Gestion des correctifs de sécurité des équipements informatiques de terrain
La gestion des correctifs de sécurité, un domaine complexe, qui a éveillé la conscience du public cette année. Plusieurs vulnérabilités critiques ont été divulguées, telles que la faille d’exécution de code à distance de Windows SMB dévoilée en mars (CVE-2017-0143). Des logiciels malveillants, tels que le logiciel de rançon WannaCry, ont exploité ces failles et se sont propagés sur les ordinateurs sans correctifs dans le monde entier pour semer le chaos. Certains de ces exploits sont prétendument basés sur l’exploit développé par la NSA. Le logiciel de rançon WannaCry et l’exploit développé par la NSA ne sont que deux exemples parmi les nombreuses histoires de sécurité informatique qui ont fait la une cette année. Ces événements, ainsi que bien d’autres incidents tels que les divers exploits Android, ont mis en évidence l’importance de l’installation rapide des mises à jour de sécurité.
En raison de cette succession exceptionnelle de vulnérabilités et d’exploits constatés au cours de cette année, les administrateurs système ont été bien occupés. La tâche de recherche et d’installation des correctifs est complexe pour les équipements informatiques de terrain utilisés dans les services d’électricité. Ces équipements sont des ordinateurs portables et des tablettes utilisés pour les tests sur les équipements et les tâches de gestion, tels que les tests des relais de protection et l’installation de mises à jour du micrologiciel des équipements informatiques de la sous-station. La gestion des correctifs de sécurité des équipements informatiques de terrain présente de nombreux enjeux :
- Distants et inaccessibles : Ces équipements de terrain sont souvent sur des sites lointains et ne possèdent pas de connectivité réseau. Il arrive que les utilisateurs de ces équipements les éteignent lorsqu’ils sont inutilisés, ce qui réduit encore les possibilités de mise à jour.
- Images spécialement conçues : En raison des besoins particuliers du personnel de terrain, l’équipement peut être différent des images disponibles en entreprise. De plus, plusieurs images peuvent être simultanément utilisées pour différentes équipes, par exemple pour tests des sous-stations et les tests SCADA.
- Logiciel unique : De nombreux logiciels présents sur ces équipements ne sont pas utilisés ailleurs dans l’entreprise et peuvent être datés et difficilement corrigibles. Non seulement le personnel informatique risque d’être peu familier avec les applications, mais la recherche et l’installation des correctifs risquent d’être en infraction avec la politique d’entreprise.
Un programme efficace de gestion des correctifs de sécurité des équipements informatiques de terrain doit se composer des éléments suivants :
- Surveillance des correctifs des équipements inaccessibles : Une forte capacité de surveillance en temps réel est nécessaire pour bien appréhender l’état des correctifs de tous les équipements. Ainsi, les mesures appropriées peuvent être prises pour les équipements qui ne sont pas mis à jour à temps.
- Gestion des équipements sophistiquée : Un système de gestion des équipements qui possède des informations précises et récentes des différents équipements informatiques de terrain, des images, des applications et des versions utilisées, pour pouvoir les mettre à jour rapidement et de manière cohérente.
- Surveillance globale des vulnérabilités et application des correctifs : Un programme de surveillance des vulnérabilités qui surveille, identifie et évalue en continu les nouvelles failles et vulnérabilités et les correctifs correspondants. Ce programme dispose de différents moyens d’application des correctifs pour s’assurer que même les applications les plus difficiles peuvent être mises à jour à distance et, lorsque rien ne marche, pour remplacer la totalité de l’application par une nouvelle version.
Le but de la gestion des correctifs de sécurité des équipements informatiques de terrain est, en fin de compte, de veiller à la sécurité du réseau. En gardant cela à l’esprit, la gestion des correctifs de sécurité doit être envisagée dans le cadre d’un programme plus global de gestion des failles. La manière la plus courante de profiter des failles non corrigées est de cibler les services non mis à jour et d’accéder ou d’augmenter les privilèges après un premier accès par le biais de méthodes d’ingénierie sociale. En conséquence, la meilleure manière de protéger les systèmes cruciaux des réseaux électriques et de ne pas utiliser les équipements informatiques de terrain comme des ordinateurs polyvalents, utilisés à d’autres fins. En utilisant des équipements de terrain dédiés, l’ampleur de la vulnérabilité est grandement réduite en éliminant les services exploitables et les vecteurs d’ingénierie sociale tels que les e-mails et la navigation Internet. Ce facteur est essentiel pour une approche globale du programme de gestion des failles sur le terrain.
La gestion des correctifs de sécurité présente également des implications pour la norme NERC CIP, par des exigences présentées dans CIP-007-6 des équipements des réseaux de production et de transport et dans CIP-010-2 pour les équipements informatiques transitoires. À des fins d’audit de la conformité à la norme NERC CIP, il convient de soigneusement collecter et conserver les preuves. Un programme bien pensé de gestion des correctifs de sécurité peut améliorer grandement la sécurité du système et permettre de se conformer à la norme NERC CIP sans impact sur les performances de travail.
Doble dispose de programmes de gestion des correctifs de sécurité conçus pour de nombreux parcs d’équipements de services d’électricité. Par expérience, la gestion des correctifs de sécurité des équipements informatiques de terrain consiste en une association unique de savoir-faire et de connaissances d’entreprise précisément mesurables, pour ainsi avoir une vision précise des processus de gestion des équipements.
Ressources supplémentaires :
- Analyse du logiciel de rançon WannaCry
- Shadow Brokers et exploits de la NSA
- Glossaire des termes NERC
- Normes NERC et dates d’entrée en vigueur
- NERC CIP-007-6 relatif à la gestion de la sécurité des systèmes
- Exigence NERC CIP-010-2 R4 à destination des équipements informatiques transitoires et des médias amovibles
