Pièges de sécurité : appareils IoT anciens et oubliés à usage industriel. Les vulnérabilités vieilles de sept ans sont toujours d'actualité et non corrigées. Un commentaire de l'expert en sécurité Thomas Uhlemann, ESET.
L'Internet des objets (IoT) est établi depuis longtemps dans l'industrie allemande. Selon une enquête Statista, les deux tiers de toutes les entreprises interrogées utilisent déjà des applications Industrie 4.0. Mais les opérateurs ne semblent pas prendre la sécurité informatique des appareils aussi au sérieux : l'expert en sécurité Thomas Uhlemann n'a pas d'autre explication au fait que les pirates réussissent en exploitant des failles de sécurité connues depuis sept ans ou plus. En fait, les 10 principales vulnérabilités d'ESET pour les appareils IoT sont toutes des fuites de 2015 à 2012.
Non corrigé : fuites séculaires à l'IoT
« L'Internet des objets offre aux entreprises de nouvelles possibilités insoupçonnées. Mais si vous ne corrigez pas les vulnérabilités connues pendant des années, vous risquez de perdre plus que vous ne le souhaiteriez », déclare Uhlemann, spécialiste de la sécurité chez ESET Allemagne. « En plus de cela, des vétérans de l'informatique obsolètes comme Fritz!Fax sont toujours utilisés, probablement sans patch. Rien qu'en Allemagne, plus de 3 millions sont encore activement utilisés.
Mais la protection des appareils laisse souvent à désirer. Leur accès peut être atteint via une combinaison de nom d'utilisateur et de mot de passe - il n'y a aucune trace d'authentification multifacteur moderne. Ça devient vraiment inquiétant quand on croise le who's who des pires authentifications ici :
"Avec les succès actuels des attaques de pirates dans le monde entier, la sécurité zéro confiance doit être à l'ordre du jour. C'est pourquoi toutes les vulnérabilités doivent être fermées de toute urgence, en particulier celles des appareils IoT », recommande Thomas Uhlemann.
Groupes d'erreurs spéciaux
Fondamentalement, l'expert voit quatre groupes d'erreurs graves qui rendent l'utilisation de l'Internet des objets si problématique :
- Problèmes de sécurité déjà dans la conception des appareils IoT
- Utilisation ou installation incorrecte par l'homme
- Utilisation d'applications douteuses au regard de la législation sur la sécurité et la protection des données
- Transferts de données indésirables ou inaperçus de l'appareil vers Internet
« Outre les éventuelles fuites de sécurité, de nombreux appareils IoT industriels deviennent dangereux avec le temps. Parce que leur durée de vie est conçue pour des années ou des décennies - et malheureusement, il se passe beaucoup de choses en termes de sécurité. À cet égard, chaque entreprise doit réfléchir attentivement à l'opportunité et à la manière de connecter ces appareils à Internet dans le réseau actif », déclare l'expert en informatique. Son exemple préféré est la webcam largement utilisée. Bien que cela ne soit pas utilisé dans les opérations de production à grande échelle, c'est le symbole des appareils à longue durée de vie. Beaucoup transmettent encore des vidéos en direct de l'entreprise sur Internet - peut-être même l'ont-elles oublié. En cliquant dessus, vous accédez souvent à l'interface d'administration des caméras. Même si vous ne voulez pas vous connecter, l'attaquant apprend des informations précieuses, telles que l'adresse IP publique ou si et dans quel segment de réseau se trouve la caméra.
Les appareils oubliés représentent un risque pour la sécurité
En bref : les appareils oubliés ou non inventoriés représentent un risque majeur pour la sécurité. Incidemment, cela se produit très souvent lorsque des projets sont annulés ou que des entreprises sont vendues. Ensuite, cet équipement passe à l'arrière-plan et ne devient que plus tard une bombe de sécurité à retardement.
Les entreprises doivent en tenir compte lorsqu'elles traitent avec des appareils IoT :
- Utiliser un logiciel d'inventaire
- Utiliser des segments de réseau
- Utiliser un accès sécurisé
- Les capteurs, actionneurs et autres sont tout aussi importants que les serveurs et les PC
- Mettre à jour, mettre à jour, mettre à jour
- La sécurité dans la conception
- Utiliser un logiciel de protection supplémentaire
Dans le blog sur la sécurité, l'expert décrit également les dangers qui guettent encore, ce dont les entreprises doivent être conscientes et comment elles peuvent s'aider elles-mêmes.
Plus sur ESET.com
À propos d'ESET ESET est une société européenne dont le siège est à Bratislava (Slovaquie). Depuis 1987, ESET développe des logiciels de sécurité primés qui ont déjà aidé plus de 100 millions d'utilisateurs à profiter de technologies sécurisées. Le large portefeuille de produits de sécurité couvre toutes les principales plates-formes et offre aux entreprises et aux consommateurs du monde entier l'équilibre parfait entre performance et protection proactive. La société dispose d'un réseau de vente mondial dans plus de 180 pays et de bureaux à Jena, San Diego, Singapour et Buenos Aires. Pour plus d'informations, visitez www.eset.de ou suivez-nous sur LinkedIn, Facebook et Twitter.