Plus des deux tiers (68 %) des organisations d’infrastructures critiques interrogées ne disposent pas d’une visibilité complète et en temps réel sur les actifs connectés à leurs réseaux de technologie opérationnelle (OT), ce qui complique la protection contre les cyberattaques, selon un nouveau rapport commandé par Palo Alto Networks et réalisé par Sapio Research.
Le rapport, basé sur une enquête menée auprès de plus de 1 600 dirigeants dans 11 pays, révèle que 60 % des organisations ont été confrontées à un incident de sécurité affectant leurs opérations au cours de l’année écoulée. Les répondants représentaient l’industrie manufacturière, les soins de santé et les sciences de la vie, l’énergie et les services publics, les transports ainsi que les organisations gouvernementales et du secteur public. L’OT comprend des systèmes qui surveillent ou contrôlent les équipements et processus physiques.
« La visibilité est importante car elle soutient les décisions concernant la protection de l’opération », a expliqué Harry Thomas, directeur technique et co-fondateur de Frenos, une société de tests de sécurité OT à Fulton, dans le Maryland.
« Savoir qu’un appareil existe est un point de départ », a-t-il déclaré à TechNewsWorld. « Les équipes doivent également comprendre ce qu’elles contrôlent, ce qui en dépend, qui peut y accéder et ce qui se passerait s’il devenait indisponible ou si ses paramètres étaient modifiés. »
« Ce contexte aide les défenseurs à prioriser les risques et à déterminer comment réagir sans créer de problème opérationnel plus important », a-t-il ajouté.
Les systèmes existants compliquent la visibilité des actifs
Anup Kumar, PDG d’Optiv Consulting, une société de conseil en cybersécurité basée à Ashburn, en Virginie, a expliqué que la visibilité de l’OT est un défi car les environnements combinent souvent des équipements existants, des protocoles propriétaires et des systèmes conçus pour la fiabilité, et non pour une analyse de routine.
« Ce qui fonctionne en informatique peut créer des risques en OT », a-t-il déclaré à TechNewsWorld. « Sans visibilité, les organisations ne peuvent pas identifier les actifs exposés, détecter les activités anormales ou réagir rapidement aux menaces. Une visibilité sûre et continue est le fondement de la résilience opérationnelle. »
L’un des défis de la protection des infrastructures critiques est qu’elles sont limitées par des actifs qui ne peuvent pas être mis hors ligne suffisamment longtemps pour être corrigés, tandis que les tensions géopolitiques et l’expansion de la connectivité augmentent la pression sur les fournisseurs travaillant déjà avec des ressources limitées, a noté Jacob Krell, directeur principal des solutions sécurisées d’IA et de la cybersécurité chez Suzu Labs, un fournisseur de services de cybersécurité basés sur l’IA à Las Vegas.
« Le rapport de Palo Alto relie cette pression à des conséquences opérationnelles réelles, notamment des problèmes de sécurité, des temps d’arrêt imprévus, des interruptions de production et des pertes financières », a-t-il déclaré à TechNewsWorld.
« Le fil conducteur est une visibilité incomplète sur les systèmes existants, les appareils non gérés, les réseaux 5G privés et autres actifs connectés », a-t-il déclaré. « Des équipes de sécurité IT et OT distinctes, ainsi que de multiples outils déconnectés, rendent la réponse plus lente et plus difficile à coordonner. »
« Le fardeau est plus lourd pour les services publics, les hôpitaux, les fabricants, les opérateurs de transport et les agences gouvernementales, car ils ne peuvent pas traiter la cybersécurité comme un exercice normal de maintenance logicielle », a-t-il ajouté. « Une équipe de sécurité sait peut-être qu’un automate programmable est vulnérable, mais elle n’a toujours pas de réponse fiable à la question opérationnelle : quelle pompe, quelle étape de production ou quel processus de sécurité contrôle-t-elle ?
La prolifération des outils de sécurité ralentit la réponse
Les organisations interrogées utilisent en moyenne sept systèmes et outils de sécurité distincts. Cinquante-neuf pour cent ont déclaré que plusieurs systèmes créaient une complexité opérationnelle, 56 % ont signalé des coûts d’exploitation plus élevés et 41 % ont cité une réponse tardive aux incidents.
Le rapport révèle que 51 % des organisations s’appuient toujours sur des scores de gravité des vulnérabilités ou sur un examen manuel des alertes pour la priorisation.
« Chaque outil supplémentaire est une autre console, un autre modèle de données et une autre équipe qui doit être présente lors d’un incident », a observé Gil Hecht, PDG et fondateur de Core6, une société de sécurité des infrastructures de données d’entreprise à Tel Aviv, en Israël.
« Avec une moyenne de sept systèmes de sécurité, les alertes ne peuvent pas être corrélées, les équipes ne peuvent pas établir de priorités et la moitié des organisations ont recours à une vérification manuelle, comme le montre le rapport », a-t-il déclaré à TechNewsWorld.
« Lors d’un incident, on perd du temps à concilier ce que dit chaque outil avant que quiconque puisse agir », a-t-il déclaré. « La résilience dépend de la rapidité avec laquelle vous pouvez comprendre et récupérer, et la complexité ralentit les deux. »
Les logiciels générés par l’IA pourraient ajouter une autre couche de complexité. « Ce qui m’inquiète encore plus, c’est l’ère à venir de l’IA, où les gens peuvent créer des applications et des services SaaS incroyablement rapidement sans nécessairement savoir coder », a déclaré John Strand, propriétaire de Black Hills Information Security, une société de tests d’intrusion, d’équipe rouge et de chasse aux menaces à Spearfish, SD.
« Je crois que la complexité technique de ces environnements va augmenter, et non diminuer », a-t-il déclaré à TechNewsWorld. « Et la complexité est l’ennemi de la sécurité informatique. »
Préoccupation concernant les attaques d’IA
Le rapport met également en lumière les inquiétudes généralisées concernant les attaques alimentées par l’IA de pointe, c’est-à-dire les modèles d’IA les plus avancés, ainsi que les attentes selon lesquelles l’IA pourrait renforcer les défenses.
Quatre-vingt-quinze pour cent des personnes interrogées ont exprimé au moins une certaine inquiétude quant à de telles attaques ciblant les infrastructures critiques, tandis que 91 % s’attendaient à ce que les solutions de cybersécurité basées sur l’IA aident à se défendre contre elles. Seulement 19 % ont déclaré déployer l’IA dans quatre domaines opérationnels ou plus de leur entreprise.
« L’IA peut aider à éclairer des parties des environnements OT qui ont été historiquement difficiles à voir et à analyser », a déclaré Louis Eichenbaum, directeur technique fédéral de ColorTokens, un fournisseur de solutions de microsegmentation Zero Trust à San Jose, en Californie.
« Cela inclut des actifs non documentés, des dépendances logicielles héritées, des configurations non sécurisées, des communications inhabituelles entre l’informatique et l’OT, ainsi que des chemins d’attaque couvrant plusieurs systèmes », a-t-il poursuivi.
« Il peut également analyser de grands volumes de télémétrie réseau, de fichiers de configuration, de documentation technique et de données de vulnérabilité beaucoup plus rapidement qu’une équipe humaine », a-t-il ajouté.
L’IA érode la sécurité par l’obscurité
Richard Springer, directeur principal des solutions OT chez Fortinet, un fournisseur de pare-feu, de systèmes de prévention des intrusions, de sécurité des points finaux et de programmes antivirus à Sunnyvale, en Californie, a expliqué qu’historiquement, les dispositifs et protocoles OT spécialisés créaient des barrières pour les attaquants, offrant une certaine protection grâce à « la sécurité par l’obscurité ».
« L’IA change cette dynamique en facilitant l’identification des appareils OT, l’interprétation des protocoles industriels et la fourniture de conseils qui nécessitaient auparavant une expertise spécialisée », a-t-il déclaré à TechNewsWorld. « Cela pourrait permettre à davantage d’acteurs malveillants de cibler les environnements OT, avec des conséquences potentiellement importantes étant donné la dépendance de la société à l’égard des infrastructures critiques. »
« La vitesse des attaques basées sur l’IA a réduit le délai d’exploitation à quelques jours tout au plus », a ajouté John Gallagher, vice-président de Viakoo, une société de sécurité IoT d’entreprise basée à Mountain View, en Californie.
« Grâce à l’IA, nous en sommes désormais à un point où 29 % des vulnérabilités sont exploitées dans les 24 heures, alors que le délai de mise à jour est en moyenne de 55 jours », a-t-il déclaré à TechNewsWorld.
La comparaison illustre la fenêtre étroite à laquelle sont confrontés les défenseurs, en particulier dans les environnements OT où les mises à jour nécessitent des tests minutieux et des temps d’arrêt programmés.
Selon Viakoo, les environnements OT et IoT utilisent plus de 150 000 systèmes d’exploitation distincts. Gallagher a fait valoir que l’IA affaiblit la protection que ces systèmes spécialisés ont historiquement acquise contre la « sécurité par l’obscurité ».
« Les modèles d’IA de Frontier peuvent automatiser la découverte de vulnérabilités, procéder à la rétro-ingénierie de la logique industrielle et générer rapidement des scripts d’attaque sur mesure pour des environnements opérationnels spécialisés, permettant ainsi aux acteurs malveillants d’étendre leurs campagnes ciblées avec une efficacité sans précédent », a-t-il expliqué.
La découverte dépasse la correction
L’IA pourrait creuser l’écart entre la découverte des vulnérabilités et leur correction dans les environnements IT et OT. « Le défi fondamental est que les défenseurs ont déjà du mal à suivre le volume des vulnérabilités », a déclaré Ramy Rahman, ingénieur principal en solutions chez ArmorCode, une société de gestion unifiée des vulnérabilités à Palo Alto, en Californie.
« L’IA accélère la découverte, l’analyse et potentiellement l’exploitation sans nécessairement accélérer les processus opérationnels nécessaires pour résoudre ces problèmes », a-t-il déclaré à TechNewsWorld. « Pour les infrastructures critiques, où la remédiation peut nécessiter des fenêtres de maintenance, une coordination des fournisseurs ou des tests approfondis, ce déséquilibre devient particulièrement préoccupant. »
« L’IA n’introduit pas nécessairement de techniques d’attaque entièrement nouvelles », a-t-il poursuivi. « Cela rend les techniques existantes plus rapides, plus accessibles et plus faciles à faire évoluer. Les petites et grandes équipes de sécurité ressentiront cette pression. »
« L’IA peut aider les défenseurs à corréler les informations et à identifier des chemins d’attaque significatifs, mais elle peut également augmenter considérablement le volume de vulnérabilités et d’expositions potentielles qui nécessitent une attention particulière », a-t-il expliqué.
« En fin de compte, la résilience ne consiste pas à éliminer toutes les vulnérabilités », a-t-il ajouté. « Il s’agit de comprendre quels risques sont les plus importants, d’identifier les mesures d’atténuation réalisables et de garantir que les améliorations en matière de sécurité n’introduisent pas les perturbations opérationnelles que nous essayons de prévenir. »
