Le verrouillage est venu de l'appareil lui-même
Dans les nuits du 26 et du 27 juillet, un exploitant du Minnesota a voulu changer un réglage sur l'automate d'une usine d'eau et a découvert que le mot de passe n'était plus le sien. Dans la même fenêtre, plus de 30 systèmes municipaux d'eau et d'assainissement ont été touchés à l'échelle de l'État. Le Minnesota a simplement été le premier à le dire publiquement. À la fin de la semaine, le FBI avait des signalements d'exploitants d'au moins sept États et, dans sa communication conjointe avec l'agence environnementale EPA du 30 juillet, il a consigné qu'une partie de cette activité a dégradé l'exploitation de l'eau.
Il vaut la peine de dire précisément ce qu'ont fait les acteurs, car cela ne ressemble pas à ce que presque tout le monde imagine en entendant le mot intrusion. Une fois atteints les automates exposés sur internet, ils en ont changé les adresses IP puis ont activé et défini des mots de passe. Le FBI décrit le résultat comme une perte de visibilité et, dans certains cas, une perte de fonction des équipements raccordés. Rien n'a été chiffré et aucune rançon n'a été demandée. Les exploitants ont conservé chaque fichier qu'ils possédaient. Ce qu'ils ont perdu, c'est la capacité de parler à leurs propres machines. Parmi les effets signalés au FBI figurent des pertes de pression et des inondations, et les exploitants sont revenus à une conduite manuelle des usines.
Lisez la deuxième consigne, pas la première
La première consigne des deux agences est l'évidence même : retirer immédiatement les automates de l'internet public. La CISA, qui a diffusé le 30 juillet sa propre alerte au secteur de l'eau et de l'assainissement en évoquant une escalade significative de l'activité visant les automates programmables, ajoute l'isolement physique du réseau et le retrait de tout appareil exposé publiquement. Le conseil est juste et presque personne ne le contestera.
La deuxième consigne est celle qui décide de la durée d'arrêt d'une usine. Le FBI demande aux exploitants de s'assurer qu'ils détiennent une sauvegarde saine et connue de l'image de l'automate, au cas où un mot de passe modifié les mettrait dehors. La CISA arrive au même point par un redémarrage à froid qui efface l'adressage et le programme. Ce sont deux restaurations, pas des correctifs. La solution recommandée retire l'attaquant en retirant tout, et l'usine ne revient que lorsque quelqu'un remet le programme en place.
La reprise est un fichier, et vous ne le détenez peut-être pas
C'est ici qu'une usine d'eau se sépare d'un réseau de bureau, et ici que la consigne présuppose en silence quelque chose que la plupart des exploitants n'ont jamais vérifié. Restaurer un automate ne veut pas dire réinstaller le logiciel d'un fournisseur. Cela veut dire charger le programme écrit pour cette usine précise : la logique à contacts qui sait que ce site a deux forages et un poste de relevage, que cette pompe ne doit pas tourner sous telle pression, que cette vanne est verrouillée avec telle alarme. Ce programme existe sous forme de fichier de projet et il est unique au site.
Dans la plupart des usines d'eau européennes, la version à jour de ce fichier ne se trouve pas chez l'exploitant. Elle se trouve chez l'intégrateur de systèmes qui a mis la ligne en service, parfois il y a des années, parfois chez un ingénieur qui est parti depuis. L'exploitant possède le matériel, paie la maintenance et porte l'obligation réglementaire, tandis que l'objet qui fait fonctionner ce matériel est détenu par un prestataire sans obligation explicite de le tenir à jour ni de le remettre sur demande. Ce montage reste invisible tant qu'il n'y a rien à restaurer. Toute la deuxième consigne du FBI en dépend.
La version honnête de la question n'est donc pas de savoir si vous êtes à jour des correctifs. C'est celle-ci : si un automate était ramené à l'état d'usine cet après-midi, qui vous enverrait le fichier, combien de temps cela prendrait-il, et quelqu'un a-t-il déjà confirmé que le fichier détenu se charge vraiment sur le matériel que vous exploitez aujourd'hui ? Un fichier de projet qui a pris trois ans de retard sur des modifications non documentées n'est pas une sauvegarde. C'est une archive.
Une sauvegarde datée n'est pas la même chose qu'une sauvegarde saine
Un détail de la note du FBI change la façon dont vous devriez traiter les copies que vous détenez bel et bien. Au moins une organisation a signalé des fichiers de projet d'automate modifiés, après avoir remarqué des écarts de logique à contacts sur plusieurs de ses sites. Quelqu'un a comparé ce qui tournait à ce qui aurait dû tourner, sur plus d'un site, et a trouvé une différence. Ce n'est pas un verrouillage. C'est une modification.
Dès lors que les fichiers de programme entrent dans le périmètre, avoir une sauvegarde cesse de suffire, car une copie prise après l'accès restaure fidèlement la version de l'attaquant. La question déterminante devient la date. Il vous faut une copie que vous pouvez dater d'avant le premier accès plausible, et un moyen de la comparer à ce qui se trouve aujourd'hui sur l'appareil. Pour les exploitants qui utilisent les séries Allen-Bradley MicroLogix 1100 et 1400 nommées par le FBI, ou les équipements Siemens et Schneider Electric également signalés par la CISA, cette comparaison est un travail d'ingénierie ordinaire. Elle n'est difficile que parce que presque personne ne dispose d'une copie de référence à laquelle se comparer.
La NIS2 vous le demande déjà, dans un point que personne ne lit
L'eau potable et les eaux usées sont des secteurs essentiels de l'annexe I de la NIS2, les exploitants européens se trouvent donc dans l'étage le plus strict du régime. Le point qui mord ici n'est pas le délai de notification. C'est l'article 21, paragraphe 2, point d, qui exige la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité de la relation entre une entité et ses fournisseurs directs et prestataires de services. Un intégrateur qui détient l'unique copie fonctionnelle du programme qui pilote une usine d'eau potable, c'est exactement cette relation, et le fait qu'il s'agisse d'un classement de fichiers et non d'une connexion réseau ne la place pas hors du point d.
Trois choses valent la peine cette semaine, et aucune n'exige de savoir qui est derrière. Notez, pour chaque automate, qui détient le fichier de projet à jour et sous quelle clause contractuelle. Prenez votre propre copie, stockez-la hors ligne et enregistrez la date. Puis vérifiez, lors d'un arrêt programmé, que cette copie se charge sur un automate, car une restauration non testée est une conviction et non une capacité. Braham, une commune du Minnesota d'environ 1 700 habitants, est revenue en deux heures parce que ses équipes savaient conduire l'usine à la main. La conduite manuelle vous achète des heures. Que l'usine revienne sur ses automatismes, c'est le fichier qui vous l'achète, et seulement s'il existe.
À lire ensuite: Corriger SharePoint ne ferme plus la porte | La première plateforme d'agents IA que la CISA impose de corriger
