Naviguer dans le paysage de la cybersécurité des réseaux ICS et OT : Perspectives et solutions

Les tendances récentes en matière de menaces de cybersécurité révèlent une évolution inquiétante des attaques : des groupes parrainés par l'État ont commencé à se spécialiser dans les ICS, comme Sandworm (Russie) et Volt Typhoon (Chine), tandis que les cybercriminels sont conscients de la gravité de l'impact sur les systèmes industriels. Les forces de sécurité reconnaissent l'importance de ces menaces pour tous les secteurs industriels, ce qui a conduit à la publication de rapports et de campagnes conjointes visant à renforcer la sécurité des SCI.

Consciente de la nécessité d'une attention particulière, la société MITRE a mis au point une matrice ATT&CK spécifique aux SCI, afin de fournir un langage commun pour la communication intersectorielle et de permettre aux secteurs sous-représentés de tirer parti de ses cartographies, en favorisant une communication significative sur les risques et les menaces. Cette matrice relativement récente continue d'être méticuleusement mise à jour, la dernière version ayant été publiée le mois dernier.

L'équipe OPSWAT MetaDefender Sandbox , tout en se tenant au courant de ces mises à jour, souligne le lien intrinsèque entre IT et OT, puisque les actifs IT sont présents à tous les niveaux du modèle Purdue, et pas seulement au sommet.

Dans l'ensemble des cyberattaques liées aux SCI, la présence de fichiers malveillants est un facteur constant, quel que soit le vecteur d'entrée, qu'il s'agisse de IT ou de systèmes OT. C'est là que des solutions telles que MetaDefender Sandbox entrent en jeu. Ces outils sont conçus pour examiner minutieusement les fichiers qui traversent les périmètres définis du réseau d'une organisation, adaptés à différents contextes pour une performance optimale, y compris dans les environnements protégés.

L'Adaptive Sandbox d'OPSWAT combine différents ensembles d'indicateurs de menaces en utilisant des analyseurs internes et d'autres largement connus tels que les règles de Yara. Les deux attaques précédemment citées de Volt Typhoon et Sandworm s'appuyaient fortement sur des binaires LOLBINS (Living-Off-the-Land binaries) pour lesquels MetaDefender Sandbox met en œuvre de nombreux indicateurs. Cependant, l'attaque la plus ancienne constitue un bon exemple de combinaison d'indicateurs en raison de la disponibilité d'échantillons. La première charge utile signalée est un script batch contenant une commande Powershell encodée en base64 qui déclenche deux indicateurs intéressants dans ce cas, parmi d'autres.