La sécurisation des « objets » intelligents devient plus difficile et essentielle

Étude après étude, il apparaît que les appareils intelligents se multiplient sur les marchés des consommateurs et des entreprises. Un rapport estime que les appareils connectés à l'internet des objets (IoT) passeront de 15 milliards en 2023 à près de 30 milliards en 2030. Cette estimation intègre à la fois des éléments axés sur le client et des appareils de l'Internet industriel des objets (IIoT), tels que des capteurs de maintenance et des appareils de contrôle pour un « atelier ». Ces appareils sont utilisés dans tous les secteurs à des fins trop nombreuses pour que nous puissions toutes les citer. Quel que soit le produit ou le service, il existe quelque part un appareil capable d'automatiser un élément du flux de travail.

Qu'y a-t-il de si effrayant dans l'IoT ?

Cela nous amène à l'une des plus grandes préoccupations actuelles en matière de cybersécurité : comment tirer pleinement parti de ces appareils sans risquer les attaques des pirates qui les utilisent pour s'introduire dans nos maisons, nos bureaux et nos zones de production ? Chaque fois que vous établissez un accès à distance à un appareil, vous offrez une porte d'entrée à un pirate. C'est à vous de vous assurer que la porte offre une protection contre les intrusions.  Cela signifie qu'il est de votre responsabilité 1) de savoir qu'il y a une porte, 2) de verrouiller la porte et 3) de cacher la porte.  

Commençons par le premier point. Les appareils IoT destinés aux consommateurs sont censés être faciles à installer. Ils prévoient tous un avertissement pour changer le mot de passe de l'administrateur, et il peut y avoir un paramètre pour effectuer des mises à jour automatiques. La plupart des gens veulent simplement utiliser l'appareil, et si l'appareil ne garantit pas la sécurité, il se peut que l'appareil ne soit jamais sécurisé. La plupart des particuliers ne se préoccupent pas des cyberattaques, mais ils courent un risque si un hacker réussit à s'introduire dans le système. Les entreprises sont légitimement préoccupées par le fait que des appareils IoT grand public se retrouvent dans un bureau sans avoir été autorisés et contrôlés. Si vous disposez d'un réseau d'entreprise unique et non segmenté, ce type d'appareil peut constituer une nouvelle voie d'accès à vos données.

Que contient votre IoT ?

Un autre scénario inquiétant est que de nombreux appareils IIoT et appareils de technologie opérationnelle (OT) présentent des vulnérabilités de sécurité critiques qui ne peuvent pas être corrigées ou qui ne l'ont pas été.  Ces appareils sont intégrés dans la gestion des infrastructures critiques, des chaînes d'approvisionnement, des opérations de sécurité et probablement dans tous les types d'environnement de production. Nombre de ces systèmes industriels sont en service depuis des décennies et ont dépassé leur durée de vie prévue. Ils se peut même qu'ils aient survécu à leur fabricant. Vous ne pouvez jamais garantir qu'un tel appareil soit protégé contre les vulnérabilités connues, à moins qu'un développeur tiers ne développe de nouvelles mises à jour pour cet appareil.

Le fait que de nombreux déploiements IIoT et OT présentent des configurations incohérentes ne fait qu'aggraver les problèmes posés par les appareils anciens. Le déploiement manuel à grande échelle est fastidieux et peut entraîner des distractions et des erreurs. Il n'y a aucune raison de déployer des dispositifs manuellement quand tant de solutions SASE comme Barracuda SecureEdge peuvent automatiser le processus. Grâce aux modèles de configuration et aux déploiements automatisés, il est beaucoup plus facile de s'assurer que tous les appareils répondent aux mêmes exigences de sécurité. Une erreur de configuration dans cet environnement nécessite généralement moins de temps et moins d'étapes pour être corrigée une fois qu'elle est découverte. Ce type d'automatisation permet à l'administrateur système de contrôler l'ensemble du déploiement en termes de correctifs de sécurité et de mises à jour des configurations.

Les projets pluriannuels d'IoT représentent un défi

Les entreprises qui déploient leurs projets sur plusieurs années peuvent rencontrer des difficultés non anticipées. Il n'est pas inhabituel de programmer de grands projets en plusieurs étapes, mais les capacités des appareils peuvent varier considérablement entre l'année 1 et l'année 3 du projet. La technologie évolue rapidement, surtout lorsqu'il s'agit de technologies en vogue comme l'IIoT et l'OT. Ces disparités peuvent engendrer des failles de sécurité et des problèmes de compatibilité.  Tous les appareils doivent être mis aux normes et ajoutés à la stratégie de sécurité et de gestion des correctifs en vigueur. Les entreprises qui se développent dans de nouvelles installations ou qui acquièrent des entreprises existantes par le biais de fusions/acquisitions sont également confrontées à ces défis.

Le risque posé par la prolifération des appareils intelligents ne concerne pas seulement les appareils grand public non gérés ou les systèmes industriels en place. Parfois, les entreprises achètent les vulnérabilités lorsqu'elles achètent le système.

• Des vulnérabilités non corrigées dans un interphone vidéo intelligent permettent à des pirates d'accéder au réseau connecté, de voler des photos et des vidéos, et de contrôler la caméra, le microphone et les serrures.
• Des vulnérabilités dans le module de plateforme sécurisée (TPM) 2.0 peuvent permettre à un pirate de compromettre un appareil. Le TPM est une technologie de sécurité utilisée par des milliards d'appareils et d'ordinateurs.
• Shenzhen i365 Tech a expédié des centaines de milliers de dispositifs de suivi personnel avec un mot de passe par défaut « 123456 ». Ces mots de passe peuvent être modifiés par l'utilisateur, mais il existe plusieurs autres vulnérabilités qui permettent à des pirates de détourner ces appareils, de prendre le contrôle du microphone et du haut-parleur, et de localiser l'utilisateur.

Une étude récente montre que les cyberattaques IoT ont augmenté de 87 % d'une année sur l'autre entre 2018 et 2022. Ces attaques vont continuer à se multiplier car les pirates savent qu'il y aura toujours des appareils vulnérables reliés à des objets de valeur.  Ces criminels cherchent à gagner beaucoup d'argent en s'infiltrant dans les systèmes et en occasionnant des préjudices qui dépassent le cadre de l'entreprise. Selon le type de victime, une cyberattaque peut priver les clients, les fournisseurs et les partenaires des produits dont ils ont besoin. Dans certains cas, une cyberattaque est suffisamment grave pour entraîner des licenciements et des fluctuations de prix sur le marché. 

Protéger les appareils IoT et OT

Il existe des milliards d'appareils IoT et OT connectés dans les foyers et les entreprises du monde entier. Il s'agit d'une surface d'attaque énorme à protéger, mais il y a des choses que nous pouvons faire pour réduire le risque d'attaque :

• Maintenez un inventaire à jour de tous les appareils IoT et OT connectés au réseau et incluez-les dans la stratégie de gestion des correctifs. Surveillez les activités de ces appareils et repérer les anomalies. N'autorisez pas les appliances IoT indésirables telles que les appareils intelligents sur le réseau et mettez fin aux connexions des appareils inutilisés ou non gérés.
• Séparez les appareils IoT/OT des systèmes et données critiques afin de limiter la portée d'un appareil compromis. Un réseau segmenté peut stopper les mouvements latéraux au sein du réseau et empêcher un pirate d'accéder aux données et applications sensibles de l'entreprise.
• Modifiez le mot de passe par défaut d'un appareil dès son déploiement. Appliquez une politique de mot de passe stricte et adaptée à votre organisation. Activez l'authentification multifactorielle (MFA) sur ces appareils lorsque cela est possible.
• Choisissez des appareils inviolables qui prennent en charge les mises à jour sécurisées des firmwares et des logiciels. Protégez vos appareils avec Barracuda CloudGen Firewall Rugged ou Barracuda Secure Connector lorsque cela est possible. Avec Barracuda SecureEdge, vous pouvez automatiser le déploiement sécurisé de ces appareils.
• Veillez à maintenir une culture de la sécurité au sein du personnel. Il s'agit notamment d'appliquer des mots de passe complexes, la MFA, le principe du moindre privilège et de former les employés à des bonnes pratiques en matière de sécurité couvrant tous les vecteurs de menace. L'IoT/OT doit être inclus dans cette formation et dans la politique d'utilisation acceptable de l'entreprise, le cas échéant.

Les consommateurs individuels ne sont pas non plus épargnés. De nombreuses mesures peuvent être prises pour protéger les appareils de la maison contre les pirates et les malwares :

• Assurez-vous que votre routeur domestique est sécurisé par un mot de passe unique et complexe et, si possible, par une MFA. Modifiez immédiatement les identifiants de connexion par défaut, activez le chiffrement et installez les mises à jour de sécurité dès qu'elles sont disponibles.
• Gardez vos appareils IoT sécurisés et mis à jour avec des mots de passe complexes, le chiffrement, les dernières mises à jour et la MFA si possible.
• Utilisez un réseau invité pour vos appareils IoT afin de limiter leur accès à votre réseau informatique domestique. Cela réduit le risque d'accès à vos données. C'est particulièrement important pour les personnes qui conservent des données sensibles sur leur réseau domestique.

En bref, utilisez au mieux les fonctionnalités de sécurité dont vous disposez sur vos appareils domestiques. Il n'est pas toujours pratique d'avoir des mots de passe complexes et uniques sur chaque appareil, mais il est important de s'assurer que personne ne puisse accéder à votre réseau. Si des pirates parviennent à infiltrer vos appareils IoT, ils peuvent les intégrer à un botnet. Votre propre réseau sera alors utilisé pour commettre des actes de cybercriminalité.

Barracuda propose plusieurs solutions pour protéger les réseaux d'entreprise et les appareils IoT/OT. Pour en savoir plus et obtenir un essai gratuit ou une démonstration, consultez le site www.barracuda.com.