Notre contribution à la communauté de la sécurité de l'information et des systèmes d'information

Résumé : depuis plusieurs années la problématique de sécurisation des systèmes industriels est de plus en plus mise en avant. Mais quelles sont réellement les contraintes que cela impose et les démarches standards SSI peuvent-elles s’appliquer ?

Un SCADA ? C’est sécurisé par conception … non ?

Avant de s’intéresser à la démarche de sécurisation des SCADA, il est légitime de se poser la question suivante : « Pourquoi sécuriser un système SCADA ? »

En effet, qui dit sécurisation, dit contraintes supplémentaires apportées au fonctionnement et à l’utilisation de ce même système. Il faut impérativement que ce qui motive la sécurisation soit plus important que les contraintes ajoutées par celle-ci.

Or, historiquement, les systèmes SCADA étaient à l’origine autonomes, isolés et de fonctionnement propriétaire.

Depuis plusieurs années, ce n’est malheureusement plus vrai. Du coup, la problématique de sécurisation est de plus en plus présente, poussée d’une part par les spécialistes et d’autre part par les différentes autorités nationales (essentiellement en raison des indisponibilités sur des systèmes critiques de gestion d’énergie par exemple, voire des actes terroristes potentiels). [rèf. 1]

Mais que craint-on principalement ? Plusieurs choses en fait : d’une part, des accidents de production pouvant aller d’un simple arrêt de celle-ci à des catastrophes industrielles beaucoup plus graves tel que l’actualité à pu nous fournir (dysfonctionnement des jauges d’un barrage hydraulique en 2005, … [rèf. 2]). D’autre part, des actes de malveillance allant des agissements de l’employé mécontent à des actions terroristes d’envergure (dépose d’un programme malicieux dans le système de traitement d’eau d’Harriburg par un attaquant en 2005, cyber-attaque sur les systèmes d’alimentation électrique de la Nouvelle-Orléans avec tentative d’extorsion de fond en 2008 [rèf. 2]).

Mais au fait, un SCADA, c’est quoi ?

Une assez bonne première définition peut être trouvée sur wikipedia [rèf. 3], en résumé, c’est un système de supervision et d’acquisition de données.

Voici par exemple le SCADA pilotant le traitement de l’eau de la ville de Princeton [rèf. 4]:

architecture scada

le SCADA pilotant le traitement de l’eau de la ville de Princeton (source : www.princeton-indiana.com)

Toutefois, pour définir ce qu’est un système SCADA maintenant, on ne peut plus se limiter à ce que signifie l’acronyme. En effet, la technologie et les besoins évoluant, il est fréquent que ces systèmes disposent maintenant de capacité de contrôle en plus de leurs fonctions de supervision, ce qui les rend tout à fait à même de piloter totalement une chaine de production ou même un processus industriel complet, comme sur l’exemple ci-dessus.

Schématiquement, on peut décomposer un système SCADA en plusieurs composants principaux : une Interface Homme/Machine (IHM), différents systèmes centraux composant le cœur du système SCADA pour la supervision, l’acquisition et le contrôle et des terminaux distants ou automates programmables au plus près des actionneurs.

Le tout peut être représenté schématiquement de la façon suivante :

Représentation schématique d’un SCADA (source: wikipedia)

Historiquement, ces systèmes étaient complètement isolés du reste du monde, chaque constructeur avait ses propres technologies embarquées, il était même fréquent que le système soit fortement adapté voire même parfois spécifiquement développé pour le site de déploiement.

Au fil des évolutions, les technologies se sont standardisées et les périmètres se sont étendus. Ce qui a permis d’améliorer l’efficacité de ces systèmes et surtout d’en diminuer les coûts d’exploitation et de MCO. L’une de ces évolutions majeures est l’adoption de standards issus du monde bureautique : par exemple, l’utilisation des communications IP, du bluetooth, du wifi, des interfaces web, …

Bien, maintenant que nous en savons un peu plus sur ces systèmes SCADA, revenons plus en détail sur les risques qui pèsent sur ceux-ci.

Le problème d’utiliser des technologies du monde bureautique c’est qu’elles ne sont pas conçues à la base pour répondre à des exigences comparables à celles du monde industriel. Pour leur permettre d’y parvenir, cela suppose la mise en œuvre de moyens lourds (passage en haute-disponibilité par exemple). De même les technologies bureautiques évoluent par nature très rapidement et très souvent. Le cycle de vie d’un équipement, d’une norme matérielle ou d’un standard technologique est plus proche de la dizaine d’années voire même moins dans le cas des équipements. Dans le monde industriel, au contraire, ces cycles de vie sont beaucoup plus longs, de l’ordre de la vingtaine d’années voir plus. Pour un système SCADA complexe, il n’est pas rare que sa conception remonte à plus d’un demi-siècle.  L’évolutivité et l’adaptabilité de ces systèmes sont donc la plupart du temps très compliqué, voir impossible à réaliser.

En plus de ces problèmes de maintenabilité, se posent souvent des problèmes d’exposition du système vers l’extérieur. Il est toujours plus économique de pouvoir contrôler plusieurs systèmes depuis un point unique. Or dans le monde de l’informatique de gestion, des solutions d’interconnexions, de télé-administrations ou plus simplement de mobilité existent depuis fort longtemps. Il était logique de les appliquer au monde industriel tant les avantages attendus sont importants, ce qui mécaniquement augmente leur surface d’exposition et les impacts potentiels d’un dysfonctionnement.

Toutefois, leur mise en œuvre dans ce contexte spécifique et la compatibilité avec les différentes technologies industrielles font souvent apparaître des vulnérabilités qui peuvent se révéler critiques.

Dans un prochain article, nous nous intéresserons plus en détail aux vulnérabilités standards des systèmes SCADA et aux axes d’attaques associés.

 

CONIX.

Références :

[rèf. 1] Document sur la sécurisation des systèmes SCADA par le département de l’énergie US [http://www.oe.netl.doe.gov/docs/prepare/21stepsbooklet.pdf]

[réf. 1] Petite synthèse d’incidents SCADA avérés [http://ciip.wordpress.com/2009/06/21/a-list-of-reported-scada-incidents/]

[rèf. 2] définition d’un système SCADA sur wikipedia (en) [http://en.wikipedia.org/wiki/SCADA]

[rèf. 3] une présentation du SCADA de pilotant le système de traitement d’eau de la ville de Princeton [http://www.princeton-indiana.com/wastewater/pages/scada/scada-overview.html]

By | 2017-07-27T10:10:12+00:00 10/05/2010|Gouvernance, Technique|