Pourquoi les réseaux en air gap ne sont pas aussi sécurisés que vous le pensez

Ce que les entreprises ignorent sur la sécurité des réseaux en air gap et comment bâtir une véritable résilience

Ce qu’il faut retenir

• Les réseaux en air gap réduisent l’exposition, mais ne sont pas à l’abri des cyberattaques.
• Considérer l’air gap comme une sécurité parfaite peut conduire à des angles morts et des raccourcis risqués.
• Des recherches ont mis en évidence des méthodes exotiques pour espionner les systèmes en air gap, mais les pirates les utilisent rarement dans la nature.
• Les violations dans le monde réel reposent généralement sur des supports amovibles, la compromission de la chaîne logistique et des utilisateurs de confiance.
• Les contrôles de base et la sensibilisation contribuent grandement à la protection des systèmes isolés.

Les réseaux en air gap ont longtemps été considérés comme le moyen le plus sûr de protéger les systèmes sensibles. Pas de connexion Internet, pas d’accès à distance, pas de problème. C’est du moins ce que l’on pense.

En réalité, cette confiance s'avère souvent mal placée. Le cloisonnement réduit les risques, mais il ne les supprime pas. Et dans les environnements industriels et opérationnels, où les systèmes doivent encore être maintenus, mis à jour et utilisés par de vraies personnes, cet écart est rarement aussi étanche qu'il n'y paraît sur le papier.

Que sont les réseaux en air gap et pourquoi les entreprises les utilisent-elles ?

Un réseau en air-gap est un réseau physiquement ou logiquement isolé des autres réseaux, en particulier de l’internet public. Aucun câble Ethernet n’est branché, le Wi‑Fi n’est pas activé et il n’y a aucun chemin évident permettant aux données d’entrer ou de sortir.

Vous trouverez généralement des systèmes en air-gap dans des endroits où les erreurs sont coûteuses ou dangereuses, notamment :

• Environnements de fabrication et de contrôle industriel
• Infrastructures critiques telles que l’électricité, l’eau, et les transports
• Défense, installations gouvernementales et de recherche
• Systèmes de protection de la propriété intellectuelle

La logique est que si les pirates ne peuvent pas atteindre un système à distance, ils ne peuvent pas l’attaquer. Mais bien sûr, comme nous le savons grâce à d’innombrables violations réussies, si les pirates peuvent obtenir un accès physique à un système, ils n’ont pas besoin d’un accès à distance pour mener une attaque.

Vulnérabilité fondamentale de l’air gap

Même les systèmes les plus isolés ont encore besoin de soins et de maintenance. Le logiciel nécessite une mise à jour. Les logs doivent être examinés. Les configurations changent. Les fournisseurs mettent à disposition de nouveaux outils. Les ingénieurs transfèrent des fichiers. Les opérateurs transfèrent les rapports.

Au fil du temps, l’isolation peut commencer à assumer une trop grande partie du gros du travail en matière de sécurité. Les contrôles de l’accès physique se relâchent. Les politiques de support amovible sont contournées « juste pour cette fois ». Les utilisateurs de confiance ne sont plus considérés comme faisant partie du modèle de menace.

Malheureusement, les pirates comprennent très bien cette dynamique.

Une parenthèse : techniques exotiques pour accéder à distance à des systèmes isolés du réseau

Des chercheurs en sécurité ont découvert des moyens réellement créatifs d’observer ou de divulguer des informations provenant de systèmes isolés. Il s’agit notamment de techniques basées sur :

• Émissions électromagnétiques ou radiofréquences
• Signaux acoustiques tels que des changements subtils dans le bruit du ventilateur
• Motifs thermiques causés par les fluctuations de chaleur
• Indices visuels comme les voyants ou l'activité à l'écran

Ces méthodes donnent lieu à des démonstrations fascinantes et à des gros titres accrocheurs. Ils rappellent utilement que l’isolement physique n’est pas synonyme d’invisibilité.

Mais ils n’apparaissent pas dans les rapports d’incidents réels. Ils sont fragiles, complexes et difficiles à utiliser en dehors de conditions strictement contrôlées. Tout comme dans l’environnement général des cybermenaces, les pirates préfèrent généralement des options plus simples et plus fiables.

Comment les réseaux isolés sont effectivement piratés

Dans le monde réel, les réseaux isolés sont piratés de la même manière que de nombreux autres systèmes : par le biais de personnes, de processus et de choses auxquelles nous faisons déjà confiance.

Stuxnet a tiré la sonnette d’alarme en 2010. Le malware n’a pas utilisé de techniques physiques avancées pour franchir un air gap. Le malware a été introduit sur des clés USB infectées par des utilisateurs autorisés effectuant des tâches de routine. L’attaque ne nécessitait pas de connexion internet.

Cette leçon a marqué les esprits. Les campagnes modernes ciblant les environnements isolés suivent souvent un schéma familier :

• Commencez par compromettre un système connecté
• Utilisez-le pour insérer des fichiers malveillants sur un support amovible
• Attendez que ce média soit transporté dans un système isolé
• Collectez des données ou préparez des charges utiles en attendant le trajet retour

Des attaques récentes et bien documentées montrent à quel point cette approche est encore efficace, en particulier dans les environnements technologiques opérationnels où les supports amovibles restent une nécessité pratique.

Outre les attaques via USB, les intrusions dans les systèmes isolés impliquent généralement :

• Compromission de la chaîne d’approvisionnement via des logiciels ou installateurs de confiance
• Activité interne, qu’elle soit malveillante ou simplement précipitée
• Le social engineering qui incite quelqu’un à enfreindre les règles

Rien de tout cela n’est exotique. Tout est prévisible. Et c’est exactement pour cela que cela fonctionne.

Comment réduire les risques

L’isolation de type air gap reste utile, à condition d’être associée à d’autres mesures de sécurité.

Les entreprises peuvent réduire considérablement les risques en renforçant les contrôles qui entourent les systèmes isolés, notamment :

• Une discipline stricte en matière de supports amovibles
  Limitez les appareils approuvés, scannez tout et éliminez complètement les clés USB personnelles.
• Formation ciblée de sensibilisation à la sécurité
  Veillez à ce que le personnel comprenne que les supports amovibles et les programmes d’installation ne sont pas inoffensifs et qu’ils sont souvent à l’origine des attaques.
• Accès minimal dès la conception
  Limitez dès la conception les personnes autorisées à interagir avec les systèmes isolés et rendez ces interactions visibles et auditables.
• Flux de transfert contrôlés
  Traitez chaque fichier traversant l’air gap comme non fiable jusqu’à preuve du contraire.
• Surveillance et préparation
  Même les systèmes hors ligne génèrent des signaux. Surveillez-les pour détecter les activités anormales.

Pour les équipes avec des ressources limitées, les plus grandes améliorations proviennent généralement de la correction des comportements quotidiens, plutôt que de la recherche de menaces marginales.

Comment Barracuda Managed XDR peut vous aider à combler les failles

Les environnements protégés par air gap sortent souvent des flux de travail traditionnels de surveillance et de détection. La visibilité est limitée. Les données télémétriques sont rares. Lorsque quelque chose ne va pas, faire le lien entre les différents éléments peut prendre du temps.

Barracuda Managed XDR associe une expertise humaine à une détection et à une réponse automatisées aux cyberincidents renforcées par l’IA. La solution est conçue pour les équipes à ressources limitées à protéger des environnements complexes, même lorsque certaines parties de l’infrastructure sont isolées. En combinant une surveillance dirigée par des experts avec une visibilité unifiée de l’ensemble des terminaux, réseaux et services cloud, Managed XDR aide à mettre en évidence les activités suspectes qui pourraient autrement passer inaperçues, notamment les signes que les pirates tentent de relier des systèmes isolés via des supports amovibles ou des processus de confiance.

L’objectif n’est pas d’éliminer les systèmes d’air gap. Il s’agit de les aider à mieux comprendre la situation et à réagir plus rapidement. Pour les équipes responsables de systèmes critiques ou opérationnels, cette visibilité accrue permet d’intégrer l’isolement dans une stratégie de sécurité plus large et plus résiliente, plutôt que de le considérer comme une source unique de confiance.

La mise en air gap n’est qu’une mesure de sécurité

Les réseaux en air gap réduisent incontestablement le risque, mais ils ne peuvent pas l’éliminer.

Les pirates comprennent déjà comment les environnements isolés fonctionnent réellement. Les défenseurs doivent être tout aussi réalistes. Lorsque l’isolation est associée à des contrôles opérationnels solides, à la sensibilisation des utilisateurs et à une détection en couches, les systèmes de type air gap deviennent des cibles plus difficiles. Et le renforcement de l’ensemble de votre surface d’attaque est un élément clé d’une véritable cyberrésilience.