8 étapes pour rendre les systèmes plus sûrs

By Scott Penno

Aujourd'hui, nous assistons à l'essor de l'Internet des Objets ou IoT, où des milliards d'appareils sont de plus en plus connectés à Internet et partagent les informations et les données qu'ils collectent. Il peut s'agir de dispositifs simples, tels qu'un thermostat ou une ampoule, ou de dispositifs plus complexes, tels que des caméras de vidéosurveillance et ce qu'on appelle des bacs intelligents.

Cette interconnexion et cette capacité à partager des informations peuvent apporter une intelligence et une efficacité inimaginables. Aujourd'hui, les bâtiments peuvent optimiser leurs performances afin de s'assurer qu'ils répondent non seulement aux exigences de confort et de sécurité des occupants, mais également de satisfaire aux exigences légales ou environnementales en vigueur. Et il n’est plus nécessaire pour les services municipaux d’envoyer des camions tous les jours ou plusieurs fois par jour pour vider les poubelles car celles-ci peuvent contenir plus de déchets (ou de produits recyclables) grâce à un compacteur intégré et quand il arrive à saturation, il contacte les services pour indiquer qu'il doit être vidé. Ce sont deux exemples simples de la façon dont la connectivité et l'intelligence contribuent à améliorer les performances et l'efficacité.

Il y a toutefois un inconvénient à ce niveau croissant de connectivité, qui est celui de la sécurité. Compte tenu de l'explosion des périphériques interconnectés et de la sensibilité de bon nombre de ces périphériques, il y a un besoin de s'assurer que ces périphériques soient connectés avec un niveau de sécurité élevé.

Pour prendre exemple de ce qui pourrait éventuellement mal tourner lorsque les personnes mal intentionnées sont en mesure de prendre le contrôle d'un environnement IoT, regardez le film Die Hard 4.0 avec Bruce Willis. Bien qu'un peu daté d’aujourd’hui, le film illustre ce qui pourrait arriver si des attaquants pouvaient prendre le contrôle de bâtiments et d’infrastructures critiques telles que les systèmes de contrôle de la circulation.

Bien que ce film paraisse peu réaliste dans sa description de ce que des hackers compétants pourraient potentiellement accomplir, il est important de comprendre que la sécurité comprend une série de contre-mesures visant à réduire ou à atténuer à la fois la probabilité d'une attaque et la gravité de l'attaque. Et bien que cela puisse sembler relever du bon sens, de nombreuses tâches régulières ou courantes qui permettraient l'amélioration de la sécurité ne sont toujours pas mises en œuvre. Voyons quelques-unes d’entre elles.

Changer les noms d'utilisateur et mots de passe par défaut. La plupart, sinon tous les appareils, ont des noms d'utilisateur et des mots de passe par défaut qui peuvent être facilement trouvés par un enfant à l'aide d'un moteur de recherche. Les mots de passe par défaut doivent être changés immédiatement et même mieux, vous devez également modifier, supprimer ou désactiver le nom d'utilisateur par défaut.
Ne partagez pas les mots de passe. haque utilisateur d'un système doit avoir son propre nom d'utilisateur et mot de passe. Cela garantit que lorsque cet utilisateur quitte l'organisation, son compte peut simplement être désactivé ou supprimé et il n'est ainsi pas nécessaire de modifier les identifiants du compte partagé pour chaque système auquel l'utilisateur avait accès (ce qui en réalité ne se produit pas).
Utilisez une authentification forte. L'utilisation de mots de passe forts de longueur raisonnable, combinant des lettres, des chiffres et des caractères spéciaux, sans inclure de mots du dictionnaire, garantit que les mots de passe ne peuvent pas être facilement découverts. Le mieux encore est d'utiliser des certificats numériques avec les clés générées dans un jeton ou un périphérique, ce qui non seulement assure une authentification forte, mais également la non-répudiation.
Utilisez l'authentification centralisée. L'utilisation d'un système d'authentification centralisé tel qu'Active Directory, RADIUS ou LDAP simplifie le processus de gestion des informations utilisateur, car il n'y a qu'un seul système qui doit être administré au lieu de plusieurs.
Restreindre l'accès. L'accès aux systèmes doit être limité au niveau minimum requis pour qu'un utilisateur puisse réaliser les tâches qu'il doit effectuer. De plus, les pares-feu doivent être utilisés pour séparer et isoler les systèmes de manière à ce qu'un problème ou une attaque sur un système ait moins de chances d’en impacter d’autres.
Intégrer la redondance. La redondance doit être intégrée pour garantir que le système continue de fonctionner en cas de panne ou d'attaque. Dans de nombreux cas, le montant de la perte de chiffre d' affaires est de loin supérieur au coût supplémentaire de la redondance.
N'oubliez pas la sécurité physique. La sécurité concerne toutes les couches et l'une d'entre elles est l'accès physique. Si un attaquant peut obtenir un accès physique à un système, sa tâche sera simplifiée. Par conséquent, assurez-vous que l'accès physique n'est disponible que pour ceux qui en ont besoin.
Faire des sauvegardes régulières. A n'importe quel moment, il peut y avoir un incident. Et lorsque cela se produit, il est important que vous disposiez d’une sauvegarde hors ligne et stockée dans un lieu différent.

Bien que ces étapes puissent sembler simples et de bon sens, il existe aujourd'hui de nombreux systèmes IoT où le niveau de sécurité utilisé laisse beaucoup à désirer. Beaucoup d'autres choses peuvent être mises en œuvre, mais le fait de suivre chacune des étapes ci-dessus contribuera grandement à améliorer la sécurité des systèmes déployés aujourd'hui.