Analyse de l’exposition des centres de données : 1 sur 5 à un seul saut

La chose la plus effrayante dans un centre de données n’est pas toujours la baie de serveurs qui clignote. Parfois, c’est le contrôleur CVC qui vit tranquillement à une connexion réseau d’internet, vaquant à ses affaires comme un personnage secondaire dans un film catastrophe. Selon le rapport de SecurityWeek sur les recherches de Claroty, près d’un système cyber-physique sur cinq qui permettent aux grands centres de données de fonctionner est suffisamment proche de chemins exposés à internet pour être joignable par des acteurs malveillants. Traduction : le tableau des scores des brèches ne commence pas avec le plus grand numéro de CVE. Il commence avec ce qu’un attaquant peut réellement atteindre.

Le problème du saut unique mis en lumière par SecurityWeek

SecurityWeek rapporte que Claroty a analysé plus de 750 000 actifs de centres de données dans certaines des plus grandes installations au monde, dont environ 191 000 actifs OT et 174 000 actifs d’infrastructure. Ces actifs d’infrastructure comprennent le CVC, la surveillance et la distribution de l’énergie, la gestion incendie et les systèmes UPS, ce qui est une façon polie de parler des machines qui empêchent le cloud de devenir un radiateur spatial très coûteux. SecurityWeek indique que moins de 1 000 des 174 000 actifs d’infrastructure, soit 0,4 %, sont directement exposés à internet. Le chiffre le plus intéressant est d’environ 32 000, soit 18 %, qui se trouvent à un seul saut de systèmes exposés à internet. C’est la partie que les défenseurs devraient coller au mur, de préférence à côté du plan de réponse aux incidents que personne n’a ouvert depuis le dernier exercice sur table. L’exposition directe est mauvaise, évidemment, mais la quasi-exposition est l’endroit où se cache une grande partie du risque pratique. Si un système joignable peut devenir un tremplin vers la technologie opérationnelle, la question n’est plus de savoir si l’actif sensible possède une adresse IP publique. La question est de savoir si le réseau a tracé une limite significative entre les services exposés à internet et les systèmes qui maintiennent en vie l’alimentation, le refroidissement et les contrôles de sécurité.

Pourquoi le nombre de vulnérabilités n’est pas

le bon personnage principal OffSeq Threat Radar résume la même découverte de Claroty comme un problème d’exposition, et pas seulement comme un problème de vulnérabilité, en notant qu’environ 18 % des actifs d’infrastructure se trouvent à un saut réseau de systèmes exposés à internet, tandis que moins de 0,4 % sont directement exposés. Il identifie aussi les classes d’actifs concernées comme les systèmes CVC, les unités de distribution d’énergie et les systèmes de gestion des bâtiments. C’est important, car il ne s’agit pas d’ordinateurs portables interchangeables qui attendent le défilé des correctifs du mardi. Ce sont des systèmes opérationnels où la disponibilité, les contraintes des fournisseurs et les fenêtres de changement transforment une remédiation simple en un petit opéra. L’analyse d’OffSeq mentionne les protocoles non sécurisés, les micrologiciels obsolètes, les vulnérabilités connues et exploitées, les accès à distance non gérés et l’authentification faible comme vecteurs d’attaque. Rien de tout cela n’est exotique. Ce sont les gremlins familiers de la sécurité d’entreprise, sauf qu’ils traînent maintenant près des systèmes de refroidissement et d’alimentation au lieu d’une autre VM de test oubliée. Les acteurs malveillants n’ont pas besoin d’un génie cinématographique quand l’intrigue leur offre un point d’appui exposé à internet, un réseau suffisamment plat et un protocole hérité antérieur à la politique de mots de passe actuelle de tout le monde.

La gestion de l’exposition signifie suivre le chemin

La leçon plus large de gestion de l’exposition rejoint le rapport State of Exposure Management in 2024 de XM Cyber, qui décrit cette discipline comme le fait d’identifier comment une organisation est exposée, de comprendre comment des adversaires pourraient exploiter ces expositions, et de prioriser la remédiation pour réduire efficacement le risque. XM Cyber indique que son rapport s’appuie sur des centaines de milliers d’évaluations de chemins d’attaque menées via sa plateforme Continuous Exposure Management en 2023. Les évaluations ont révélé plus de 40 millions d’expositions affectant 11,5 millions d’entités considérées comme critiques pour les opérations métier, avec des données anonymisées fournies au Cyentia Institute pour une analyse indépendante. Voilà pourquoi cette histoire de centre de données devrait pousser les équipes de sécurité à se tourner vers l’analyse des chemins, et pas seulement vers une autre feuille de calcul triée par gravité. Une vulnérabilité critique sur un actif isolé reste un problème, mais une faiblesse d’apparence moyenne sur un système qui fait le pont vers l’alimentation ou le refroidissement peut être l’incendie le plus urgent. Les notes de correctif peuvent être spectaculaires, et croyez-moi, je chéris un bon effet de surprise CVSS. Mais l’accessibilité est le retournement de situation qui décide si une faiblesse est simplement laide ou dangereuse sur le plan opérationnel.

Ce que cela signifie réellement pour vous

Pour les opérateurs, la couverture par SecurityWeek des travaux de Claroty transforme l’inventaire des actifs, qui passe du ménage à la modélisation des menaces. Vous devez savoir quels systèmes sont directement exposés, lesquels se trouvent à un saut, et quels chemins mènent au CVC, à la surveillance et à la distribution de l’énergie, à la gestion incendie, aux systèmes UPS et aux autres infrastructures cyber-physiques. Si cela vous semble fastidieux, félicitations, vous avez découvert la partie de la sécurité qui empêche les communiqués de presse de commencer par les excuses rituelles habituelles. Mon tableau des scores non officiel des déclarations « nous prenons la sécurité au sérieux » reste invaincu, et j’aimerais beaucoup que les opérateurs de centres de données cessent de l’alimenter. Le résumé des mesures d’atténuation d’OffSeq va dans la bonne direction : gestion continue de l’exposition, segmentation réseau zero trust et détection des menaces consciente des protocoles. La démarche pratique consiste à classer les correctifs selon l’impact joignable, à renforcer les accès à distance, à séparer les systèmes exposés à internet des réseaux opérationnels et à surveiller les protocoles que vos outils informatiques habituels comprennent à peine. Pour les lecteurs hors du bunker des centres de données, l’idée à retenir est simple : les services dont vous dépendez ne sont résilients qu’à hauteur des systèmes moins glamour qui les soutiennent. Attendez-vous à voir les opérateurs et fournisseurs cloud parler moins du volume de vulnérabilités et davantage des chemins d’attaque, car la prochaine grande histoire de résilience pourrait commencer par un discret saut réseau.