Safety System Attack OT

Définition

Une Safety System Attack (attaque contre les systèmes de sécurité) en environnement OT désigne une cyberattaque ciblant spécifiquement les Safety Instrumented Systems (SIS), les Systèmes Instrumentés de Sécurité (SIS), ou les systèmes de protection instrumentés (IPL - Independent Protection Layers) d'une installation industrielle, dans le but de les désactiver, de les contourner, ou de les compromettre pour permettre qu'un processus industriel atteigne des conditions dangereuses sans déclenchement des protections automatiques. Les Safety System Attacks sont considérées comme la catégorie d'attaques OT la plus dangereuse car elles ciblent la dernière ligne de défense entre un processus industriel et une catastrophe physique. Un processus de pétrochimie dispose typiquement de plusieurs couches de protection : la régulation automatique (BPCS - Basic Process Control System), les alarmes opérateur, et comme dernière ligne les SIS qui déclenchent l'arrêt d'urgence lorsque les conditions dangereuses persistent. Si un adversaire désactive le SIS, le processus peut atteindre des conditions cataclysmiques (surpression, explosion, déversement toxique) sans déclenchement automatique de l'arrêt. L'attaque TRITON/TRISIS (2017) dans une raffinerie saoudienne est le seul exemple public documenté d'une Safety System Attack réussie : les attaquants ont développé un malware (TRITON) ciblant spécifiquement les Safety PLC Triconex TS3000 de Schneider Electric, en exploitant une vulnérabilité 0-day dans le protocole TriStation propriétaire. Le malware remplaçait le programme SIS normal par un programme "fail-open" qui ne déclencherait pas les arrêts d'urgence, visant à créer une fenêtre d'opportunité pour une attaque physique sur le processus via une simultanée compromission du BPCS. La découverte accidentelle a évité la catastrophe. L'IEC 61511 (Safety Lifecycle for Process Industries) et l'IEC 62443 définissent conjointement des exigences de séparation et de protection des SIS qui visent à prévenir les Safety System Attacks.

Fonctionnement de l'attaque TRITON sur les SIS

L'attaque TRITON (2017) illustre la sophistication d'une Safety System Attack : (1) Accès initial : compromission d'une Engineering Workstation du réseau SIS (probablement via une connexion IT/SIS mal isolée), (2) Développement du malware : rétro-ingénierie du protocole TriStation propriétaire et du firmware des SIS Triconex TS3000 (effort de R&D considérable, suggérant des ressources étatiques), (3) Déploiement : installation du malware TRITON sur l'EWS compromise, (4) Tentative de reprogrammation : TRITON tente de télécharger un programme "fail-open" dans les SIS Triconex, mais un bug dans le malware provoque un arrêt des SIS (protection intégrité matérielle du TS3000 détectant l'anomalie), (5) Découverte : l'arrêt non planifié des SIS déclenche une investigation qui révèle la présence de TRITON. Sans ce bug, les SIS auraient été reprogrammés silencieusement.

Contexte OT/ICS et séparation BPCS/SIS

La séparation physique et logique stricte des SIS du BPCS est la mesure de protection principale contre les Safety System Attacks : IEC 61511 clause 11.2 exige que le SIS soit indépendant du BPCS (séparation physique des équipements, séparation des réseaux de communication, séparation des sources d'alimentation). Dans les installations conformes, un attaquant qui compromet le BPCS ne peut pas physiquement accéder au réseau SIS pour modifier les programmes des Safety PLC. La mise en réseau du SIS pour la supervision à distance (même via des connexions "read-only" unidirectionnelles) doit être considérée avec la plus grande prudence car elle crée des chemins potentiels vers le réseau SIS.

Sécurité et mitigation

Protection des Safety Instrumented Systems contre les cyberattaques : maintenir la séparation physique stricte SIS/BPCS (auditer régulièrement les connexions entre les deux réseaux pour détecter les connexions non autorisées), utiliser des systèmes de transfert de données unidirectionnels (data diodes) si une supervision à distance des SIS est nécessaire, configurer les SIS en mode "Key Lock" physique (clé de programmation physique requise pour toute modification, empêchant la reprogrammation à distance), surveiller les Engineering Workstations SIS pour toute activité suspecte (logiciels non autorisés, connexions réseau inhabituelles), et inclure les scénarios de Safety System Attack dans les évaluations des risques OT et les exercices de cybersécurité.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis