« Les industriels sont à l'avant-garde du déploiement de l'IIoT et se préparent à l'arrivée de la 5G pour exploiter la puissance de la connectivité omniprésente et ainsi gagner en rapidité, en sécurité et en efficacité. Mais qui dit nouvelle technologie dit nouvelles menaces qui s'ajoutent aux problèmes existants », explique Yohei Ishihara, expert en sécurité chez Trend Micro. « Comme le souligne le rapport, nombre d'entreprises sont prises au piège, incapables de se permettre les interruptions de service nécessaires pour corriger les vulnérabilités critiques de leurs systèmes, qui pourraient autrement être exploitées. Heureusement, nos recherches approfondies mettent également en lumière plusieurs solutions et bonnes pratiques pour sécuriser les usines intelligentes d'aujourd'hui et de demain. »
Le rapport identifie plusieurs points d'entrée clés permettant aux attaquants de compromettre un réseau 4G/5G central :
- Serveurs qui hébergent des services réseau de base : sélection de vulnérabilités et de mots de passe faibles sur ces serveurs COTS x86 standard.
- machines virtuelles (VM) ou conteneursElles peuvent également être exposées si les derniers correctifs ne sont pas appliqués rapidement.
- Réinfrastructured : Les périphériques sont souvent négligés lors des cycles de mise à jour.
- stations de baseIls contiennent également un micrologiciel qui doit être mis à jour de temps à autre.
Une fois qu'un attaquant accède au réseau principal depuis l'un de ces points d'entrée, il tente de se déplacer latéralement, interceptant et modifiant les paquets réseau. En ciblant les systèmes de contrôle industriel (ICS) dans des environnements de fabrication intelligents comme les centres d'essais, les attaquants peuvent dérober des données sensibles, saboter la production ou exiger une rançon.
Parmi les 11 scénarios d'attaque présentés, l'un des plus potentiellement dommageables consiste à cibler les serveurs Microsoft Remote Desktop Protocol (RDP), couramment utilisés par les techniciens de terrain et les informaticiens. Le passage à la 5G ne protège pas automatiquement le trafic RDP ; les attaquants pourraient donc exploiter cet accès pour télécharger des logiciels malveillants et des rançongiciels, ou encore détourner directement les systèmes de contrôle industriel. La version 10.0 de RDP est la plus sécurisée et peut offrir une certaine protection contre ces attaques, mais sa mise à niveau peut s'avérer complexe pour les organisations.
Parmi les recommandations du rapport pour sécuriser les réseaux de campus 4G/5G figurent :
l'utilisation d'un VPN ou d'IPSec pour sécuriser les canaux de communication distants, y compris les sites distants et les stations de base ;
Chiffrement de la couche application (HTTPS, MQTTS, LDAPS, VNC chiffré, RDP v10 et protocoles industriels sécurisés tels que S7COMM-Plus) ;
EDR, XDR ou MDR pour surveiller les attaques et les déplacements latéraux au sein du réseau central du campus et du réseau conteneurisé ;
segmentation appropriée du réseau avec des VLAN ou SDN ;
application immédiate des correctifs, chaque fois que possible, aux serveurs, routeurs et stations de base ; et
produits de détection d’anomalies, tels que Trend Micro Mobile Network Security, compatibles avec le réseau du campus et offrant un moyen robuste d’isoler les paires appareil/SIM non répertoriées.
La création d'un réseau mobile en entreprise implique à la fois les utilisateurs finaux et divers acteurs, notamment les fournisseurs de services et les intégrateurs. De plus, les réseaux 4G/5G privés constituent des infrastructures de grande envergure et à longue durée de vie, ce qui les rend difficiles à remplacer ou à modifier une fois construits. Par conséquent, la mise en œuvre de la sécurité par défaut est essentielle pour identifier et atténuer les risques de sécurité dès la phase de conception.
