Dans la plupart des infrastructures industrielles et publiques (de transport, médicales, etc.), on trouve un serveur de temps. Son rôle est de distribuer une référence horaire commune à tous les équipements : automates, outils de supervision, périphériques réseau, postes informatiques, appareils d’imagerie médicale, etc. Tous s’appuient sur un serveur de temps pour horodater les échanges et les évènements dans leurs journaux de fonctionnement (logs). Cette dépendance est critique. Lorsque le serveur de temps n’est plus fonctionnel ou se trouve indisponible, l'horodatage de l'ensemble du système est erroné. Il devient alors impossible d’analyser les chaines d’évènements impactant les différents éléments. La traçabilité devient aléatoire et la conformité réglementaire qui en dépend n'est plus assurée. Mal sécurisé, le serveur de temps offre de surcroît une porte d'entrée aux attaques informatiques (par exemple les DDoS, l’invalidation de certificats ou le « brouillage » de logs).
De l’isolation à l’exposition
L’exposition des systèmes industriels à ce type d’attaques est une problématique en forte croissance. Il y a encore quelques années, les réseaux métiers étaient séparés physiquement de ceux de l’informatique de gestion. Ils bénéficiaient alors d’une forme de protection, puisque ces équipements étaient injoignables de l’extérieur, et donc naturellement résilients aux attaques distantes.
La connexion progressive des systèmes industriels, appelée l’OT (Operational Technology), à des réseaux informatiques globaux, permet une supervision à distance ainsi que de stocker l’information de manière robuste dans le cloud. Cette évolution ouvre néanmoins la porte à de nombreuses cyber attaques. Les systèmes industriels sont donc maintenant sujets aux mêmes menaces que l’informatique classique, sans avoir été conçus pour y résister. Sécuriser les équipements réseau, dont les serveurs de temps, devient alors impératif.
Protégez votre réseau des dérives horaires
Sécurisez votre infrastructure horaire grâce à une synchronisation stable et redondante, adaptée aux réseaux critiques.
La norme IEC 62443
Cette norme, composée de plusieurs parties, encadre les mesures de cybersécurité pour les systèmes d’automatisation et de contrôle industriel (ce que l’on appelle en anglais Industrial Automation and Control Systems, IACS). L’IEC 62443 a été élaborée par la Commission électrotechnique internationale (en anglais International Electrotechnical Commission, IEC) en partenariat avec l’International Society of Automation (ISA). Sa partie 4-2, publiée en 2019. Elle fixe les exigences techniques de sécurité applicables aux composants de ce type de système.
La réglementation elle-même légitime cette norme. En effet, la directive européenne NIS2 (Network and Information Security, version 2) impose à de nombreux secteurs essentiels des objectifs de cybersécurité précis, sans pour autant expliquer les moyens techniques à déployer pour y parvenir.
La norme IEC 62443 répond à ce besoin. Elle définit le cadre concret sur lequel s’appuyer pour répondre aux objectifs de la directive NIS2. Le futur schéma de certification européen des infrastructures industrielles devrait d’ailleurs se référer à ce texte. De plus, la NIS2 contraint chaque entreprise à sécuriser sa chaîne d’approvisionnement, c’est-à-dire ses fournisseurs, ce qui conduit à exiger des équipements eux-mêmes conformes à la norme. Il devient donc obligatoire, d’avoir uniquement des équipements conformes au sein de son réseau.
Le principe de fonctionnement de la norme IEC 62443 est assez simple. Cette norme structure un système en zones. Une zone est un regroupement d’équipements qui ont les mêmes besoins de sécurité. Ces zones communiquent entre elles via des conduits. À chaque zone est attribué un niveau de sécurité cible. Les niveaux de sécurité cible sont notés SL-T, pour Target Security Level, et sont gradués de SL1 à SL4 selon le niveau de sophistication des attaques dont on veut se prémunir.
Ce niveau est estimé en quantifiant le niveau de sept exigences fondamentales de la norme, à savoir : le contrôle de l’authentification, le contrôle des usages, l’intégrité, la confidentialité, la restriction des flux, la réponse aux événements et enfin la disponibilité des ressources.
Un composant du système sera caractérisé par sa capacité à atteindre le niveau de sécurité cible, noté SL-C, pour Capability Security Level. Pour qu’une zone atteigne l’objectif, les composants qu’elle contient doivent tous présenter un SL-C au moins égal au SL-T sur chaque exigence.
Le serveur de temps, un composant réseau à sécuriser
La partie 4-2 de la norme IEC 62443 distingue quatre catégories de composants : les équipements embarqués, les hôtes, les applications logicielles et les équipements réseau.
Un serveur de temps fait partie de la catégorie des équipements réseau. Il doit satisfaire aux exigences requises par sa catégorie et au niveau de la zone dans laquelle il se trouve.
Sur les exigences d’authentification et de contrôle des usages, cela impose par exemple une identification individuelle des comptes d’administration et une restriction des actions selon le rôle attribué à chaque personne sur ces comptes d’administration. Sur l’intégrité, une vérification du micrologiciel et des mises à jour du serveur de temps est indispensable. Il faut également que le serveur de temps enregistre ses propres événements de sécurité dans des logs. A noter, un serveur de temps administrable par un compte partagé et sans traçabilité aura toujours un SL-C faible et diminuera le niveau de toute la zone qui l’héberge.
Dans la liste des exigences fondamentales précédemment indiquées, l’une d’elles requiert une attention particulière : la disponibilité de la ressource.
Dans l’informatique de gestion, on dit souvent que la confidentialité est l’exigence la plus importante, mais dans l’OT, c’est la disponibilité qui prime. En effet, un système de contrôle industriel doit toujours continuer à fonctionner. L’exigence de disponibilité des ressources demande notamment qu’un composant résiste à un déni de service et maintienne ses fonctions essentielles, quoi qu’il arrive. Pour un serveur de temps, cette disponibilité repose sur deux mécanismes. En premier sa source de temps : lorsque le signal GNSS (satellitaire) est perdu, l’oscillateur interne, assure la continuité de service, en prenant le relais en maintenant la distribution horaire, dans l’attente du retour du signal. C’est ce que l’on appelle le holdover. En second la redondance : lorsque le serveur tombe lui-même en panne, une architecture redondante (intégrant un deuxième serveur de temps), évite l’interruption d’une distribution horaire de référence.
L’horodatage des logs, une exigence nommée CR 2.11
Le serveur de temps n’est pas un composant du système comme les autres. Il remplit une mission très spécifique encadrée par la norme IEC 62443. En effet, cette dernière demande à chaque équipement d’horodater ses logs au titre de l’exigence CR 2.11 (pour Component Requirement). Cette exigence comporte deux prérequis indispensables : la synchronisation horaire interne au réseau, et la protection de l’intégrité de sa source horaire de référence.
Un composant du système ne peut satisfaire seul ni l’un ni l’autre. Pour cela, il faut une source temporelle interne. C’est le rôle d’un serveur de temps local qui est intégré à l’infrastructure réseau, à contrario d’un serveur de temps public. De plus, pour améliorer l’intégrité de son signal horaire, un le serveur de temps peut utiliser des protocoles sécurisés comme le NTS (Network Time Security), défini par la RFC 8915. La présence d’un serveur de temps dans le réseau est donc une condition indispensable à la conformité à l’exigence CR 2.11.
Comment choisir un serveur de temps conforme
La conformité à la norme IEC 62443-4-2 peut être déclarée par le fabricant ou vérifiée par un tiers. Dans le premier cas, il s’agit uniquement d’un aspect déclaratif. Dans le second cas, c’est le schéma ISA Secure CSA (Component Security Assurance) qui atteste qu’un composant a été évalué par un tiers indépendant, pour un certain niveau de sécurité.
Une certification indépendante garantit le respect de la conformité normative. Elle prend tout son sens quand l’entreprise est elle-même soumise à une obligation de conformité. Elle doit alors s’assurer que les équipements qu’elle installe sont eux aussi en règle. Une conformité vérifiée par un tiers est bien plus solide qu’une simple déclaration du fabricant. Sur une zone où un niveau de sécurité attendu est élevé, cette distinction devient un critère de sélection important.
A noter également que le choix d’un serveur de temps se fait sur deux critères. Le premier étant la qualité intrinsèque de la distribution du signal horaire. Plusieurs points sont en jeu : quelle référence horaire l’antenne GNSS se réfère-t-elle ? quelle est qualité de l’oscillateur et le niveau de précision du holdover pour assurer une disponibilité continue de l’heure en cas de perte du signal satellite ? Enfin, quel est le protocole de distribution horaire du réseau : PTP, NTP ou NTS ? Ce dernier ajoutant une protection supplémentaire contre la falsification.
Le second critère est la robustesse aux cyber attaques, en s’assurant que le serveur impose une authentification individuelle des utilisateurs. Il doit pouvoir gérer des droits selon le rôle de chacun, vérifier sa propre intégrité, enregistrer des journaux d’événements de sécurité, résister aux tentatives de mise hors service et garantir le niveau de sécurité qu’il annonce.
