Réponse aux incidents OT : se préparer à l'échec de la prévention

01Points clés à retenir

1. 01

   La réponse aux incidents OT donne la priorité à la sécurité physique et à la disponibilité, ce qui peut entrer en conflit avec les actions de réponse IT classiques.

2. 02

   On ne peut souvent pas simplement mettre les systèmes hors ligne, car cela peut être dangereux ou interrompre des opérations critiques.

3. 03

   C'est la préparation qui compte le plus : des playbooks spécifiques à l'OT, des rôles et des décisions arrêtés avant un incident, et non pendant.

4. 04

   L'isolation est un outil de confinement essentiel, et la capacité à déconnecter proprement a une grande valeur lors d'une réponse.

5. 05

   La restauration dépend de sauvegardes protégées et de procédures testées, et l'ensemble du plan doit être mis à l'épreuve par des exercices.

02Pourquoi la réponse aux incidents OT diffère de l'IT

Dans la réponse aux incidents IT, isoler un système touché et le reconstruire est souvent la bonne démarche. En OT, la même action peut être dangereuse : ce système contrôle peut-être un procédé physique, et le déconnecter ou l'arrêter brutalement pourrait créer un risque pour la sécurité ou une perturbation majeure.

La réponse OT comporte donc une priorité supplémentaire et prépondérante : la sécurité physique. Avant toute action de confinement, les intervenants doivent en évaluer l'effet sur le procédé physique. L'installation ne peut pas toujours être considérée comme un système que l'on pourrait mettre en pause le temps de régler l'incident.

En IT, le pire scénario est généralement la perte de données. En OT, une réponse précipitée peut provoquer un événement de sécurité physique ; la réponse elle-même doit donc être sûre.

03Préparation et playbooks

Parce que les décisions de réponse OT ont des enjeux élevés et sont prises sous pression temporelle, elles devraient l'être à l'avance chaque fois que possible. Le travail de réponse aux incidents le plus important a lieu avant tout incident, lors de la préparation.

• Élaborer des playbooks spécifiques à l'OT qui tiennent compte de la sécurité physique et de l'impact sur le procédé, et non des runbooks IT génériques.
• Définir les rôles au sein de la sécurité, des opérations, de l'ingénierie et de la sûreté, avec une autorité décisionnelle clairement établie.
• Décider à l'avance des options de confinement et de qui peut autoriser les actions affectant le procédé.
• Établir des voies de communication, y compris vers les opérateurs qui comprennent les conséquences physiques.
• Connaître l'environnement à l'avance grâce à un inventaire des actifs et à une architecture précis.

04Le rôle de l'isolation dans le confinement

Le confinement en OT consiste à empêcher l'incident de se propager sans déstabiliser le procédé. L'isolation y est centrale, mais elle doit être réalisée de manière maîtrisée et réfléchie, et non en arrachant des câbles.

La capacité à déconnecter un segment proprement et délibérément a une grande valeur lors d'une réponse. Un schéma de connectivité contrôlée AIRGAPNET qui régit déjà une frontière peut servir à couper une voie de manière maîtrisée, isolant un segment touché ou menacé sans intervention improvisée et potentiellement dangereuse. Des options de confinement conçues à l'avance sont bien plus sûres que celles inventées sous pression.

La même architecture à accessibilité réduite qui limite la propagation d'un incident offre aussi aux intervenants des points de confinement propres et planifiés à l'avance.

05Les contraintes de l'analyse forensique en OT

L'investigation d'un incident OT est limitée par les mêmes réalités qui façonnent tout le reste. On ne peut souvent pas mettre un automate hors ligne pour en réaliser une image, et de nombreux équipements ne produisent pas les journaux détaillés qu'attendent les enquêteurs IT.

• Les systèmes en fonctionnement ne peuvent pas toujours être retirés en toute sécurité pour une capture forensique.
• Les équipements peuvent disposer d'une journalisation limitée, voire nulle, si bien que les preuves sont rares.
• Les données réseau passives constituent souvent la source de preuves la plus accessible.
• La préservation des preuves doit être mise en balance avec le rétablissement d'un fonctionnement sûr.

06Restauration à partir de sauvegardes protégées

La restauration en OT consiste à revenir à un fonctionnement normal et sûr, ce qui est plus complexe que de restaurer des données. Elle peut nécessiter de reconstruire des systèmes de contrôle, de restaurer des configurations et de la logique, et de redémarrer avec précaution un procédé physique.

Cela suppose de disposer de sauvegardes que l'incident n'a pas pu atteindre et dont on sait qu'elles fonctionnent, y compris des copies hors ligne des configurations et de la logique des automates. La capacité de restauration, des sauvegardes protégées et testées ainsi que des procédures de redémarrage documentées, est ce qui transforme une catastrophe potentielle en une restauration gérable, quoique difficile.

07Exercices sur table

Un plan qui n'a jamais été testé n'est qu'une hypothèse. Les exercices sur table font parcourir à l'équipe des scénarios OT réalistes, révélant les lacunes dans les décisions, les rôles et les hypothèses avant qu'un incident réel ne le fasse.

S'exercer à la réponse aux incidents OT est particulièrement important, car cela réunit la sécurité, les opérations, l'ingénierie et la sûreté pour répéter à l'avance les arbitrages difficiles. L'objectif est que, lorsqu'un incident réel survient, les décisions délicates aient déjà été mûrement réfléchies.

08En conclusion

La réponse aux incidents OT n'est pas la réponse aux incidents IT sous une autre étiquette. Elle est façonnée par une contrainte forte, la réponse elle-même doit être sûre, qui écarte de nombreuses démarches classiques et exige des alternatives soigneuses et planifiées à l'avance.

Préparez les playbooks, concevez des points de confinement propres, protégez les moyens de restauration et entraînez-vous. Lorsque la prévention échoue, comme elle finira par le faire, c'est un plan bâti pour les réalités de l'OT qui empêche un incident de tourner au désastre.

FAQQuestions fréquentes

SRCSources de référence