L’interconnectivité des réseaux industriels facilite la gestion à distance des routeurs par les ingénieurs depuis n’importe quel endroit. Cependant, l’utilisation d’un accès à distance peut rendre les routeurs industriels vulnérables à la collecte de crédences, aux logiciels malveillants, aux modifications non autorisées et aux attaques DoS.
Parce que les routeurs industriels font le pont entre les réseaux IT, OT et cellulaire, un déploiement non sécurisé peut exposer les UT, les API, les systèmes SCADA et d’autres actifs à des risques supplémentaires.
1. Suppression des identifiants par défaut
Divers vecteurs d’attaque de crédentiels nécessitent d’accéder aux identifiants par défaut. Les identifiants par défaut sont largement connus et peuvent être la solution à de nombreux identifiants lors d’une attaque par force brute.
Avant le déploiement du routeur :
• Remplacer tous les identifiants par défaut.
• Attribuer une accréditation unique à chaque routeur industriel.
• Ne publiez ni ne partagez pas les identifiants.
• Désactiver les comptes par défaut/temporaires d’usine.
• Veiller à ce que les comptes d’installateur temporaire soient supprimés après la mise en service du système.
• Les identifiants doivent être stockés dans un gestionnaire de mots de passe.
Les mots de passe pour renforcer la confidentialité et la sécurité doivent être utilisés.Utilisez des mots de passe forts et uniques et activez l’authentification multi-facteurs pour les comptes administrateur lorsque cela est supporté.
2. Contrôle d’accès basé sur les rôles
Tous les utilisateurs n’ont pas besoin d’un accès au niveau Admin.
Un exemple de modèle d’accès basé sur les rôles inclut :
•Admin : Utilisateurs qui contrôlent le pare-feu, le VPN et les paramètres système similaires.
• Ingénieur : Utilisateurs capables de voir et de modifier les limites opérationnelles définies.
• Opérateur : Utilisateurs pouvant voir l’état des appareils et les alarmes.
• Auditer les utilisateurs : Utilisateurs capables de consulter les journaux et configurations, et également de réaliser des audits.
•L’accès basé sur les rôles réduit l’impact des erreurs ou des comptes compromis.
Les droits doivent être évalués à intervalles fixes, et les comptes des employés démobilisés ainsi que ceux des projets terminés doivent être effacés.
3. Connexions à distance chiffrées
Le trafic de gestion doit passer par des connexions privées et sécurisées.
Voici quelques contrôles qui peuvent être utilisés :
• Utilisation d’un VPN avant d’accéder à un routeur
• Préférence pour un HTTP(S) sécurisé par rapport à un HTTP simple
• Préférence pour un shell sécurisé (SSH) par rapport à Telnet
• Le support des anciens cadres de chiffrement est désactivé/supprimé
• Les listes de révocation/certificats numériques sont respectées
• L’accès à distance n’est autorisé qu’aux passerelles VPN spécifiées
Les protocoles VPN courants utilisés sont IPsec et OpenVPN, le choix doit être conforme à la politique de sécurité de l’organisation et être pris en charge par le routeur industriel et le système de gestion centrale.
En tant que pratique générale de sécurité, les pages de gestion web, le SSH et d’autres services administratifs ne doivent pas être exposés à Internet.
4. Contrôle d’accès par adresse source
La gestion à distance d’un routeur industriel ne devrait être possible qu’à partir de sites de gestion fiables.
L’exposition peut être minimisée en :
• Utilisation d’une liste de gestion
•Lorsque cela est approprié, appliquer des restrictions régionales comme contrôle supplémentaire
• Restriction du trafic vers des serveurs de gestion spécifiés
• Limitation des connexions aux APN privés
• Terminer toutes les connexions provenant d’interfaces WAN inconnues
• Terminer toutes les connexions entrantes inutilisées
Un pare-feu utilisant une politique de « refus par défaut » est plus sécurisé qu’un pare-feu qui applique une politique large de permis et de blocage de menace.
5. Séparer les réseaux de gestion et de production
Le trafic de gestion ne devrait pas pouvoir traverser les mêmes réseaux que le trafic de contrôle opérationnel.
Exemples de segmentation effective sont :
• Utilisation d’un VLAN de gestion exclusif.
• Séparation des TI etRéseaux OT.
• Positionnement de services d’accès à distance au sein d’une DMZ industrielle.
• Utilisation de pare-feux pour mettre en œuvre la segmentation au sein des zones réseau.
• Utilisation d’interfaces de champs et de gestion distinctes.
•Limiter l’exposition des communications des API aux réseaux externes.
Une segmentation efficace réduit la propagation latérale des attaques sur le réseau et atténue les menaces pouvant découler de la compromission de nœuds individuels sur le réseau, tels que les comptes utilisateurs, les postes de travail, voire les routeurs.
6. Désactiver les services non utilisés
Désactiver les services réduit le nombre de vecteurs d’attaque.
Évaluez la configuration du routeur et désactivez les services selon le cas. Les services suivants doivent être envisagés pour l’incapacité :
•Telnet
• Services HTTP et FTP
• Services de gestion cloud et Wi-Fi inutilisés
• Passerelles série, protocoles de découverte et services VPN
Les interfaces administratives doivent également être désactivées sur les ports LAN orientés production lorsque la gestion à distance doit se faire via une interface dédiée ou un VPN.
7. Garantir la sécurité du firmware et de la configuration
Les routeurs industriels doivent être pleinement intégrés au processus de gestion des vulnérabilités et des changements d’une entreprise.
Les meilleures pratiques consisteraient à :
• Surveiller les mises à jour de sécurité du fabricant.
• Conserver la documentation des versions du firmware du routeur.
• Seuls des sites fiables sont utilisés pour télécharger le firmware.
• Utilisation de la vérification de signature ou de hachage.
• Les mises à jour sont d’abord appliquées à un appareil qui ne fait pas partie du processus de production.
• Les mises à jour sont programmées avec l’avis de l’équipe des opérations.
•Conservez des sauvegardes de configuration sécurisées et contrôlées par version, et protégez-les avec un chiffrement et un contrôle d’accès.
• Un retour en arrière est établi.
Les tests de firmware industriel se font souvent avec une grande prudence et pour de bonnes raisons. Il est crucial que le firmware industriel soit compatible avec les API API, les serveurs SCADA et tous les autres appareils utilisés pour la communication industrielle.
8. Les implications de sécurité de la sauvegarde des configurations
Les fichiers de configuration des routeurs peuvent contenir une variété de données sensibles, notamment :
• Identifiants VPN
• Ensembles de règles de pare-feu
• Adresses de communication inter-nœuds
• Comptes utilisateurs
• Paramètres pour la communication cellulaire.
• Informations de routage.
• Certificats pour les appareils.
Les sauvegardes de configuration doivent être chiffrées et contrôlées pour l’accès. Les organisations doivent souvent vérifier que les sauvegardes peuvent être restaurées.
9. Configurer les systèmes de journalisation et de notification de sécurité
La journalisation permet de surveiller l’activité à distance et les modifications de la configuration d’un système.
Exemples d’activités que vous pourriez vouloir enregistrer incluent :
• Accès au système (réussi ou non)
• Verrouillage du compte
• Établissement d’une session VPN
• Modifications du pare-feu
• Mises à jour du firmware du système
• Modifications de configuration et exportations
• Redémarrages inattendus du système
• Événements de basculement de carte SIM
• Modifications de la configuration de l’interface LAN ou WAN
Lorsque possible, les journaux doivent être envoyés à un système de journalisation centralisé, ou à un système de gestion des informations et des événements de sécurité (SIEM). Des notifications peuvent être mises en place pour aider les équipes opérationnelles à gérer les tentatives de connexion persistantes ratées, les changements de configuration inattendus et les activités réseau inhabituelles.
CommentTesproTR-245 Prend en compte la connectivité à distance
LeTespro TR-245 peut fournir une base matérielle pratique pour la gestion à distance des routeurs industriels lorsqu’il est déployé avec des politiques de sécurité appropriées.
Les capacités incluent :
• Connectivité cellulaire 5G avec secours double SIM
• Quatre ports LAN de 100 Mbps
• Une interface RS485 et une RS232
• Wi-Fi bibande et GNSS intégré
• Prise en charge des clients/serveurs VPN pour OpenVPN, L2TP et PPTP
• Entrée continue 12–36 V
• Température de fonctionnement de -40°C à 75°C
• Protection classée IP65
• Prise en charge de Modbus RTU/TCP, BACnet, M-Bus, IEC 61850, DLMS et OPC UA
Pour les déploiements sensibles à la sécurité, utilisez OpenVPN plutôt que le PPTP hérité. Microsoft ne recommande pas PPTP ni L2TP autonome en raison de leurs fonctionnalités de sécurité limitées.
Mots de clôture
Une gestion efficace à distance d’un routeur industriel dépend de plus que le simple choix d’un routeur doté de fonctionnalités de sécurité. Les organisations doivent contrôler qui peut se connecter, chiffrer chaque session de gestion, séparer les zones réseau, désactiver les services inutiles, maintenir le firmware, surveiller l’activité et protéger les installations sur le terrain.
En utilisant un mélange de contrôles techniques, d’audits réguliers et de procédures opérationnelles strictes, les organisations industrielles peuvent bénéficier des avantages de la gestion à distance. En même temps, ils peuvent minimiser les menaces de cybersécurité pour les équipements essentiels et les processus de production.
FAQ
Q1. Qu’est-ce que la gestion de l’accès à distance des routeurs industriels ?
La gestion de l’accès à distance des routeurs industriels permet la surveillance, la configuration et le dépannage à distance des routeurs par des utilisateurs autorisés.
Q2. La gestion à distance des routeurs est-elle sûre ?
La gestion à distance des routeurs peut être sûre si elle est mise en œuvre conjointement avec des VPN, des pare-feus, une authentification forte et une segmentation réseau.
Q3. Est-il sûr d’exposer les ports de gestion des routeurs à Internet ?
Non. Les ports de gestion des routeurs ne devraient être disponibles que sur un VPN sécurisé ou un réseau de gestion de confiance.
Q4. Quels protocoles sont indésirables ?
Telnet, HTTP et FTP sont des exemples de protocoles non chiffrés et doivent être évités autant que possible.
Q5. Quel est l’avantage d’utiliser l’authentification multifacteur ?
Si un mot de passe est volé ou violé, l’authentification multifactorielle agit comme une barrière supplémentaire.
