dernier exercice de la NERC, en 2019, il y a eu une pandémie mondiale. Les réseaux de services publics ont explosé sous le télétravail, et de nouveaux espaces d’attaque pour les pirates informatiques se sont ouverts à mesure que le nombre d’ endpoints des travailleurs a explosé.
NERC laisse les services publics inviter les développeurs de logiciels à participer à l’exercice. Mais les services publics ne le font pas toujours, et cela déclenche des sonneries d’alarme. Les récentes piratages de la chaîne d’approvisionnement du fournisseur de logiciels Kaseya en juillet et SolarWinds l’année dernière soulignent l’importance des fournisseurs de logiciels pour de nombreux secteurs, y compris les services publics, les agences fédérales et les installations critiques du pays.
Les tests de sécurité des réseaux de services publics sont incomplets sans la participation des principaux acteurs de ces réseaux. Par exemple, des experts comme Tim Conway de l’Institut SANS, une organisation de cyber-recherche et de formation. Conway est directeur technique des systèmes de contrôle industriel (ICS) et des programmes de contrôle de supervision et d’acquisition de données (SCADA) de SANS. Les développeurs de logiciels jouent « un rôle très important dans le monde réel en tant que partenaires de leurs clients dans la défense et la détection continues d’événements potentiellement malveillants », déclare-t-il. « Ils sont essentiels aux opérations. »
Sonneries d’alarme réelles
L’ exercice de sécurité du réseau (GridEx), comme l’appelle l’exercice NERC, a lieu tous les deux ans depuis 2011. Lors du premier exercice, 24 services publics ont participé. Les intrus ont physiquement pénétré dans des sous-stations et des centres de contrôle de sauvegarde et ont installé des logiciels malveillants qui ont perturbé les processus commerciaux clés. En 2019, des attaques physiques simulées sur 254 services publics participants ont prouvé qu’ils pouvaient perturber l’approvisionnement en carburant, interrompre les systèmes de contrôle de l’énergie et endommager les installations de génération, de transmission et de distribution.
« Identifier l’impact des violations logicielles sur les systèmes est un élément essentiel de la protection de nos réseaux. »Anne Marie Corbalis, responsable des relations avec les médias pour Consolidated Edison de New York
La simulation 2019 a été divisée en quatre segments. Dans un premier temps, le portail partagé des risques de cybersécurité de NERC, le Centre de partage et d’analyse des informations sur l’électricité (Electricity Information Sharing and Analysis Center, E-ISAC), a alerté les services publics d’une menace imminente potentielle contre le réseau. Elle a ensuite partagé les informations d’une campagne malveillante ciblant les systèmes de contrôle, et la grille a commencé à connaître un manque de génération.
L’impact maximal de l’attaque s’est produit dans la deuxième partie, coupant l’alimentation de 5 millions de foyers et ayant un impact sur les usines de traitement de l’eau. Dans les deuxième et troisième parties, les services publics et le gouvernement ont promulgué des plans d’intervention et coordonné les prochaines étapes pour neutraliser l’attaque. Les fournisseurs d’ICS ont publié un correctif logiciel nécessaire pour réparer les systèmes endommagés, les services publics ont installé les correctifs et l’alimentation du réseau a été restaurée.
Dans le test 2019 , il est clair de se fier aux fournisseurs pour aider les services publics à remettre le réseau en ligne. Mais dans l’exercice, seuls trois grands fournisseurs de la chaîne d’approvisionnement ont participé. Et dans le précédent GridEx, en 2017, les services publics n’ont invité aucun fournisseur. Dans son rapport « Leçons apprises » suite à l’exercice 2019 , le NERC a déclaré que certains services publics « manquaient des ressources nécessaires pour coordonner les réponses » à l’attaque simulée et a conclu : « Il incombe aux organisations participantes d’inclure des partenaires de la chaîne d’approvisionnement dans leurs plans de réponse. »
À mesure que les services publics sont de plus en plus numérisés et interconnectés, leurs espaces d’attaque potentiels se sont développés. Ces espaces incluent de plus en plus d’acteurs tiers comme les développeurs de logiciels, dont les mises à jour de produits peuvent être une porte dérobée pour les pirates informatiques. La sécurité des services publics dépend de plus en plus des cyberdéfenses des entreprises avec lesquelles ils interagissent.
Stratégies tout au long de l’année
NERC maintient toujours qu’il n’est pas de la responsabilité du chien de garde d’inviter les développeurs au test. Bien que la NERC « encourage fortement » les services publics à inclure des fournisseurs, elle estime que « les participants sont les meilleurs pour déterminer quels fournisseurs sont essentiels à leurs opérations », déclare la porte-parole de la NERC, Rachel Sherrard.
« La sécurité des services publics dépend de plus en plus des cyberdéfenses des entreprises avec lesquelles ils interagissent. »
Lors du test de cette année, Sherrard déclare que la NERC permettra à certains fournisseurs d’observer la partie de l’exercice conçue pour les cadres supérieurs du secteur et les hauts fonctionnaires. Cette partie sur invitation uniquement, connue sous le nom de table exécutive, comprend des PDG, des directeurs d’exploitation et des hauts responsables d’agences telles que le DHS, le ministère de la Défense, le FBI et le Conseil national de sécurité de la Maison-Blanche. Leur tâche consiste à décider et à mettre en œuvre des « mesures de haut niveau » nécessaires pour restaurer le réseau après la cyberattaque simulée.
Ainsi, lors de l’exercice de cette année, certains fournisseurs seront impliqués à la demande de NERC, tandis que d’autres seront présents à l’invitation de services publics individuels, et il n’est pas clair combien de fournisseurs participeront. De ce fait, il est difficile de voir comment la simulation peut entièrement reproduire une cyberattaque en situation réelle. Pour certains dans le secteur, ce n’est pas suffisant.
« Identifier l’impact des violations de logiciels sur les systèmes est un élément essentiel de la protection de nos réseaux », déclare Anne Marie Corbalis, responsable des relations avec les médias pour Consolidated Edison de New York.
Lorsque NERC a commencé les tests, tout ce que les services publics avaient en place, y compris les logiciels de cybersécurité, a été testé lors des exercices. Aujourd’hui, les réseaux du secteur sont plus fluides. À tout moment, il existe différents tiers actifs sur leurs plateformes en ligne, des développeurs de logiciels aux fournisseurs fournissant des fonctions externalisées, telles que les RH, la finance et l’audit. Les réseaux utilitaires ne sont pas immobiles, et tous ces éléments ajoutés nécessitent une cybersécurité robuste.
[Lire également : La cybersécurité est au cœur des préoccupations des régulateurs d’énergie]
Conway déclare que les services publics doivent identifier les développeurs qui jouent un rôle essentiel dans leurs boucliers de sécurité et les inviter spécifiquement aux exercices GridEx. Cela aidera les développeurs et les autres fournisseurs à repérer et à répondre aux vulnérabilités réelles.
Les services publics ont besoin de cyberhygiène
Quels que soient ses défauts, la valeur de la simulation biennale de cyberattaques ne peut pas être douteuse. Mais la nature dynamique des réseaux de services publics signifie que la surveillance, l’examen et la mise à niveau continus des cyberdéfenses sont tout aussi importants.
L’une des recommandations du NERC au secteur des services publics dans son rapport 2019 est la nécessité d’un plan de réponse aux incidents soigneusement élaboré, qui est crucial pour la cyberhygiène d’une organisation. Les services publics doivent se coordonner avec les autorités fédérales, étatiques et provinciales en cas de piratage grave.
[Lire également : Pourquoi les cybercriminels ciblent les petits services publics]
Pendant la pandémie, la référence en matière d’interaction sécurisée entre les endpoints a été le Zero Trust. Avec cette approche, tout endpoint, appareil ou utilisateur est considéré comme non fiable jusqu’à ce qu’il soit vérifié, et l’accès des travailleurs est basé sur qui demande l’accès, le contexte de la demande et le risque pour le réseau.
D’autres pratiques de cyberhygiène contribuent également à renforcer les défenses. Elles comprennent :
- Inventaire de tous les endpoints Le suivi de tous les actifs - ordinateurs portables, PC, tablettes, même machines virtuelles dans le cloud - vous permet d’obtenir une visibilité complète du réseau et de surveiller les endpoints en temps réel, ce qui aidera à révéler les vulnérabilités potentielles et les menaces actives.
- Outils de gestion logicielle Ils vous permettent de suivre le rythme des applications, appareils, logiciels, mises à jour logicielles et correctifs. Une plateforme unique peut aider les services publics à détecter, surveiller et sécuriser les applications d’entreprise à partir d’une seule console.
- Authentification multifactorielle La nécessité de plusieurs méthodes d’authentification, ainsi que d’une maintenance robuste des mots de passe, peut fournir une défense simple mais robuste contre les pirates informatiques qui auraient pu empêcher la faille de sécurité du pipeline colonial.
- Notation du cyber-risque Un score du cyber-risque permet d’évaluer la gestion interne des vulnérabilités et celle des fournisseurs tiers.
- La recherche active des menaces La recherche d’activités inhabituelles vous permet de surveiller les plateformes, ainsi que de rechercher et de remédier aux menaces avant que les pirates informatiques n’aient la possibilité de faire des dommages.
