Du code malveillant touche des contrôleurs de sécurité industrielle Triconex

Numéro : AL17-015
Date : Le 21 décembre 2017

Objet

La présente alerte vise à attirer l’attention sur un incident IncidentIncident réel au cours duquel un agent de menace exploite une vulnérabilité d’un bien de TI de valeur. divulgué récemment et publiquement, au cours duquel le fonctionnement d’une usine de transformation industrielle s’est interrompu de façon imprévue.

Évaluation

On a découvert que l’auteur de cet incident avait employé une instance de code malveillant spécialement conçu en vue de compromettre le fonctionnement de contrôleurs de sécurité industrielle Triconex de Schneider-Electric. Des sources publiques et des rapports médiatiques indiquent que ce maliciel MalicielLogiciel malveillant conçu pour infiltrer ou endommager un système informatique. Les maliciels les plus courants sont les virus informatiques, les vers, les chevaux de Troie, les logiciels espions et les logiciels publicitaires. porte les noms TRITON, TRISIS et HatMan.

Bien qu’il n’existe actuellement aucune information qui laisse penser que l’activité associée à cet incident est répandue, l’accès au réseau de sécurité industrielle permet tout de même le déploiement ainsi que l’exécution de code malveillant. La mise en application des directives de sécurité du fabricant devrait constituer une mesure d’atténuation suffisante à cet égard.

Il faut effectuer la segmentation réseau et mettre en place des contrôles d’accès et d’authentification AuthentificationProcessus ou mesure permettant de vérifier l’identité d’un utilisateur. robustes dans le cadre du déploiement de contrôles de processus et des systèmes de sécurité connexes. C’est également vrai dans le cas de l’automatisation et d’autres types de contrôles, car les protocoles de communications qui y sont employés ne possèdent généralement pas les contrôles de l’authentification et de l’intégrité IntégritéAptitude à protéger l'information contre les modifications ou les suppressions non intentionnelles ou inopportunes. L'intégrité permet de savoir si l'information est conforme à ce qu'elle est censée être. L'intégrité s'applique également aux processus opérationnels, à la logique des applications logicielles, au matériel ainsi qu'au personnel. nécessaires en vue d’empêcher l’exécution d’attaques de réinsertion réseau ou de contrefaçon de messages.

L’ICS-CERT a publié un rapport d’analyse de maliciel (MAR-17-352-01 HATMAN) qui décrit les tactiques, techniques et procédures associées à ce code malveillant. Cet organisme y indique que les activités de ce code, quoique sans conséquence catastrophiques (les systèmes de sécurité ne contrôlent pas directement le processus, donc leur dégradation n’entraîne pas un mauvais fonctionnement du processus connexe), peuvent tout de même causer d’importants dommages si on les emploie conjointement à un maliciel qui touche le processus.

Mesures Recommandées

Recommandations relatives à la sécurité de Schneider

Schneider Electric recommande à ses clients de suivre les directives comprises à la section « Security Considerations » (facteurs relatifs à la sécurité) du document Planning and Installation Guide (guide de planification et d’installation) de leur contrôleur Triconex (Tricon, Trident ou Tri-GP). On y retrouve notamment les directives suivantes les suivantes.

Il faut toujours déployer les systèmes de SÉCURITÉ sur des réseaux isolés au moyen de zones et de conduits, comme définis dans la norme IEC-62443.
Il faut mettre en place des contrôles physiques, de sorte qu’aucune personne non autorisée n’ait accès à l’usine, aux salles d’équipement, aux contrôleurs de sécurité, ni à l’équipement périphérique et réseau de sécurité.
Tous les contrôleurs doivent se trouver dans des armoires verrouillées. De plus, il ne faut jamais les laisser fonctionner en mode « Programme ».
Tous les terminaux dotés de TriStation (le logiciel de programmation Triconex) doivent se trouver dans des armoires verrouillées. De plus, il ne faut jamais les connecter à un réseau autre que celui de sécurité.
Il faut analyser tous les supports d’échange de données mobiles avec le réseau de sécurité isolé (p. ex., CD, clés USB, etc.) avant de les utiliser sur un terminal TriStation ou sur un nœud connecté à ce réseau.
Les ordinateurs portatifs connectés à un réseau autre que celui de sécurité ne doivent jamais être connectés à ce dernier sans qu’on les nettoie correctement.
Il faut configurer les postes d’exploitants, de sorte qu’ils affichent une alarme lorsque le commutateur à clé Tricon est en mode « Programme ». La clé est alors retirée et sécurisée.
Il faut activer les fonctionnalités de sécurité avancées du terminal TriStation ainsi que des modules de communication Triconex.

Références (En Anglais) :