Pendant des années, les organisations ont traité les technologies opérationnelles (OT), l'Internet des objets (IoT) et les appareils embarqués différemment des actifs informatiques traditionnels.
Nombre de ces systèmes ont été conçus pour fonctionner pendant des décennies avec un minimum de modifications, souvent dans des environnements où l'application de correctifs ou le remplacement du matériel est difficile.
Cette longue durée d'exploitation a créé un défi croissant en matière de cybersécurité, les logiciels vieillissants se heurtant à des menaces qui évoluent rapidement.
Aujourd'hui, la sécurité des appareils embarqués ne consiste plus simplement à appliquer des correctifs.
Les organisations ont besoin d'une visibilité continue sur les logiciels, les micrologiciels et les composants tiers qui alimentent les systèmes à longue durée de vie afin de gérer efficacement les risques.
- Points clés à retenir sur la sécurité des appareils embarqués
- Les logiciels existants créent des risques de sécurité modernes
- Les lacunes de visibilité compliquent la gestion des risques
- Pourquoi les outils de sécurité traditionnels montrent leurs limites
- Passer de l'application de correctifs à la gestion continue des risques
- L'automatisation devient essentielle
Points clés à retenir sur la sécurité des appareils embarqués
- Les appareils embarqués à longue durée de vie sont exposés à des cyberrisques croissants, car les logiciels vieillissants sont confrontés aux menaces modernes et à la découverte de vulnérabilités accélérée par l'IA.
- Les inventaires d'actifs traditionnels, les scanners de vulnérabilités et les SBOM manquent souvent de la visibilité nécessaire pour évaluer précisément les risques liés aux logiciels embarqués.
- L'analyse au niveau binaire constitue une base plus fiable pour identifier les composants logiciels, les vulnérabilités et les dépendances cachées.
- Pour les systèmes OT, IoT et autres systèmes embarqués, une visibilité continue, une hiérarchisation fondée sur les risques et des mesures compensatoires sont souvent plus pratiques que l'application fréquente de correctifs.
Les logiciels existants créent des risques de sécurité modernes
De nombreux contrôleurs industriels, dispositifs médicaux, systèmes de télécommunications et produits d'infrastructures critiques déployés il y a plus de dix ans sont toujours en service aujourd'hui.
Même si le matériel continue de fonctionner, les logiciels qu'intègrent ces appareils ont été conçus pour un paysage de menaces radicalement différent.
Selon Matt Wyckhouse, PDG de Finite State, trois évolutions majeures ont transformé l'environnement de risque :
- Les appareils sont de plus en plus connectés.
- Les composants open source ont accumulé des vulnérabilités pendant des années.
- Les attaquants ont commencé à cibler les systèmes embarqués, car ceux-ci présentent souvent moins de contrôles de sécurité que les environnements informatiques d'entreprise.
L'intelligence artificielle (IA) accélère cette tendance.
La rétro-ingénierie assistée par l'IA et la découverte de vulnérabilités permettent aux chercheurs — et aux attaquants — d'analyser les micrologiciels et de détecter les faiblesses bien plus rapidement qu'auparavant.
Par conséquent, un logiciel autrefois considéré comme sûr simplement parce qu'il était ancien peut désormais contenir des vulnérabilités récemment découvertes.
Les lacunes de visibilité compliquent la gestion des risques
L'un des principaux défis auxquels les organisations sont confrontées consiste à comprendre précisément quels logiciels sont présents dans les appareils à longue durée de vie.
Les inventaires d'actifs traditionnels identifient les modèles de matériel, mais fournissent généralement peu d'informations sur les versions des micrologiciels, les bibliothèques embarquées ou les composants logiciels tiers.
Pendant ce temps, les environnements de développement disparaissent, les équipes d'ingénierie changent et les versions des micrologiciels divergent à mesure que les mises à jour sont appliquées de manière incohérente sur les parcs déployés.
Ces lacunes de visibilité deviennent particulièrement problématiques lorsque des vulnérabilités très médiatisées apparaissent.
Sans savoir quels composants sont présents dans les appareils déployés, les organisations ne peuvent pas déterminer rapidement s'ils sont concernés ni hiérarchiser les mesures correctives.
Pourquoi les outils de sécurité traditionnels montrent leurs limites
De nombreuses organisations s'appuient sur des scanners de vulnérabilités, des inventaires d'actifs ou une nomenclature logicielle (SBOM) pour comprendre la sécurité des produits.
Bien que chacun fournisse des informations précieuses, aucun ne donne à lui seul une vue complète.
Les scanners réseau rencontrent souvent des difficultés avec les appareils embarqués qui ne peuvent pas exécuter d'agents de sécurité ou répondre de manière fiable aux sondes actives.
Les inventaires d'actifs identifient les appareils, mais pas les logiciels qui y sont exécutés.
Même les SBOM fournies par les fournisseurs peuvent ne pas refléter précisément ce qui a finalement été compilé dans le micrologiciel déployé.
Wyckhouse précise que la source de vérité la plus fiable est le binaire lui-même.
L'analyse directe des micrologiciels déployés permet aux organisations de générer des SBOM plus précises, d'identifier les composants vulnérables et de corréler en continu les nouvelles vulnérabilités dès leur apparition.
Passer de l'application de correctifs à la gestion continue des risques
Contrairement aux terminaux d'entreprise, de nombreux systèmes OT et IoT ne peuvent pas être mis à jour selon un calendrier mensuel ni être remplacés sans perturber les opérations.
Les organisations devraient plutôt s'attacher à maintenir une visibilité, à appliquer des mesures compensatoires telles que la segmentation réseau et à hiérarchiser les vulnérabilités en fonction de leur exploitabilité réelle plutôt que des seuls scores de gravité.
Les équipes de sécurité doivent également surveiller les angles morts courants, notamment :
- Identifiants codés en dur et clés cryptographiques intégrées
- Interfaces de débogage obsolètes et services oubliés
- Bibliothèques liées statiquement vulnérables
- Chargeurs d'amorçage et code de préamorçage qui échappent souvent aux revues de sécurité habituelles
- Documentation du fournisseur qui ne correspond pas précisément au micrologiciel déployé
L'automatisation devient essentielle
Les exigences réglementaires se renforcent également.
Le Cyber Resilience Act (CRA) de l'Union européenne, les recommandations de la FDA en matière de cybersécurité pour les dispositifs médicaux et les initiatives plus larges concernant la chaîne d'approvisionnement logicielle relèvent le niveau d'exigence en matière de cybersécurité.
Ces exigences demandent aux organisations de démontrer une gestion continue des vulnérabilités pendant toute la durée de vie prise en charge d'un produit.
Répondre manuellement à ces attentes devient de plus en plus difficile à mesure que les divulgations de vulnérabilités s'accélèrent.
Les organisations peuvent renforcer leur résilience à long terme en :
- Générant des SBOM validées au niveau binaire à partir des micrologiciels déployés
- Surveillant en continu les micrologiciels au regard des vulnérabilités nouvellement divulguées
- Utilisant les données Vulnerability Exploitability eXchange (VEX) pour hiérarchiser les problèmes exploitables
- Exigeant des fournisseurs une transparence logicielle lors des achats
- Intégrant directement les données de vulnérabilité aux flux de travail d'ingénierie et de conformité
À mesure que les produits connectés continuent de fonctionner pendant des décennies, leur sécurisation exige de considérer les logiciels comme un cycle de vie géré en continu plutôt que comme un déploiement ponctuel.
pour soutenir Zero Trust, hiérarchiser les risques et répondre à l'évolution des exigences réglementaires.