Les 5 grandes étapes pour sécuriser un système embarqué
Enjeu de la sécurisation d’un système embarqué //
En 2023, les fonctions cruciales des entreprises et industries modernes reposent notamment sur des produits et systèmes embarqués. Alors que près de 54% des PME ont fait l’objet d’une cyberattaque en 2021, il devient primordial de protéger ces systèmes embarqués efficacement contre les différents risques qui peuvent affecter leur performance et leur disponibilité. Cela implique de maîtriser 5 étapes clés nécessaires à cette sécurisation.
Sécurisation d’un système embarqué : grandes étapes //
Afin de répondre à ces enjeux majeurs, l’Expertise Unit Cyber Apside propose une méthodologie de sécurisation des systèmes embarqués en 5 grandes étapes :
- L’identification : elle consiste à identifier le contexte du système et les menaces potentielles qui pourraient l’affecter en prenant en compte les aspects techniques, organisationnels et humains.
- L’étude : elle repose sur l’évaluation de ses vulnérabilités en analysant ses points forts et ses points faibles qui pourraient être exploités par les sources de menace identifiées.
- La définition du plan d’action : il s’agit de déterminer les mesures de sécurité adéquates en employant des outils et des techniques de sécurité adaptés à l’environnement.
- La mise en place opérationnelle : elle s’appuie sur l’instauration de mesures de sécurité identifiées, en veillant à leur intégration dans les processus et les procédures de l’entreprise tout en formant les employés à leur utilisation.
- La veille : qui comprend la surveillance et l’audit régulier de la sécurité du système en testant l’efficacité des mesures de sécurité mises en place et en adaptant ces dernières en cas de besoin.
Sécurisation des systèmes embarqués : l’identification //
Afin de mettre en œuvre une politique de sécurité efficace et adaptée à son environnement, il est indispensable en premier lieu d’identifier de manière précise le contexte et le périmètre du produit/système embarqué à protéger.
Cette étape primordiale consiste notamment à comprendre le fonctionnement et les mécaniques du système industriel dont il est question afin d’en déduire les sécurisations à appliquer. Par ailleurs, il est particulièrement important de distinguer si le système étudié est un équipement isolé (ECU véhicule, robot-aspirateur, drone, valve de contrôle) ou bien s’il fait partie d’un ensemble de produits interconnectés dans un réseau (GVN, CAN, Modbus, EtherCAT, Profinet). En effet, la politique de sécurité sera forcément impactée par ces corrélations éventuelles.
Sécurisation des systèmes embarqués : l’étude //
Dès que contexte et périmètre ont été identifiés, il convient d’étudier les vulnérabilités potentielles.
Comme dans toute phase de cadrage, se poser les bonnes questions permet de déterminer les actions à mener. En effet, les investissements et enjeux de cybersécurité sont évalués différemment suivant les situations et les scénarios envisagés. Apporter les réponses aux interrogations suivantes permettra de mieux calibrer ses enjeux :
- « Des exigences fonctionnelles concourent-elles déjà à la sécurité de mon système ?»
- « Mon produit possède-t-il des sécurités (antivirus, pare-feu, HIDS, MDP JTAG) et est-il administré par un système centralisé (SCADA, SIEM, UEM/MDM) ?».
- « Quels impacts pour mon business en cas d’attaque sur mon système ?».
Évaluer et auditer la sécurité déjà en place aide à mieux identifier ses failles et ainsi à déterminer les efforts techniques et financiers requis pour élever son niveau de sécurité. Par ailleurs, un dysfonctionnement causé par une source malveillante aura de lourdes conséquences sur une organisation.
Ces impacts peuvent notamment être :
- Matériels (sureté de fonctionnement) ;
- Financiers (contexte opérationnel, chaîne de production) ;
- Réputationnels (image de marque) ;
- Humains (atteintes à l’intégrité physique des personnes).
Il faut enfin se demander quelles sont les spécificités et contraintes (s’appliquant au système) dont on ne peut pas se séparer. La réponse à cette interrogation permettra d’identifier les limites d’un système, car toutes les mesures ne sont pas implémentables et le coût lié à la cybersécurité doit être maîtrisé.
Sécurisation des systèmes embarqués : définition du plan d’actions //
Une fois que l’état des lieux est dressé, il devient pertinent de déterminer les mesures de sécurité à mettre en œuvre pour couvrir les risques cyber identifiés précédemment. Afin de contrer les menaces d’ordre physique et matériel sur un produit, voici quelques exemples de mesures :
- Verrouillage des interfaces du matériel: Les interfaces de communication et de débogage doivent être protégées par mots de passe voire condamnés à l’aide d’obturateurs/scellés ;
- Désactivation des fonctions non essentielles du micrologiciel : Des guides de sécurisation et de configuration sont disponibles (cf. guide ANSSI pour la sécurisation d’un système GNU/Linux) ;
- Fonctions cryptographiques: le démarrage sécurisé (Secure Boot) authentifiera un micrologiciel et l’ajout d’un HSM protègera les secrets cryptographiques ;
- Politique de mise à jour: Ces MAJ régulières assureront une sécurité efficace face aux dernières menaces avancées (0-day) ;
- Sauvegardes régulières et PRA : Les sauvegardes sont rappelées en production via un plan de reprise d’activité (PRA). C’est une procédure documentée indispensable définissant les règles de déploiement des sauvegardes ;
- Ségrégation : Une bonne pratique consiste à fragmenter physiquement les réseaux en fonction des usages. En cas de compromission, seule une partie du système sera impacté et les risques réduits. Si l’isolation n’est pas possible, l’emploi de zones démilitarisées et de diodes réseaux garantiront une ségrégation logique.
Sécurisation des systèmes embarqués : la sécurisation //
Toutes les étapes précédentes sont nécessaires afin d’effectuer la phase de sécurisation de manière optimale. Les exigences et mesures de sécurité pourront alors être mises en œuvre selon une procédure et un plan d’actions précis qu’il faut définir en prenant soin de préserver l’écosystème de production.
Pour ce faire :
- Déploiement dans un environnement de test: Il est d’usage d’expérimenter les ajouts dans un environnement de test ou de développement afin de garantir le bon fonctionnement du système final une fois sécurisé.
- Vérification d’intégration : Il est important de tester la viabilité de toutes les fonctions du système via des tests unitaires dédiés. Certaines pourraient être corrompues ou nécessiteraient d’être adaptées à l’environnement sécurisé.
- Simulations d’incidents: Des incidents type cyber pourront être simulés afin de vérifier la bonne intégration et le bon fonctionnement des mesures de sécurité dans les processus de l’entreprise.
- Formation des employés : Afin de s’assurer de la bonne gestion des incidents cyber, les employés devront aussi être formés à la bonne conduite des procédures de sécurité dans l’entreprise.
Sécurisation des systèmes embarqués : la veille //
Parce qu’une résolution d’un incident réussie ne garantit pas d’être définitivement à l’abris, il faut rester en veille permanente, en auditant et éprouvant régulièrement sa politique de sécurité et afin de l’adapter si besoin.
Cette surveillance passe notamment par 3 axes :
- Supervision
Il est conseillé de mettre en œuvre des solutions de gestion centralisée (type SCADA) qui, associés à des systèmes de supervision (SIEM), faciliteront la détection d’incidents et d’alertes de cybersécurité. Les solutions d’IAM et de PKI aideront à la gestion des divers secrets manipulés au sein de votre environnement.
- Sécurité réseau
Les communications, au sein d’un réseau doivent être chiffrées à l’aide d’algorithmes/protocoles sécurisés. Les NIDS/NIPS aident à détecter les attaques réseau et empêchent les exfiltrations de données en cas de défaillances des systèmes de sécurité.
- Audit du système
Faire auditer son système par des professionnels de la cybersécurité ! Non seulement ils apportent un regard extérieur, mais ils permettent également la détection de vulnérabilités potentielles non couvertes, de mieux évaluer le niveau de sécurité des systèmes et de rationaliser les actions cyber à mettre en œuvre. Les audits peuvent prendre diverses formes (organisationnel, technique, web, réseau, code source) suivant une large sélection de mesures de sécurité en s’appuyant sur de nombreux catalogues (ISO-27002, ISO-62433) et guides (ANSSI, CIS) et peuvent permettre de faire certifier vos produits vis-à-vis de normes (ISO-27001, ISO/SAE-21434, ISO/IEC 62443, CC-EAL).
L’expertise unit Cyber //
Ces 5 grandes étapes s’inscrivent dans une méthodologie globale et théorique, mais chacune d’entre elle aura un poids et une importance différente selon la nature de chaque organisation. Au sein d’Apside, nous avons une expertise unit dédiée à la cybersécurité qui se tient à la disposition des structures de toutes tailles ayant besoin de conseil pour sécuriser leur système embarqué. N’hésitez pas à prendre contact avec nous via cet email ([email protected]) si vous souhaitez l’avis de nos experts.
A propos de l’auteur : Rémi Viard – Responsable de la division CCIS (Cryptology and Cybersecurity for Industrial Systems) au sein de l’Expertise Unit Cyber du groupe Apside – Responsable et créateur du TAESC’Lab (Laboratoire électronique de tests de pénétration des systèmes industriels et embarqués) – Spécialiste sur les sujets liés à la cybersécurité dans de nombreux secteurs (IT, OT, aérospatiale, Automobile).
