|
SIEM OT ou SIEM IT : quelle différence ? Les environnements des technologies de la production (OT) sont aujourd’hui confrontés à des défis sans précédent en termes de cybersécurité et d’intégrité opérationnelle. Les systèmes traditionnels de gestion des informations et des événements de sécurité (SIEM) ne sont souvent pas à la hauteur, ce qui rend les actifs OT critiques d’autant plus vulnérables. Si vous êtes familiarisé avec les infrastructures traditionnelles de cybersécurité informatique ou d’entreprise, vous connaissez sûrement la journalisation et la gestion des événements au moyen de la technologie SIEM. Dans le cas des normes NIST, COBIT, ISO et même PCI, elle est même jugée nécessaire à un certain niveau. Cet article présente aux responsables sécurité IT/OT différentes informations relatives au SIEM :
Qu’est-ce qu’un SIEM ?Un SIEM est un système qui agrège, explore et analyse diverses sources d’informations cyber (sécurité et autres) pour le stockage, les alertes, la réponse et le reporting. Sa véritable puissance réside dans sa capacité à corréler des sources de données hétérogènes et à fournir le contexte pour identifier et hiérarchiser les menaces réelles. Les analystes, les systèmes automatisés et les équipes de sécurité traitent les alertes, les alarmes, les événements et les valeurs de référence pour détecter les cyberrisques et y répondre. Cette corrélation est cruciale pour éviter aux équipes de sécurité d’être submergées par les alertes et leur permettre de se concentrer sur des informations exploitables. Un système SIEM comporte généralement plusieurs fonctions clés :
Ces déclencheurs ou seuils sont hérités de l’application ou du système générateur et exploitent l’apprentissage automatique, les statistiques ou l’heuristique, mais aussi des cas d’utilisation définis par des personnes ou par le cadre. En définitive, l’objectif d’un système SIEM est de recevoir des messages (souvent aux formats Syslog et événement Windows), de les mettre à la disposition des fonctions de cybersécurité et d’alerter en conséquence, afin que les équipes de sécurité puissent exécuter efficacement des procédures et des processus définis pour gérer la menace. L’exemple suivant illustre parfaitement cette approche : Imaginez une PME avec une infrastructure convergente. Des systèmes Windows sont utilisés pour les comptes fournisseurs, ainsi que pour le traitement et la distribution des commandes de l’atelier et des tâches connexes. Ces deux fonctions sont essentielles, mais l’une est liée à l’informatique et l’autre aux technologies de la production. Imaginons maintenant que la personne en charge des comptes fournisseurs ouvre un courriel d’hameçonnage, qu’un attaquant place un logiciel malveillant sur le système et que, fort heureusement, l’antivirus du système le détecte et génère une alerte. Différences entre SIEM IT et un SIEM OTLa nécessité d’un centre des opérations de sécurité (SOC) OT pour surveiller, optimiser et utiliser un SIEM fait l’objet de nombreux débats. Se pose également la question sur la valeur d’un SIEM OT et ce qui le démarque d’un SIEM IT. Même si les SIEM IT et OT agrègent et analysent les données, leur objectif et leurs priorités diffèrent considérablement. Les technologies de la production (OT) mettent l’accent sur la sécurité, la fiabilité et la disponibilité. Cela requiert des données spécialisées et des capacités d’analyse. Les principales différences sont les suivantes :
Les cas d’utilisation sont notamment les suivants :
Indépendamment de l’origine, il existe des recoupements entre les cas d’utilisation et les cybermenaces (notamment les logiciels malveillants de base) au niveau des SIEM, mais les impacts et les événements affectant chaque côté du spectre (IT ou OT) diffèrent à mesure que vous progressez dans l’une ou l’autre direction. Les environnements IT sont souvent confrontés à des menaces du type logiciels malveillants, hameçonnages et divulgations/violations de données, ainsi qu’à diverses menaces provenant directement d’Internet. Pour les environnements OT, les menaces visent à compromettre les équipements de commande de procédé spécialisés, les systèmes de sécurité et les lignes de production. Pour l’IT comme pour l’OT, il existe divers ensembles de compétences avec des priorités différentes en fonction du type de travail effectué et des événements générés. Au niveau informatique, si une alerte indiquant que l’utilisateur X effectue une action Y ou Z, ou si une alerte de logiciel malveillant est déclenchée, la gestion de la cybersécurité dans ces situations est relativement bien comprise. Mais côté OT, la variété des fournisseurs et des technologies propriétaires peut couvrir plusieurs décennies, ce qui se traduit par un nombre considérable d’alarmes ou d’alertes pour les équipes chargées du maintien opérationnel et de la sûreté d’une installation. Quels facteurs plaident en faveur d’un SIEM OT ?Il est souvent nécessaire d’avoir des SIEM IT et OT dans un même environnement. Dans la quasi-totalité des cyberattaques industrielles, l’acteur est passé de l’environnement IT à OT en en partant de l’IT et en traversant les protections existantes entre les deux. Une vision unique permettant de superviser la gestion des actifs, le reporting et les fonctionnalités SIEM est nécessaire pour réduire efficacement les cyberrisques entre les deux environnements. Reste à savoir comment implémenter au mieux cette vue intégrée. Quand est-il pertinent d’avoir un SIEM OT pour l’agrégation des données, les analyses, les réponses aux incidents et le reporting spécifiques aux environnements OT, puis la transmission des alertes et des informations critiques au SOC de l’entreprise ? Pour ce type de questions, l’approche et la stratégie sont spécifiques à l’entreprise. Pour certaines, un seul SIEM, sans fonctionnalité OT spécifique, prend tout son sens. Pour d’autres, un SIEM OT robuste sera un élément fondamental. 4 facteurs plaidant en faveur d’un SIEM
Problématique des ordres de travail émis par un SIEM IT de l’entrepriseLa réponse n’est pas aussi simple qu’il y paraît, et le niveau de complexité découle de la quantité d’équipements existants, ainsi que de l’étendue du contrôle des processus et des réglementations dans l’environnement considéré. A priori, personne ne veut complexifier son environnement d’entreprise avec une bureaucratie excessive en matière de conformité, assortie des coûts qui peuvent y être associés. Sur ce schéma de SIEM IT, il semble que tout soit en place pour que cela fonctionne correctement. Cependant, le problème réside dans le fait que la plupart des solutions d’entreprise n’ont pas accès à un certain nombre de sources pourtant importantes, mais reçoivent plutôt une alerte et déterminent en conséquence où l’affecter et à qui l’envoyer, sur la base des compétences classiques d’un analyste informatique. Compte tenu du peu d’informations et de la quasi absence de contexte, l’alerte est envoyée côté OT. En supposant qu’il existe un ticket ou un système de travail reliant les deux domaines et agissant comme élément de convergence IT/OT, le travail est attribué au personnel ou à l’équipe OT qui vont tenter de trouver une signification à un message d’une ligne au contenu peu explicite. Si le destinataire OT a de la chance, il peut trouver de l’aide dans les procédures appropriées en place pour l’environnement. Malheureusement, même l’équipe IT ne peut exploiter ces informations insuffisantes, et la priorité et la correction constituent un défi en raison des contraintes opérationnelles au niveau OT. En d’autres termes, à moins que l’alerte ne soit fournie avec un contexte adéquat et des informations complémentaires, l’approche consistant à utiliser un SIEM seul exige une visibilité complète des actifs et une expertise adéquate concernant l’actif ou l’environnement déployé. Prenons un exemple courant dans le domaine IT et de l’entreprise : les certificats SSL/TLS obsolètes. Au niveau entreprise, une alerte, un rapport ou une alarme indiquant qu’un système présente des certificats expirés va déclencher une série d’événements :
Là encore, il s’agit d’un exemple très simple. Mais dans l’environnement OT, un avertissement concernant un certificat ne constitue pas une cybermenace directe. En outre, les conditions suivantes doivent être comprises avant de réémettre un certificat :
Il existe d’autres préoccupations mais ce sont les principales raisons qui expliquent l’importance d’un SIEM OT. Il doit être géré par des personnes qui connaissent leur environnement plutôt que par les équipes d’un autre département (bien que pour une infrastructure convergente, un regard croisé sur l’infrastructure ne soit pas une mauvaise idée). Une alerte ne correspond pas spécifiquement à un problème qui nécessite des changements immédiats et elle exige également une visibilité et la présence des personnes compétentes dans l’environnement OT. Qu’est-ce qu’une architecture de référence pour un SIEM OT ?Comme pour tout concept théorique, comment en tirer le meilleur parti ou déterminer s’il fonctionne dans le monde réel par rapport aux exercices théoriques ? L’idée est la suivante :
SIEM OT ou SIEM ITUn SIEM OT se démarque d’un SIEM IT par l’agrégation, l’analyse et la visualisation d’un ensemble distinct de données, au moyen d’un ensemble de filtres différents. Il en résulte un ensemble d’informations sur la sécurité et sur la fiabilité que ne peuvent fournir les SIEM IT traditionnels. Principales différences architecturalesUne architecture de SIEM OT type inclut la collecte de données à partir de dispositifs OT via des zones et canaux de transmission sécurisés, l’analyse au sein d’une zone de sécurité OT dédiée, souvent derrière une zone démilitarisée, et l’intégration au SIEM d’entreprise pour une visibilité centralisée. Il n’y a pas de réponse absolue à la question de savoir si une entreprise industrielle a besoin d’un SIEM OT distinct, mais plusieurs facteurs indiquent qu’il offre une valeur accrue. L’utilisation de zones et de canaux de transmission sécurisés est essentielle dans les environnements OT. Les zones segmentent le réseau en zones logiques en fonction du risque et de la fonction, tandis que les canaux de transmission contrôlent et surveillent le flux de données entre ces zones. Cette approche permet de réduire la surface d’attaque et limite l’impact des violations potentielles. Un SIEM OT agit comme une chambre de compensation pour les alertes et événements les plus critiques à transmettre au SIEM IT, afin d’obtenir une vue d’ensemble de l’entreprise cruciale pour la sécurité convergente IT/OT. Les données circulent du SIEM OT vers le SIEM IT, afin de fournir des alertes critiques et des informations contextuelles permettant une posture de sécurité globale. Cette intégration permet aux équipes de sécurité IT de comprendre l’impact des événements OT sur l’ensemble de l’entreprise. Intégration des API aux outils OT
|
