Your SlideShare is downloading. ×
0
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
Upcoming SlideShare
Loading in...5
×

Thanks for flagging this SlideShare!

Oops! An error has occurred.

×
Saving this for later? Get the SlideShare app to save on your phone or tablet. Read anywhere, anytime – even offline.
Text the download link to your phone
Standard text messaging rates apply

ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques

1,704

Published on

Cibles potentielles de sabotages humains ou de vers informatiques sophistiqués comme Stuxnet, les systèmes de supervision et de contrôle (SCADA) propres aux infrastructures critiques ou vitales sont …

Cibles potentielles de sabotages humains ou de vers informatiques sophistiqués comme Stuxnet, les systèmes de supervision et de contrôle (SCADA) propres aux infrastructures critiques ou vitales sont concernés par toute doctrine de cyberguerre.
Cette présentation a pour but d’analyser le coût d’opportunité pour un assaillant entre les différents types d’attaques : modes opératoires, dégâts potentiels, traces laissées, ressources nécessaires. Elle propose aussi des méthodes générales de mitigation (facteur humain, prévention, politiques de sécurité, contrôle d’intégrité des codes, double-source, …)

Application Security Forum 2011
27.10.2011 - Yverdon-les-Bains (Suisse)
Conférencier: Franck Franchin

Published in: Technology
1 Comment
0 Likes
Statistics
Notes
  • Be the first to like this

No Downloads
Views
Total Views
1,704
On Slideshare
0
From Embeds
0
Number of Embeds
0
Actions
Shares
0
Downloads
119
Comments
1
Likes
0
Embeds 0
No embeds

Report content
Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
No notes for slide

Transcript

  • 1. Infrastructures CritiquesCyberguerre: Menaces & RisquesFranck FranchinChercheur en Cybersécurité à HEC LausanneDirecteur de mission à la Direction de la Sécurité Groupe – ORANGE Application Security Forum Western Switzerland 27 octobre 2011 - HEIGVD Yverdon-les-Bains http://appsec-forum.ch
  • 2. Présentation personnelle Directeur délégué depuis 2002 à la Direction de la Sécurité Groupe du Groupe France Telecom – Orange Chercheur en cybersécurité et en résilience des infrastructures vitales à HEC Lausanne. Spécialiste depuis 20 ans en architectures sécurisées de systèmes civils ou militaires et en cybercriminalité Ingénieur en informatique (SUPELEC), ingénieur en électronique et traitement du signal (ENSEEIHT) et titulaire d’un MBA (ESCP). Auteur & Conférencier (sécurité, cybercriminalité, doctrines de cyberdéfense, entrepreneuriat) Serial-entrepreneur (dont une société de crypto revendue au groupe France-Telecom en 2002) Business Angel 27.10.2011 Application Security Forum - Western Switzerland - 2011 2
  • 3. Agenda Quelques Définitions Introduction aux Architectures SCADA Vulnérabilités intrinsèques et systémiques Stuxnet Quels Risques ? Problématique Démarche proposée Q&R 27.10.2011 Application Security Forum - Western Switzerland - 2011 3
  • 4. Infrastructure critique ou vitale ? Les systèmes ou les actifs essentiels au niveau d‟un pays pour assurer le fonctionnement de la société et de l‟économie : – Réseaux de production et de distribution de l‟énergie – Réseaux de production et de distribution de l‟eau – Réseaux de transports des biens et des personnes – Réseaux de télécommunications – Production et distribution de la nourriture – Santé publique – Services financiers – Sécurité de l‟Etat, des biens et des citoyens Une définition plus limitée restreint l‟expression aux besoins vitaux d‟un pays CI – Critical Infrastructure CII – Critical Information Infrastructure Franck Franchin - © 2011 4
  • 5. Définitions (1/3) Sécurité d‟un système ou d‟un service : • La sécurité d‟un système ou d‟un service est létat dune situation présentant le minimum de risques, à labri des dangers, des menaces. La mise en sécurité consiste à garantir la pérennité de cet état de sécurité par le recours à des moyens permettant soit de supprimer certains risques (mitigation) soit de les réduire à un niveau acceptable (risque résiduel). • Les anglo-saxons parlent de security (sécurité contre les actes malveillants) ou de safety (sécurité contre les risques accidentels). Franck Franchin - © 2011 5
  • 6. Définitions (2/3) Sûreté de fonctionnement d‟un système ou d‟un service : • La sûreté de fonctionnement d‟un système ou d‟un service est son aptitude d‟une part à disposer de ses performances fonctionnelles et opérationnelles (fiabilité, maintenabilité, disponibilité) et d‟autre part, à ne pas présenter de risques majeurs (humains, environnementaux, financiers). • Les anglo-saxons parlent de dependability. Franck Franchin - © 2011 6
  • 7. Définitions (3/3) Résilience d‟un système ou d‟un service : • La résilience est la capacité d‟un système ou d‟un service à résister à une panne ou à une cyber-attaque et à continuer de fonctionner en garantissant un certain niveau de service (mode complet ou mode dégradé) puis à revenir à son état initial après l‟incident. Franck Franchin - © 2011 7
  • 8. Vision politique L‟Union Européenne a défini en 2006, puis 2009 – EPCIP - European Programme for Critical Infrastructure Protection – Chaque infrastructure critique identifiée doit disposer d‟un OSP (Operator Security Plan) : identification des actifs, analyse de risques et de vulnérabilités, procédures et mesures de protection – ENISA (Agence de sécurité européenne) Les USA ont commencé à mettre en place une doctrine en 1996 (programme CIP), étendue en 2001 dans le „Patriot Act‟ Franck Franchin - © 2011 8
  • 9. Vision militaire vs civile Militaire : – „Pearl Harbor électronique‟ – Atteinte aux intérêts vitaux de l‟Etat – Cyberterrorisme Industrie : – Vol de propriété intellectuelle – Perte d‟exploitation – Cybercriminalité Franck Franchin - © 2011 9
  • 10. Architectures SCADA Hybridation du monde industriel avec le monde informatique Franck Franchin - © 2011 10
  • 11. Architectures SCADA SCADA pour Supervisory Control And Data Acquisition – Processus industriels (usines, centrales nucléaires…) – Infrastructures publiques/privées (réseaux de distribution) Composants clés : – HMI (Human Machine Interface) pour les opérateurs – Supervisor – Acquisition des données et envoi des commandes selon une logique de processus – RTUs (Remote Terminal Units) qui sont les interfaces entre les capteurs et le Supervisor – PLCs (Programmable Logic Controllers) qui reçoivent des commandes, les traduisent pour les éléments actifs – Un ou plusieurs réseaux de communication entre les différents composants Franck Franchin - © 2011 11
  • 12. Fournisseurs SCADA Siemens – Simatic Step7 – Leader sur les plate-formes pétrolières offshore – Leader sur les PLC en environnement industriel General Electric – Fanuc – Leader sur les réseaux électriques Allen-Bradley/Rockwell Automation Areva – e-terracontrol – Acteur majeur sur les réseaux électriques Franck Franchin - © 2011 12
  • 13. Vulnérabilités (1/2) Les caractéristiques propres aux systèmes SCADA entraînent des vulnérabilités intrinsèques : – Peu de prise en compte de la sécurité et de l‟authentification lors des phases de conception et de déploiement – Utilisation de technologies courantes : Windows, SQL Server, WINS, OLEdb, Visual Basic (!) – Intégration non prévue lors de la conception avec le réseau de l‟entreprise (GPAO, SAP, etc…) – Nécessité pour certains systèmes de disposer d‟accès à distance via Internet ou liaison „radio‟ (GPRS) – Information accessible – les manuels techniques sont disponibles assez facilement- avec les mots de passe par défaut (!) Franck Franchin - © 2011 13
  • 14. Vulnérabilités (2/2) Une culture et une expérience des opérationnels différentes du monde informatique : – Protocoles propriétaires : sécurité par l‟obscurité ? – “Ne changez surtout pas le mot de passe par défaut !” – Sécurité physique <> Sécurité logique – Déconnectés de l‟Internet : havre de paix ? – Environnement „métier‟ hermétique aux externes : sans le mapping d‟une installation, il serait impossible de générer des paquets malicieux… – Des opérateurs non formés à la sécurité informatique Un partenariat public-privé qui empêche les Etats de définir clairement les périmètres de sécurité • Spectre du call-center en Inde ou au Maroc ? Franck Franchin - © 2011 14
  • 15. Menaces directes Accès non autorisé aux systèmes de supervision Interception et/ou modification des données sur les réseaux de communication – Exemple donné par la société israélienne C4 : interception des données jour/nuit d‟un réseau de distribution électrique et renvoi des données nuit/jour Large disponibilité de Kit d‟attaques (rootkit, DoS, etc.) du monde WinOS financés par la cybercriminalité Franck Franchin - © 2011 15
  • 16. Stuxnet Première version active probablement depuis Juin 2009 Détecté par la société biélorusse VirusBlokAda en Juillet 2010 chez un de ses clients iraniens W32.Stuxnet - 2 serveurs C&C situés en Malaisie Propagation via USB (clé) Utilise les certificats (volés) de 2 sociétés : RealTek et JMicron Exploite 3 ou 4 Zero-Day (dont un qui touche tous les WinOS) MAJ possible sans C&C via un P2P (RPC) Cible : Siemens SIMATIC Series 7 PLC/WinCC Infection différente selon la cible (PLCs) Entre 20‟000 et 50‟000 PCs contaminé, selon Symantec, plus de 100‟000 selon Kaspersky 4 pays majoritairement touchés : Iran, Indonésie, Inde, Pakistan Payload complexe : vol de données, compromission, sabotage Des sites de support ont été victimes de DoS (Ping Flood) depuis la Chine Franck Franchin - © 2011 16
  • 17. Stuxnet ciblait-il l’Iran ? La cible pourrait être la centrale de Bushehr, en construction mais aussi des centrifugeuses sur le site de Natanz Pourtant, l‟Iran ne devrait pas disposer de technologies Siemens Scada (sanctions ONU) ?Famille de PLC concernés :6ES7-417 et 6ES7-315-2 -> cibles complexes !* multiples ProfiBus * Puissance CPU Le Siemens Organization Block 35 (process watchdog) est modifié par Stuxnet – Il gère des opérations critiques qui requièrent des temps de réponse inférieurs à 100 ms Franck Franchin - © 2011 17
  • 18. Qui est derrière Stuxnet ? Quelques chiffres : – Développement évalué à 10 hommes.ans – Entre 6 et 8 personnes/teams différents – Un développement étalé sur plusieurs années (différentes versions d‟outils de développement) – Une zéro-day peut se négocier à $200‟000 (il y en avait 4) Les moyens : – Les certificats ont été volés à deux sociétés sur le même site physique en Chine - Le vol „logique‟ à la Zeus est donc statistiquement peu probable et le vol „physique‟ par intrusion ou compromission est à privilégier – Les clés USB ont probablement été introduites en Iran via le sous- traitant russe ou via des opérationnels compromis. Plusieurs versions semblent avoir été introduites sucessivement Les fantasmes : – Stuxnet contient dans son code le mot „Myrtus‟ qui fait référence au Livre d‟Esther de l‟Ancien Testament, reine perse qui a sauvé son peuple de l‟extermination Franck Franchin - © 2011 18
  • 19. Doctrines de Cyberguerre Chine : “Fighting Local War under Informationized Conditions” – Domination du cyber-espace – Attaques préventives des C4ISR ennemis/alliés (Command, Control, Communications, Computers, Intelligence, Surveillance and Reconnaissance) – Operation Aurora… USA : création d‟un US Cyber Command Russie : – Estonie en 2007 – Géorgie en 2008 Israël : Unit 8200 – Operation Orchard (Syrie, 2007)… Franck Franchin - © 2011 19
  • 20. Doctrines de Cyberguerre Iran : un mix-product ! – Stuxnet – „Accidents‟ touchant des chercheurs de haut niveau (Prof. Shahriari tué et Prof. Abbassi blessé le 29 Nov 2010 ) – Mesures économiques et politiques de rétorsion La cyberguerre n‟est qu‟une des armes de l‟arsenal mis à disposition des militaires et des politiques Les guerres futures seront des mélanges d‟approches conventionnelles et „irrégulières‟. Le champ de bataille sera „distribué‟ (quid du pilote de drone assis dans un fauteuil en Floride ?) Contre qui riposter en cas d‟attaque ?! Franck Franchin - © 2011 20
  • 21. Définition du Terrorisme "Terrorism is the premeditated, deliberate, systematic murder, mayhem, and threatening of the innocent to create fear and intimidation in order to gain a political or tactical advantage, usually to influence an audience"– James M. Poland, 2002 Franck Franchin - © 2011 21
  • 22. Définition du CyberTerrorisme “...the convergence of terrorism and cyberspace. It is generally understood to mean unlawful attacks against computers, networks, and the information stored therein when done to intimidate or coerce a government or its people in furtherance of political or social objections. Further, to qualify as cyberterrorism, an attack should result in violence against persons or property, or at the least cause enough harm to generate fear. Attacks that lead to death or bodily injury, explosions, plane crashes, water contamination, or severe economic loss would be examples.” - Dr. Dorothy Denning, 2007. Franck Franchin - © 2011 22
  • 23. CyberTerrorisme Propagande Recrutement Financement (direct ou via cybercriminalité) Cyberattaques ? – Quels seraient les points d‟emploi générateur d‟extrême violence et/ou de terreur – Coût d‟opportunité – Exemple de Stuxnet ? – Partie d‟une attaque coordonnée plus globale : • Pour „fixer‟ les organisations gouvernementales • Pour désorganiser l‟Etat et la population • Pour „amplifier‟ l‟acte principal Franck Franchin - © 2011 23
  • 24. Quels risques ? Les architectures SCADA sont utilisées dans l‟industrie (chimie, automobile, emballage, alimentaire, etc.) et dans les infrastructures vitales (nucléaire, réseaux de distribution d‟eau, de gaz et d‟électricité, militaire ?) Les risques : – Sécurité sanitaire – Impact environnemental – Perte d‟exploitation – Destruction d‟équipements sensibles ou coûteux – Vol d‟information, de secret industriel, d‟IP – Atteinte à l‟image Franck Franchin - © 2011 24
  • 25. Quelles menaces ? A priori, une cible de choix pour : – Désorganiser – Semer la terreur par des dommages directs ou indirects Stuxnet a montré que ces systèmes, même „déconnectés‟, sont des cibles atteignables par ceux qui en ont les moyens et la détermination Les terroristes apprennent vite… – Le fameux téléphone qui a explosé dans les locaux de l‟Unit 8200 en Février 1999 (Hezbollah) – Les drones utilisés lors du dernier conflit Israël- Liban-Hezbollah en 2006 (attaque d‟un navire israélien par un UAV, piratage des drones israéliens, drones de reconnaissance du Hezbollah) Franck Franchin - © 2011 25
  • 26. Petit historique 2000 – Maroochy en Australie – Le saboteur a pu se connecter 46 fois à distance sur le Scada de cette usine de retraitement avant d‟être identifié – 800‟000 litres déversés 2005 - Le vers Zotob – 13 usines automobiles US touchées – 50‟000 ouvriers au chomage technique – environ $10 millions de perte d‟exploitation 2006 – Grave incident de sécurité à la Centrale Nucléaire de Browns Ferry – Cause probable : surcharge sur le bus propriétaire d‟échange de données - 2 jours d‟arrêt 2008 – Arrêt d‟urgence du réacteur nucléaire de la centrale de Hatch – Cause probable : la MAJ d‟un PC bureautique utilisé aussi pour de la supervision - 2 jours d‟arrêt 2008 – Détournement par un adolescent du système de contrôle de trafic des trams de la ville de Lodz (PL) – 4 trains ont déraillé. Franck Franchin - © 2011 26
  • 27. Quels gains pour l’attaquant ? Chantage/Extorsion - Un nouveau type de DDoS ? Vol de propriété intellectuelle – Espionnage Sabotage – Terroriste ou Acte de guerre Vengeance - Employé indélicat Stuxnet : quel a été l‟impact sur le grand-public ? Franck Franchin - © 2011 27
  • 28. Comment augmenter la résilience ? Les recettes classiques : – politiques de sécurité, – analyse de vulnérabilités, – évaluation de la sécurité & audit, – traçabilité & journalisation des événements – gestion de crise et exercice de simulation – gestion du facteur humain Des recettes spécifiques : – Séparer, cloisonner et étanchéifier les sous-systèmes – Définir des zones de sécurité avec des politiques et des contrôles/audits différents – Analyser de manière pro-active les menaces et les risques – Contrôler l‟intégrité du code (PLC…) Franck Franchin - © 2011 28
  • 29. ANSI/ISA-99 Spécifications issues des travaux de l‟ISA (Instrumentation, Systems and Automation Society) et de l‟ISCI (ISA Security Compliance Institute) Programme de certification ISASecure des PLC (Programmable Logic Controller), DSC (Distributed Control Systems) et SIS (Safety Instrumented Systems) Concept-clé : “Zones & Conduits” pour pouvoir implémenter une défense en profondeur Chaque zone doit avoir sa propre politique de sécurité et son évaluation de risques Franck Franchin - © 2011 29
  • 30. L’exemple Airbus Safety (sûreté): Respecter les réglementations, gérer les pannes (températures, pannes matérielles), envoyer automatiquement un rapport de panne au sol en cas davarie, et globalement tout ce qui touche à lavion en lui-même. Security (sécurité): Se protéger des actes malveillants. Les menaces sont diverses, allant des clandestins (personnes ou bagages), ou encore vis à vis des attaques depuis le sol (missiles). Une PKI est déployée sur tous les A380, entre autre pour signer les logiciels embarqués 27.10.2011 Application Security Forum - Western Switzerland - 2011 30
  • 31. Conclusion Never Trust Software Vendors Never Trust ConsultantsMake it simple !!!! 27.10.2011 Application Security Forum - Western Switzerland - 2011 31
  • 32. Vos Questions ? In the four months since Stuxnet appeared for the first© flickr.com/horiavarlan time, a total of 22 Siemens customers worldwide from an industrial environment have reported an infection with the Trojan. In all cases the malware could be removed. In none of these cases did the infection cause an adverse impact to the automation system. Siemens Support Website, 22 Novembre 2010“All that is necessary for Evil to triumph is for good men to do nothing” – Edmund Burke, 1770 27.10.2011 Application Security Forum - Western Switzerland - 2011 32
  • 33. Merci! Franck Franchin franck.franchin@unil.ch franck.franchin@orange.com Blog: http://www.ci-resilience.com SLIDES A TELECHARGER PROCHAINEMENT: http://slideshare.net/ASF-WS27.10.2011 Application Security Forum - Western Switzerland - 2011 33

×