A l’occasion de la 8ème édition du Forum International de la Cybersécurité, Bertin IT (Groupe CNIM) lance la commercialisation de sa solution de neutralisation des menaces USB. Sans équivalent sur le marché, WhiteN® associe un niveau de protection inégalé et une grande souplesse d’utilisation et de paramétrage. Autre atout majeur : elle repose sur le socle logiciel PolyXene® qui a récemment obtenu la certification EAL 5+ et s’est ainsi vu confirmé comme l’hyperviseur français présentant le plus haut niveau d’assurance. Les différentes lignes de défense combinées par WhiteN® dont le filtrage de périphériques, la vérification de format de fichier et d’innocuité, ainsi que le cloisonnement fort du système hôte, seront à découvrir lors de démonstrations sur le Pavillon HexaTrust (H3).

Depuis l’annonce de lancement de concept début 2015, WhiteN® a bénéficié d’expérimentations et de développements concluants qui ont permis de perfectionner la solution mais aussi de confirmer l’intérêt du marché.

« Face à la menace USB, la simple décontamination ne suffit pas. Témoin la faille BadUSB, qui permet de nicher l’attaque au cœur du firmware et qui la rend ainsi indétectable par un antivirus, fait observer David Boucher, Chef de la BU Cybersécurité de Bertin IT. Plusieurs lignes de défense doivent être combinées pour traiter les différents aspects de la menace, du contrôle du type de périphériques à celui du type de fichiers, en passant par la vérification d’innocuité, tout en maintenant le système hôte hors de portée. Ce besoin d’une solution complète, capable de s’inscrire dans la politique de sécurité de l’organisation même et de s’adapter à ses spécificités en termes de gestion des supports et des fichiers circulants, nous a été exprimé par bon nombre d’industriels et notamment d’Opérateurs d’Importance Vitale. »

Une solution complète et souple au service d’une politique de gestion des supports amovibles efficace

Défense en profondeur

WhiteN® combine plusieurs lignes de défense pour offrir un niveau de protection inégalé contre les menaces issues de tout type de supports amovibles (clés USB, téléphones portables, etc.).

Avec le filtrage des contenus (whitelisting et blacklisting) importés dans le système d’information (SI), certaines extensions de fichier peuvent être explicitement autorisées ou interdites (p.ex. exclusion des .avi, …) en fonction de la politique de sécurité en vigueur dans l’entreprise (paramétrable par l’administrateur).

Exécutée systématiquement sur tout type de contenus, la vérification d’innocuité met en œuvre deux antivirus leaders sur le marché. Elle se traduit par la neutralisation des fichiers malveillants.

Grâce à la vérification de format, les fichiers changés (p.ex. modification malicieuse d’un .txt en .pdf), les contenus exécutables ou les charges actives cachées sont détectés et neutralisés. Lorsque la suppression d’un code malveillant ne peut se faire sans altérer le format du fichier en cause, celui-ci est converti et ainsi rendu inerte.

La labellisation permet à l’utilisateur d’apposer sur des fichiers (p.ex. mise à jour SCADA…) un sceau garantissant l’intégrité et l’authenticité des données. La vérification de ce label est réalisée lors de la phase de traitement.

En option, Bertin IT propose le filtrage par classe et liste blanche des périphériques autorisés à se connecter sur le SI. Ainsi, tout périphérique non explicitement autorisé selon des critères spécifiques sera bloqué (p.ex. périphériques audio et/ou vidéo, …). Ceci constitue une barrière contre les attaques de type BadUSB (p.ex. usurpation de périphérique via un dispositif malicieux) et permet aussi de limiter l’utilisation d’appareils personnels sur le lieu de travail, pratique de plus en plus répandue et source de vulnérabilités importantes pour l’entreprise.

Egalement en option, la mise en quarantaine des fichiers refusés permet une investigation a posteriori en vue d’identifier les éléments ayant motivé le blocage.

‘Security by Design’ certifiée

D’une architecture basée sur PolyXene®, socle logiciel de très haute sécurité certifié EAL 5+, WhiteN® est doté de mécanismes de cloisonnement fort des environnements virtualisés. Ainsi, non seulement, le SI n’est jamais exposé au support non maîtrisé – ce qui élimine toute possibilité de propagation d’une attaque, mais l’exfiltration de données est rendue impossible par la mise en œuvre de diodes logicielles. De cette façon, WhiteN® permet également de prévenir la fuite d’informations.

Simplicité de déploiement et d’utilisation

WhiteN® s’intègre facilement dans le système à protéger. La station peut être déployée en standalone, sans aucune connexion à un réseau, ou en mode connecté au SI. Dans les deux cas, l’installation est très peu intrusive et facilement paramétrable. Après branchement de la station, une interface guide l’administrateur pour régler la politique de sécurité (p.ex. définition des formats autorisés) et configurer le dispositif selon ses besoins.

Présentée sous la forme d’une station de travail tout-en-un accessible à l’ensemble des collaborateurs, WhiteN® est d’utilisation tout aussi simple : le collaborateur branche son support, sélectionne les fichiers qu’il souhaite importer dans le SI, et récupère des contenus sains et approuvés, soit à l’aide d’un support amovible maîtrisé (p.ex. clé corporate), soit par courrier électronique (mode connecté au SI).

En fin de processus, il dispose d’un rapport de neutralisation rassemblant les informations relatives aux traitements effectués sur les fichiers. Un journal d’événements est également établi au format SYSLOG et exporté vers un serveur de journalisation.

Une parade aux attaques BadUSB

Révélée lors du Black Hat 2014 par deux chercheurs allemands, la faille BadUSB repose sur la possibilité de reprogrammer le firmware d’un périphérique USB (hub, adaptateurs de carte SD et SATA, périphériques d’entrée/HID et de stockage…) lorsque celui-ci ne comporte aucune signature cryptographique protégeant ses mises à jour – ce qui est le cas d’un grand nombre d’appareils sur le marché. Alors niché dans le firmware, le code malveillant est indécelable par un antivirus. Le périphérique malicieux peut se faire passer pour n‘importe quel autre (clavier, disque dur externe, etc.) et prendre le contrôle de l’ordinateur, réécrire des données à la volée, installer un virus qui se propagera aux autres périphériques USB, usurper un écran pour accéder à des informations de sécurité, exfiltrer des données, espionner l’utilisateur… Un poste compromis peut de même altérer le firmware d’un périphérique USB initialement sain. L’éventail d’actions possibles grâce à cette faille est large.

La possibilité que cette famille d’attaques puisse également affecter les systèmes de contrôle industriels a été mise en évidence plus récemment, en février 2015. La vigilance s’impose compte tenu de l’emploi de l’USB dans le monde industriel (cf. infra) et de l’expansion de certaines pratiques. En effet, de plus en plus de fournisseurs envoient des mises à jour sur des clés USB et sur des cartes SD, ou invitent tout simplement à télécharger les mises à jour sur ces supports.

Bénéficiant des briques de sécurité de PolyXene®, WhiteN® permet de parer efficacement les attaques de type BadUSB. Grâce au filtrage par classe et liste blanche, tout périphérique non conforme à la politique de sécurité est bloqué. En outre, les mécanismes de cloisonnement circonscrivent au sas de neutralisation le périmètre de nuisance du code malveillant et maintiennent ainsi le SI hors de portée. Enfin, le contrôle d’accès à base de rôles empêche l’escalade de privilèges et l’atteinte de ressources sensibles.

L’USB en milieu industriel

L’USB est très utilisé dans le monde industriel pour extraire des données des SCADA ou importer des mises à jour de fichiers de configuration, par exemple. Avec un débit de données élevé (vitesses de transfert jusqu’à 480 Mo/s), le Hi-Speed USB convient parfaitement pour les relevés de mesures complexes, telles que la maintenance prédictive de machines, ou pour les acquisitions de diagnostic.

Il arrive que les informations extraites ou destinées aux machines soient hébergées sur des clés porteuses de contenus personnels et, potentiellement, de virus. Dans le cas où les mises à jour s’effectuent au moyen d’un PC, celui-ci peut tout aussi bien avoir été infecté par le biais d’une clé ou de tout autre périphérique USB malicieux. C’est alors le PC qui joue le rôle de vecteur d’une attaque ciblée sur le SCADA.

Dans ce contexte, la maîtrise des supports USB et de leur contenu est impérative pour le maintien de l’intégrité des installations industrielles et la protection du système d’information dans son ensemble.

USB et Objets Connectés

Si la réalité de la menace USB n’est plus à démontrer, son inéluctable intensification dans les décennies à venir n’est pas moins tangible. Dans le contexte d’explosion de l’IOT – Internet of Things, la prolifération des objets équipés d’un port USB (pour l’alimentation électrique et les mises à jour logicielles) lui offre une surface d’attaque démultipliée. L’USB est en effet l’interface qui connaît la plus forte croissance dans les applications de consommation, mais aussi dans les marchés industriels.

Le grand bruit qui a entouré la démonstration de piratage à distance d’un véhicule tout-terrain en juillet 2015 en ferait presque oublier qu’avant d’être ‘connectée’, la voiture est et demeure ‘connectable’ par USB. En 2013 déjà, les mêmes experts en sécurité, Charlie Miller et Chris Vasalek, étaient parvenus à prendre le contrôle de berlines de deux autres marques en utilisant un port accessible à proximité du frein de parking.

Comment le constructeur automobile a-t-il proposé au 1,4 million de propriétaires américains du modèle incriminé de corriger la faille ? Par des voies elles-mêmes potentiellement faillibles, à savoir l’envoi d’un patch à charger sur une clé USB, afin de leur permettre d’effectuer eux-mêmes la mise à jour de sécurité. Il n’y a qu’un pas pour imaginer que ce procédé se généralise dans l’industrie automobile où l’informatique embarquée est omniprésente et où l’allume-cigare a cédé la place à l’adaptateur USB…

télécharger notre communiqué