Les Ransomwares Menacent La Sécurité Des Systèmes D'automatisation Des Bâtiments (BAS). Comment Le Protéger De La Gestion Technique ?

Dans le domaine de la sécurité des réseaux d'entreprise, les ransomwares sont devenus l'une des principales menaces, notamment dans le domaine des systèmes d'automatisation des bâtiments, autrement dit BAS, dans le domaine des infrastructures critiques. BAS peut contrôler le chauffage et la ventilation du bâtiment, ainsi que la climatisation, l'éclairage et même les systèmes de sécurité. Une fois crypté par un ransomware, il entraînera non seulement une interruption des activités, mais pourra également mettre en danger la sécurité du personnel. Dans cet article, nous explorerons en profondeur comment protéger complètement BAS aux niveaux technique et de gestion afin de le protéger des attaques de ransomwares, garantissant ainsi la continuité et la sécurité des opérations du bâtiment.

Pourquoi BAS est une cible facile pour les ransomwares

En règle générale, les systèmes d'automatisation des bâtiments fonctionnent sur des systèmes d'exploitation traditionnels et de nombreux appareils ne disposent pas de mécanismes de mise à jour régulière. Par exemple, certains contrôleurs PLC utilisent encore des systèmes qui ne prennent plus en charge des systèmes tels que XP, ce qui rend impossible la correction des vulnérabilités connues. Les attaquants peuvent ensuite utiliser des e-mails de phishing ou des canaux d'accès à distance non cryptés pour implanter des ransomwares.

Les réseaux BAS disposent souvent de points de connexion avec les réseaux informatiques, ce qui crée la possibilité de mouvements latéraux. L’année dernière, dans un immeuble de bureaux intelligent, l’ensemble du système d’éclairage a été crypté parce qu’un employé avait cliqué sur un lien malveillant. L'attaquant a exigé 50 Bitcoins. Cette interconnexion expose le réseau technologique opérationnel initialement isolé à un risque plus élevé.

Comment évaluer le risque de ransomware de BAS

Le point de départ de l’inventaire des actifs devrait être une évaluation des risques. Il est nécessaire d'identifier tous les composants BAS tels que les contrôleurs DDC, les capteurs et les actionneurs, ainsi que leurs vulnérabilités. Concentrez-vous sur la vérification si le système utilise des mots de passe par défaut, si le micrologiciel a expiré et si la segmentation du réseau est terminée. Des problèmes liés à l'hôpital ont été découverts lors de l'audit, le système de contrôle du bâtiment était directement accessible via l'Internet public et des mesures correctives ont été prises immédiatement.

Il est nécessaire d'analyser plus en détail l'impact sur l'entreprise, puis de clarifier le coût de l'arrêt du fonctionnement de chaque sous-système. Par exemple, si le système de refroidissement du centre de données est crypté, le serveur surchauffera et les dégâts seront bien plus importants que la rançon. En quantifiant l’impact de différents scénarios, les actifs les plus critiques peuvent être protégés en premier.

Meilleures pratiques pour la segmentation du réseau BAS

L’état le plus idéal est l’isolement physique. Cependant, dans les situations réelles, une segmentation logique est souvent requise. Il est recommandé de déployer des pare-feu industriels pour diviser le réseau BAS en plusieurs zones de sécurité. Par exemple, pour isoler les principaux systèmes de contrôle environnemental des zones non essentielles. La politique de contrôle d'accès doit suivre le principe du moindre privilège et autoriser uniquement le trafic de communication nécessaire.

La technologie VLAN peut aider à réaliser la segmentation, mais sachez qu'une configuration incorrecte peut entraîner des échecs d'isolation. La ligne de production d'une entreprise manufacturière a été cryptée en raison d'une attaque par saut de VLAN. De plus, les diodes de données entre les réseaux IT et OT doivent être strictement surveillées pour garantir une communication unidirectionnelle.

Stratégie de sauvegarde et de récupération des données BAS

Les sauvegardes doivent être effectuées selon la règle 3-2-1 : il doit y avoir trois copies, existant sur deux supports, et une copie est stockée hors ligne. Pour les données statiques telles que les fichiers de configuration BAS et la logique de contrôle, une sauvegarde complète doit être effectuée chaque semaine ; pour les données d'exploitation en temps réel, une sauvegarde incrémentielle peut être utilisée. Après qu'un complexe commercial ait subi une attaque, il n'a fallu que 4 heures pour restaurer toutes les fonctions de contrôle du bâtiment grâce à sa sauvegarde hors ligne.

Il est extrêmement important de tester régulièrement le processus de récupération pour s'assurer que les données de sauvegarde n'ont pas été endommagées. Des outils de vérification automatisés doivent être utilisés pour simuler la restauration de contrôleurs individuels à partir d'une sauvegarde vers l'ensemble du système. Il est important de noter que le système de sauvegarde lui-même doit également être protégé pour éviter qu'il ne devienne un point d'entrée pour des attaques.

Points clés de la formation de sensibilisation à la sécurité des salariés

Le personnel de BAS chargé de l'exploitation et de la maintenance accorde souvent plus d'attention à la disponibilité du système, ignorant ainsi l'aspect sécurité. La formation doit couvrir des contenus pratiques tels que l'identification des e-mails de phishing et la mise en œuvre d'un accès à distance sécurisé. Testez l'effet en simulant une attaque, par exemple en envoyant un faux e-mail de ticket pour observer la réponse.

Établissez des règles de sécurité simples et claires, comme interdire l’utilisation de clés USB pour transférer des configurations et rendre obligatoire l’authentification à deux facteurs. Organisez régulièrement des exercices d’urgence pour familiariser les employés avec le processus de signalement des incidents de ransomware. Un certain campus a réussi à bloquer une tentative d'attaque contre le système d'ascenseur après une formation.

Éléments spécifiques d'un plan de réponse aux incidents

Pour le plan d'intervention, les rôles et les responsabilités doivent être clairs : qui est responsable de l'isolement du système, qui contacte le fournisseur et qui communique avec les forces de l'ordre. Un arbre de décision doit être préparé pour aider à déterminer s’il faut ou non payer la rançon. De manière générale, les forces de l’ordre ne recommandent pas de payer, mais la valeur des données et le coût de leur récupération doivent être évalués.

Les mesures techniques incluent la préconfiguration de scripts de commande pour isoler les ports du commutateur et la préparation d'un support de récupération du micrologiciel propre. D’un point de vue juridique, vous devez connaître à l’avance vos obligations de déclaration des ransomwares et coordonner le processus avec votre compagnie d’assurance cybersécurité. Effectuez régulièrement des exercices de confrontation rouge-bleu pour améliorer les plans.

Parmi les difficultés les plus difficiles que vous avez rencontrées dans la pratique de la protection des systèmes d'automatisation des bâtiments, quel est le problème de défense impliquant les ransomwares ? Bienvenue dans la zone de commentaires pour parler de vos expériences passées. Si vous pensez que cet article a une certaine valeur, veuillez l'aimer et le transmettre aux partenaires de travail qui pourraient en avoir besoin.