Les risques cachés liés à la distribution de fichiers dans les environnements OT

Dans la plupart des environnements OT, l'intégration d'un fichier dans un système critique suit une séquence d'étapes bien définie. Tout commence par l'arrivée d'un fournisseur muni d'un micrologiciel, d'un sous-traitant apportant un correctif ou d'une équipe de maintenance effectuant des mises à jour de configuration. Les fichiers sont analysés, validés, puis transmis. Cependant, à un moment donné entre ces procédures et le moment où le fichier parvient à l'automate programmable (PLC) ou à l'interface homme-machine (IHM), les équipes de sécurité le perdent complètement de vue.

De nombreuses approches sont utilisées pour relever ce défi. Des solutions réseau gèrent le transfert de fichiers entre les systèmes informatiques (IT) et les systèmes opérationnels (OT), tandis que des flux de travail basés sur des bornes d’accès inspectent les supports amovibles au point d’entrée. Mais un aspect du problème reste systématiquement sans solution : il s’agit de ce qu’il advient d’un fichier après sa vérification, pendant son transfert vers le système critique.

La plupart des opérateurs OT ont mis en place des processus d'inspection intégrés et rigoureux. En règle générale, les supports amovibles et les périphériques temporaires sont analysés avant d'entrer dans l'environnement OT isolé, et les autorisations sont consignées. Ces contrôles sont nécessaires, mais ils présentent une limite commune : ils créent un moment unique de confiance.

Les systèmes OT hérités n'ont pas été conçus pour vérifier la nature des données qui leur parviennent. Les automates programmables (PLC), les interfaces homme-machine (IHM) et les postes de travail d'ingénierie hérités ne sont généralement pas en mesure d'exécuter des agents EDR (Endpoint Detection and Response, détection et réponse aux menaces) ni de vérifier que les fichiers entrants correspondent aux autorisations initiales. Lorsqu'un périphérique est connecté, les fichiers deviennent accessibles par défaut.

Ces limites font que la sécurité de chaque distribution de fichiers au sein d'un système critique dépend du respect, par chaque opérateur, des étapes de vérification manuelle. Compter sur chaque opérateur pour qu'il suive chaque étape sur chaque site relève d'une hypothèse de processus, et non d'un contrôle de sécurité.

La question ne devrait plus être « ce fichier était-il sain au moment de l'analyse ? », mais plutôt « pouvons-nous confirmer qu'il s'agit bien du même fichier au moment de son déploiement dans le système critique ? »

Dans les secteurs réglementés, il est essentiel de s'assurer qu'un fichier n'a pas subi de modification entre le moment de son approbation et celui de son déploiement. Une fois qu'un fichier a franchi le point de contrôle, un mécanisme doit permettre de vérifier s'il a subi des modifications.

Dans les environnements OT, le problème reste entier, la majorité des workflows actuels ne disposant pas de mécanisme permettant de détecter les modifications postérieures à la vérification. Si un fichier est modifié après vérification, que ce soit par erreur ou par altération délibérée, le système cible OT ne peut pas le détecter. Le rapport d’analyse reste valide et la validation est toujours enregistrée. Un fichier dont la sécurité a été vérifiée il y a trois jours et qui a depuis été modifié apparaît identique à un fichier considéré comme sûr il y a trois jours et qui n’a pas été modifié. L’opérateur chargé de sa diffusion ne dispose d’aucun moyen fiable de faire la différence.

La vérification ne s'arrête pas au niveau de l'MetaDefender Kiosk . Si un fichier vérifié est modifié après l'analyse et avant son déploiement, il est automatiquement bloqué et masqué. Dans ce cas, ce fichier doit être soumis à une nouvelle vérification avant de pouvoir être rendu accessible.

Ce mécanisme garantit l'intégrité des fichiers, ce qui évite à l'opérateur de devoir effectuer cette vérification manuellement. Cela fait évoluer le modèle de sécurité d'une approche « analyse unique puis distribution » vers une approche « vérification continue jusqu'au déploiement ».