Voici ce que vous devez savoir pour sécuriser vos projets IoT

Voici ce que vous devez savoir pour sécuriser vos projets IoT

Des statistiques récentes montrent que les problèmes de sécurité associés aux appareils Internet des objets (IoT) augmentent. Ceci est une conséquence directe du nombre croissant de projets IoT. Gartner a prédit que des dizaines de milliards d’appareils connectés inonderaient le marché en 2020, alors qu’ils n’étaient que 9 milliards en 2017, ce qui entraînera inévitablement une augmentation exponentielle de la vulnérabilité de l’Internet des objets.

Selon le rapport IBM X-Force sur les menaces, 30% des vulnérabilités recensées au cours des trois dernières décennies ont été signalées au cours des trois dernières années, soit plus de 42 000 vulnérabilités. En 2018 seulement, les services de gestion de la vulnérabilité d’IBM X-Force Red ont identifié une moyenne de 1 440 vulnérabilités uniques par organisation.

Du côté positif, l’industrie de l’IoT, ainsi que le grand public, sont de plus en plus conscients de la nécessité urgente de s’attaquer à ces problèmes. Alors que les projets de cybersécurité pour l’IoT partagent de nombreux aspects avec les projets informatiques classiques, ils présentent également de nombreux défis spécifiques qui nécessitent une attention particulière.

Les architectures IoT sont complexes. même les composants les plus élémentaires incluent les périphériques, les systèmes périphériques / concentrations, les lignes de télécommunication et les applications back-end, mobiles et IA. Bien que le périmètre d’un projet IoT soit toujours difficile à définir, il est nécessaire d’envisager la sécurité de l’architecture IoT dans son ensemble.

Restructuration de la sécurité dès la conception pour les projets IoT

La sécurité dès la conception devrait être mise en œuvre dès les premières étapes de la construction de projets IoT. La plupart des principes de conception de la sécurité largement utilisés dans le domaine de la sécurité de l’information peuvent être réutilisés pour l’IoT, à condition que les responsables de la sécurité tiennent compte des points suivants:

Economie de Mécanisme

Dans un scénario complexe où de nombreuses technologies et mécanismes de sécurité sont déployés, le risque de mauvaise configuration est plus élevé. Les périphériques IoT sont généralement limités en ressources. Dans ce cas, une économie de mécanisme est utile pour maintenir la viabilité du système. Habituellement, les appareils IoT fonctionnent sur une batterie. L’implémentation d’un trop grand nombre de contrôles de sécurité peut épuiser la batterie et endommager l’appareil lui-même. Une attaque peut être focalisée pour vider la batterie et éteindre l’appareil.

L’Approche Castel

Également connue sous le nom de défense en profondeur (DiD), l’approche de Castel consiste à appliquer plusieurs couches de mécanismes de sécurité. La raison en est qu’aucune mesure de défense unique ne peut vous aider à rester en avance sur toutes les attaques. Un système de sécurité en couches oblige l’attaquant à pénétrer à travers toutes les couches pour atteindre sa cible.

Moins c’est plus sécurisé

En 1975, Saltzer et Schroeder ont introduit le principe de moindre privilège, qui stipule que chaque programme et chaque utilisateur doit fonctionner avec le minimum de privilèges et d’accès requis pour effectuer le travail. Appliqué à notre portée, cela signifie qu’un système doit être accessible à plusieurs utilisateurs. Une stratégie de privilège doit être mise en œuvre pour garantir le droit d’accès et d’utilisation du système.

La séparation des tâches est un autre mécanisme à mettre en œuvre, ce qui signifie qu’un système ne devrait pas accorder une autorisation à une seule condition. L’implémentation d’une authentification à deux facteurs pour les tâches critiques est un exemple d’application.

Isolement

Lorsque cela est possible, un système doit être déconnecté des réseaux publics à l’aide d’un pare-feu, d’une DMZ et d’un système de détection et / ou de prévention des intrusions (IDS / IPS). Il peut également être nécessaire d’implémenter plusieurs couches d’accès au réseau privé virtuel (VPN). Dans le cas de périphériques critiques, envisagez une approche entièrement ventilée.

Surface d’attaque

Lorsque plus de fonctions sont disponibles, cela signifie plus de points d’entrée à exploiter par un attaquant. Évaluer la surface d’attaque est important pour déployer une stratégie de défense efficace et pour déterminer si une fonction est vraiment nécessaire.

Comprendre le périmètre et la configuration

L’IoT comprend plusieurs appareils répartis dans un périmètre pouvant être très large. Dans le cas de Mirai, par exemple, les attaquants ont compromis les caméras afin d’atteindre un système de noms de domaine (DNS) externe.

Il est essentiel de bien comprendre les périmètres en termes de périphériques, de communications, de contrôles et de relations entre ces périphériques. Pouvoir comprendre pleinement ces dispositifs, y compris leur nature même, leurs fonctionnalités, les données de journal qu’ils produisent et leurs conditions de travail, est également crucial.

Les journaux de données en particulier peuvent aider les outils de détection d’anomalies à identifier les comportements errants. Les données doivent être normalisées, ce qui nécessite une connaissance approfondie de l’industrie et une connaissance approfondie de l’appareil lui-même. Une fois la normalisation réalisée, les anomalies détectées peuvent facilement révéler des cyberattaques potentielles.

Quels services sont fournis?

Une fois le périmètre défini, documentez le type de service et son lien avec les périphériques. Une base de données de gestion de la configuration (CMDB) peut aider à déterminer quels éléments de configuration, attributs et services sont connectés les uns aux autres. Vous trouverez ci-dessous les trois principaux types de services à prendre en compte.

Services explicites

Les services explicites sont clairement documentés. Par exemple, dans la distribution d’énergie, les systèmes de mesure permettent de comprendre l’utilisation de l’énergie, la vidéosurveillance permet de contrôler l’accès physique aux zones protégées, etc.

Services implicites

Les services implicites ne sont pas explicitement mentionnés, mais il est essentiel de les prendre en compte. Par exemple, les acteurs de la menace peuvent utiliser les informations présentes dans l’infrastructure pour attaquer des tiers.

Services attendus

Il est important de discuter des objectifs d’un projet de cybersécurité avec le comité. Dans les cas où la sécurité physique (par exemple, la visibilité des personnes entrant dans une salle spécifique) doit être améliorée, des contrôles supplémentaires qui ne sont pas nécessairement inclus dans les contrôles de cybersécurité seront nécessaires. En d’autres termes, des dispositifs spécifiques peuvent être nécessaires pour mettre en œuvre des contrôles supplémentaires de cybersécurité.

La description des services conduit à prendre en compte les motivations des attaquants, qui peuvent varier en fonction du type de projet. En technologie opérationnelle, les acteurs de la menace tentent généralement d’interrompre des services explicites, comme ce fut le cas avec Stuxnet. Dans les attaques IoT, ils tentent généralement de contrôler les périphériques dans le cadre d’un effort plus vaste visant à compromettre les services implicites.

Modélisation de la menace et contrôles de sécurité

Une fois que les services et les configurations sont clairement définis, le risque de menaces éventuelles doit être exploré pour fournir les intrants nécessaires à la phase suivante. Pour aider à mieux découvrir et comprendre les risques au cours de cette phase, les équipes de sécurité peuvent utiliser le prototypage ou les tests d’intrusion dans la mesure du possible.

Lors de la définition et de la documentation des risques susmentionnés, le propriétaire du projet – un responsable de projet externe, le responsable de la sécurité de l’information (RSSI) ou un spécialiste de la sécurité désigné par ce dernier – doit hiérarchiser et mettre en œuvre correctement les contrôles de sécurité nécessaires pour risques et améliorer la posture de cybersécurité de l’organisation. L’IoT exacerbe les anciens problèmes de sécurité.

Les contrôles de sécurité à mettre en œuvre dans un projet IoT dépendent des configurations, des services et des risques associés à la tâche à exécuter. Par exemple, si les appareils génèrent des données significatives, la détection des anomalies peut être envisagée. Si des tests d’intrusion sont possibles, une bonne pratique pourrait être d’utiliser le contrôle pour comprendre les risques réels. En outre, un niveau de segmentation approprié peut, dans de nombreux cas, résoudre la plupart des problèmes. Ceci est très similaire à ce que nous avons dans les projets informatiques, mais gardez à l’esprit que l’IoT extrémise tous les défis que nous avons déjà en informatique, tels que l’hétérogénéité des périphériques, la difficulté à définir un périmètre, etc.