View
1.697
Download
2
Embed Size (px)
DESCRIPTION
Cibles potentielles de sabotages humains ou de vers informatiques sophistiqués comme Stuxnet, les systèmes de supervision et de contrôle (SCADA) propres aux infrastructures critiques ou vitales sont concernés par toute doctrine de cyberguerre. Cette présentation a pour but d’analyser le coût d’opportunité pour un assaillant entre les différents types d’attaques : modes opératoires, dégâts potentiels, traces laissées, ressources nécessaires. Elle propose aussi des méthodes générales de mitigation (facteur humain, prévention, politiques de sécurité, contrôle d’intégrité des codes, double-source, …) Application Security Forum 2011 27.10.2011 - Yverdon-les-Bains (Suisse) Conférencier: Franck Franchin
Citation preview
Application Security ForumWestern Switzerland
27 octobre 2011 - HEIGVD Yverdon-les-Bainshttp://appsec-forum.ch
Infrastructures CritiquesCyberguerre: Menaces & Risques
Franck FranchinChercheur en Cybersécurité à HEC LausanneDirecteur de mission à la Direction de la Sécurité Groupe – ORANGE
Application Security Forum - Western Switzerland - 2011 2
Présentation personnelle Directeur délégué depuis 2002 à la Direction de la Sécurité Groupe
du Groupe France Telecom – Orange Chercheur en cybersécurité et en résilience des infrastructures vitales
à HEC Lausanne. Spécialiste depuis 20 ans en architectures sécurisées de systèmes
civils ou militaires et en cybercriminalité Ingénieur en informatique (SUPELEC), ingénieur en électronique et
traitement du signal (ENSEEIHT) et titulaire d’un MBA (ESCP). Auteur & Conférencier (sécurité, cybercriminalité, doctrines de
cyberdéfense, entrepreneuriat) Serial-entrepreneur (dont une société de crypto revendue au groupe
France-Telecom en 2002) Business Angel27.10.2011
Application Security Forum - Western Switzerland - 2011 3
Agenda
Quelques Définitions Introduction aux Architectures SCADA Vulnérabilités intrinsèques et systémiques Stuxnet Quels Risques ? Problématique Démarche proposée Q&R
27.10.2011
Infrastructure critique ou vitale ? Les systèmes ou les actifs essentiels au niveau d’un pays pour
assurer le fonctionnement de la société et de l’économie :
– Réseaux de production et de distribution de l’énergie– Réseaux de production et de distribution de l’eau– Réseaux de transports des biens et des personnes– Réseaux de télécommunications– Production et distribution de la nourriture– Santé publique– Services financiers– Sécurité de l’Etat, des biens et des citoyens
Une définition plus limitée restreint l’expression aux besoins vitaux d’un pays
CI – Critical Infrastructure CII – Critical Information Infrastructure
Franck Franchin - © 2011 4
Définitions (1/3)
Sécurité d’un système ou d’un service :• La sécurité d’un système ou d’un service est l'état
d'une situation présentant le minimum de risques, à l'abri des dangers, des menaces. La mise en sécurité consiste à garantir la pérennité de cet état de sécurité par le recours à des moyens permettant soit de supprimer certains risques (mitigation) soit de les réduire à un niveau acceptable (risque résiduel).
• Les anglo-saxons parlent de security (sécurité contre les actes malveillants) ou de safety (sécurité contre les risques accidentels).
Franck Franchin - © 2011 5
Définitions (2/3)
Sûreté de fonctionnement d’un système ou d’un service :
• La sûreté de fonctionnement d’un système ou d’un service est son aptitude d’une part à disposer de ses performances fonctionnelles et opérationnelles (fiabilité, maintenabilité, disponibilité) et d’autre part, à ne pas présenter de risques majeurs (humains, environnementaux, financiers).
• Les anglo-saxons parlent de dependability.
Franck Franchin - © 2011 6
Définitions (3/3)
Résilience d’un système ou d’un service :
• La résilience est la capacité d’un système ou d’un service à résister à une panne ou à une cyber-attaque et à continuer de fonctionner en garantissant un certain niveau de service (mode complet ou mode dégradé) puis à revenir à son état initial après l’incident.
Franck Franchin - © 2011 7
Vision politique
L’Union Européenne a défini en 2006, puis 2009– EPCIP - European Programme for Critical
Infrastructure Protection– Chaque infrastructure critique identifiée doit
disposer d’un OSP (Operator Security Plan) : identification des actifs, analyse de risques et de vulnérabilités, procédures et mesures de protection
– ENISA (Agence de sécurité européenne) Les USA ont commencé à mettre en place une
doctrine en 1996 (programme CIP), étendue en 2001 dans le ‘Patriot Act’
Franck Franchin - © 2011 8
Vision militaire vs civile
Militaire :– ‘Pearl Harbor électronique’– Atteinte aux intérêts vitaux de l’Etat– Cyberterrorisme
Industrie : – Vol de propriété intellectuelle– Perte d’exploitation– Cybercriminalité
Franck Franchin - © 2011 9
Architectures SCADA
Hybridationdu monde industriel
avec le monde informatique
Franck Franchin - © 2011 10
Architectures SCADA SCADA pour
Supervisory Control And Data Acquisition– Processus industriels (usines, centrales nucléaires…)– Infrastructures publiques/privées (réseaux de distribution)
Composants clés :– HMI (Human Machine Interface) pour les opérateurs– Supervisor – Acquisition des données et envoi des
commandes selon une logique de processus– RTUs (Remote Terminal Units) qui sont les interfaces entre
les capteurs et le Supervisor– PLCs (Programmable Logic Controllers) qui reçoivent des
commandes, les traduisent pour les éléments actifs– Un ou plusieurs réseaux de communication entre les
différents composants
Franck Franchin - © 2011 11
Fournisseurs SCADA
Siemens – Simatic Step7– Leader sur les plate-formes pétrolières
offshore– Leader sur les PLC en environnement industriel
General Electric – Fanuc– Leader sur les réseaux électriques
Allen-Bradley/Rockwell Automation Areva – e-terracontrol
– Acteur majeur sur les réseaux électriques
Franck Franchin - © 2011 12
Vulnérabilités (1/2) Les caractéristiques propres aux systèmes SCADA
entraînent des vulnérabilités intrinsèques :– Peu de prise en compte de la sécurité et de l’authentification
lors des phases de conception et de déploiement– Utilisation de technologies courantes : Windows, SQL Server,
WINS, OLEdb, Visual Basic (!)– Intégration non prévue lors de la conception avec le réseau
de l’entreprise (GPAO, SAP, etc…)– Nécessité pour certains systèmes de disposer d’accès à
distance via Internet ou liaison ‘radio’ (GPRS)– Information accessible – les manuels techniques sont
disponibles assez facilement- avec les mots de passe par défaut (!)
Franck Franchin - © 2011 13
Vulnérabilités (2/2) Une culture et une expérience des opérationnels
différentes du monde informatique :– Protocoles propriétaires : sécurité par l’obscurité ?– “Ne changez surtout pas le mot de passe par défaut !”– Sécurité physique <> Sécurité logique– Déconnectés de l’Internet : havre de paix ?– Environnement ‘métier’ hermétique aux externes : sans le
mapping d’une installation, il serait impossible de générer des paquets malicieux…
– Des opérateurs non formés à la sécurité informatique Un partenariat public-privé qui empêche les Etats
de définir clairement les périmètres de sécurité• Spectre du call-center en Inde ou au Maroc ?
Franck Franchin - © 2011 14
Menaces directes
Accès non autorisé aux systèmes de supervision
Interception et/ou modification des données sur les réseaux de communication– Exemple donné par la société israélienne C4 :
interception des données jour/nuit d’un réseau de distribution électrique et renvoi des données nuit/jour
Large disponibilité de Kit d’attaques (rootkit, DoS, etc.) du monde WinOS financés par la cybercriminalité
Franck Franchin - © 2011 15
Stuxnet Première version active probablement depuis Juin 2009 Détecté par la société biélorusse VirusBlokAda en Juillet 2010 chez
un de ses clients iraniens W32.Stuxnet - 2 serveurs C&C situés en Malaisie Propagation via USB (clé) Utilise les certificats (volés) de 2 sociétés : RealTek et JMicron Exploite 3 ou 4 Zero-Day (dont un qui touche tous les WinOS) MAJ possible sans C&C via un P2P (RPC) Cible : Siemens SIMATIC Series 7 PLC/WinCC Infection différente selon la cible (PLCs) Entre 20’000 et 50’000 PCs contaminé, selon Symantec, plus de
100’000 selon Kaspersky 4 pays majoritairement touchés : Iran, Indonésie, Inde, Pakistan Payload complexe : vol de données, compromission, sabotage Des sites de support ont été victimes de DoS (Ping Flood) depuis la
Chine
Franck Franchin - © 2011 16
Stuxnet ciblait-il l’Iran ?
Franck Franchin - © 2011 17
Le Siemens Organization Block 35 (process watchdog) est modifié par Stuxnet – Il gère des opérations critiques qui requièrent des
temps de réponse inférieurs à 100 ms
La cible pourrait être la centrale de Bushehr, en construction mais aussi des centrifugeuses sur le site de Natanz
Famille de PLC concernés :6ES7-417 et 6ES7-315-2 -> cibles complexes !* multiples ProfiBus * Puissance CPU
Pourtant, l’Iran ne devrait pas disposer de technologies Siemens Scada
(sanctions ONU) ?
Qui est derrière Stuxnet ? Quelques chiffres :
– Développement évalué à 10 hommes.ans– Entre 6 et 8 personnes/teams différents– Un développement étalé sur plusieurs années (différentes versions
d’outils de développement)– Une zéro-day peut se négocier à $200’000 (il y en avait 4)
Les moyens :– Les certificats ont été volés à deux sociétés sur le même site
physique en Chine - Le vol ‘logique’ à la Zeus est donc statistiquement peu probable et le vol ‘physique’ par intrusion ou compromission est à privilégier
– Les clés USB ont probablement été introduites en Iran via le sous-traitant russe ou via des opérationnels compromis. Plusieurs versions semblent avoir été introduites sucessivement
Les fantasmes :– Stuxnet contient dans son code le mot ‘Myrtus’ qui fait référence au
Livre d’Esther de l’Ancien Testament, reine perse qui a sauvé son peuple de l’extermination
Franck Franchin - © 2011 18
Doctrines de Cyberguerre Chine : “Fighting Local War under Informationized
Conditions”– Domination du cyber-espace– Attaques préventives des C4ISR ennemis/alliés
(Command, Control, Communications, Computers, Intelligence, Surveillance and Reconnaissance)
– Operation Aurora… USA : création d’un US Cyber Command Russie :
– Estonie en 2007– Géorgie en 2008
Israël : Unit 8200– Operation Orchard (Syrie, 2007)…
Franck Franchin - © 2011 19
Doctrines de Cyberguerre Iran : un mix-product !
– Stuxnet– ‘Accidents’ touchant des chercheurs de haut niveau
(Prof. Shahriari tué et Prof. Abbassi blessé le 29 Nov 2010 )
– Mesures économiques et politiques de rétorsion La cyberguerre n’est qu’une des armes de l’arsenal
mis à disposition des militaires et des politiques Les guerres futures seront des mélanges
d’approches conventionnelles et ‘irrégulières’. Le champ de bataille sera ‘distribué’ (quid du pilote
de drone assis dans un fauteuil en Floride ?) Contre qui riposter en cas d’attaque ?!
Franck Franchin - © 2011 20
Définition du Terrorisme
"Terrorism is the premeditated, deliberate, systematic murder, mayhem, and threatening of the innocent to create fear and intimidation in order to gain a political or tactical advantage, usually to influence an audience"– James M. Poland, 2002
Franck Franchin - © 2011 21
Définition du CyberTerrorisme “...the convergence of terrorism and cyberspace. It
is generally understood to mean unlawful attacks against computers, networks, and the information stored therein when done to intimidate or coerce a government or its people in furtherance of political or social objections. Further, to qualify as cyberterrorism, an attack should result in violence against persons or property, or at the least cause enough harm to generate fear. Attacks that lead to death or bodily injury, explosions, plane crashes, water contamination, or severe economic loss would be examples.” - Dr. Dorothy Denning, 2007.
Franck Franchin - © 2011 22
CyberTerrorisme Propagande Recrutement Financement (direct ou via cybercriminalité) Cyberattaques ?
– Quels seraient les points d’emploi générateur d’extrême violence et/ou de terreur
– Coût d’opportunité– Exemple de Stuxnet ?– Partie d’une attaque coordonnée plus globale :
• Pour ‘fixer’ les organisations gouvernementales• Pour désorganiser l’Etat et la population• Pour ‘amplifier’ l’acte principal
Franck Franchin - © 2011 23
Quels risques ? Les architectures SCADA sont utilisées dans
l’industrie (chimie, automobile, emballage, alimentaire, etc.) et dans les infrastructures vitales (nucléaire, réseaux de distribution d’eau, de gaz et d’électricité, militaire ?)
Les risques :– Sécurité sanitaire– Impact environnemental– Perte d’exploitation– Destruction d’équipements sensibles ou coûteux– Vol d’information, de secret industriel, d’IP– Atteinte à l’image
Franck Franchin - © 2011 24
Quelles menaces ? A priori, une cible de choix pour :
– Désorganiser– Semer la terreur par des dommages directs ou indirects
Stuxnet a montré que ces systèmes, même ‘déconnectés’, sont des cibles atteignables par ceux qui en ont les moyens et la détermination
Les terroristes apprennent vite…– Le fameux téléphone qui a explosé dans les locaux de
l’Unit 8200 en Février 1999 (Hezbollah)– Les drones utilisés lors du dernier conflit Israël-Liban-
Hezbollah en 2006 (attaque d’un navire israélien par un UAV, piratage des drones israéliens, drones de reconnaissance du Hezbollah)
Franck Franchin - © 2011 25
Petit historique 2000 – Maroochy en Australie – Le saboteur a pu se
connecter 46 fois à distance sur le Scada de cette usine de retraitement avant d’être identifié – 800’000 litres déversés
2005 - Le vers Zotob – 13 usines automobiles US touchées – 50’000 ouvriers au chomage technique – environ $10 millions de perte d’exploitation
2006 – Grave incident de sécurité à la Centrale Nucléaire de Browns Ferry – Cause probable : surcharge sur le bus propriétaire d’échange de données - 2 jours d’arrêt
2008 – Arrêt d’urgence du réacteur nucléaire de la centrale de Hatch – Cause probable : la MAJ d’un PC bureautique utilisé aussi pour de la supervision - 2 jours d’arrêt
2008 – Détournement par un adolescent du système de contrôle de trafic des trams de la ville de Lodz (PL) – 4 trains ont déraillé.
Franck Franchin - © 2011 26
Quels gains pour l’attaquant ?
Chantage/Extorsion - Un nouveau type de DDoS ?
Vol de propriété intellectuelle – Espionnage
Sabotage – Terroriste ou Acte de guerre Vengeance - Employé indélicat Stuxnet : quel a été l’impact sur le
grand-public ?
Franck Franchin - © 2011 27
Comment augmenter la résilience ?
Les recettes classiques :– politiques de sécurité,– analyse de vulnérabilités,– évaluation de la sécurité & audit, – traçabilité & journalisation des événements– gestion de crise et exercice de simulation– gestion du facteur humain
Des recettes spécifiques :– Séparer, cloisonner et étanchéifier les sous-systèmes– Définir des zones de sécurité avec des politiques et des
contrôles/audits différents– Analyser de manière pro-active les menaces et les risques– Contrôler l’intégrité du code (PLC…)
Franck Franchin - © 2011 28
ANSI/ISA-99 Spécifications issues des travaux de l’ISA
(Instrumentation, Systems and Automation Society) et de l’ISCI (ISA Security Compliance Institute)
Programme de certification ISASecure des PLC (Programmable Logic Controller), DSC (Distributed Control Systems) et SIS (Safety Instrumented Systems)
Concept-clé : “Zones & Conduits” pour pouvoir implémenter une défense en profondeur
Chaque zone doit avoir sa propre politique de sécurité et son évaluation de risques
Franck Franchin - © 2011 29
Application Security Forum - Western Switzerland - 2011 30
L’exemple Airbus
Safety (sûreté): Respecter les réglementations, gérer les pannes (températures, pannes matérielles), envoyer automatiquement un rapport de panne au sol en cas d'avarie, et globalement tout ce qui touche à l'avion en lui-même.
Security (sécurité): Se protéger des actes malveillants. Les menaces sont diverses, allant des clandestins (personnes ou bagages), ou encore vis à vis des attaques depuis le sol (missiles).
Une PKI est déployée sur tous les A380, entre autre pour signer les logiciels embarqués27.10.2011
Application Security Forum - Western Switzerland - 2011 31
Conclusion
Never Trust Software Vendors Never Trust Consultants
Make it simple !!!!
27.10.2011
Application Security Forum - Western Switzerland - 2011 32
Vos Questions ?
In the four months since Stuxnet appeared for the first time, a total of 22 Siemens customers worldwide from an industrial environment have reported an
infection with the Trojan.In all cases the malware could be removed.
In none of these cases did the infection cause an adverse impact to the automation system.
Siemens Support Website, 22 Novembre 2010
27.10.2011
© fl
ickr
.com
/hor
iava
rlan
“All that is necessary for Evil to triumph is for good men to do nothing” – Edmund Burke, 1770
Application Security Forum - Western Switzerland - 2011 33
Merci!
Franck [email protected]@orange.comBlog: http://www.ci-resilience.com
27.10.2011
SLIDES A TELECHARGER PROCHAINEMENT:http://slideshare.net/ASF-WS