Intégrité de la chaîne d’approvisionnement

Cybersécurité de la chaîne d’approvisionnement : pourquoi elle compte

La résilience opérationnelle est une approche clé pour gérer les risques liés à toutes les menaces au sein d'une organisation. L'objectif ultime est de maintenir l'efficacité opérationnelle face aux attaques et perturbations de la chaîne d'approvisionnement, aux cyberattaques et aux perturbations commerciales causées par les risques naturels.

Discutez avec l’équipe et renseignez-vous sur les évaluations matérielles

De nombreuses organisations ont étendu leurs chaînes d’approvisionnement à l’échelle mondiale, y compris vers des pays manifestement hostiles, avec des composants, du matériel, des équipements, des logiciels et des ressources humaines exploités, fabriqués et sourcés dans le monde entier.

La mondialisation a offert de nombreuses opportunités de croissance et d’efficacité pour les entreprises, ainsi qu’une fragilité opérationnelle découlant de chaînes d’approvisionnement longues et complexes. Actuellement, l’environnement de sécurité mondial connaît des changements matériels, alimentés par un regain de compétition entre grandes puissances, qui contribue à accélérer les efforts de relocalisation des capacités et de la capacité de fabrication critiques.

De plus, le risque de cyberattaques contre la chaîne d’approvisionnement continue d’entraver la croissance et l’expansion des entreprises. En 2019, la chaîne d’approvisionnement numérique de SolarWinds a été compromise par des acteurs de la menace qui ont infecté un pipeline de mise à jour logicielle avec du code malveillant connu sous le nom de Sunburst. Au total, 18 000 clients ont initialement été considérés comme ayant installé une mise à jour malveillante ultérieure, publiée involontairement par l’entreprise. SolarWinds a ensuite révisé ce chiffre à environ 100 clients, y compris des organismes gouvernementaux tels que Microsoft, FireEye et Intel, soulignant les conséquences graves d’une chaîne d’approvisionnement non sécurisée.

Un autre événement notable en matière de sécurité de la chaîne d’approvisionnement survenu ces dernières années est connu sous le nom de Log4j, une vulnérabilité critique découverte dans le système de journalisation open source Apache Log4j, utilisé par d’innombrables systèmes et solutions logicielles basées sur Java dans le monde entier. À son pic en 2021, des chercheurs en sécurité ont enregistré plus de 10 millions de tentatives exploit par heure, mettant en péril la sécurité de centaines de millions d’appareils.

Plusieurs années plus tard, le risque pesant sur les chaînes d’approvisionnement numériques continue de tourmenter même les entreprises technologiques les plus en vue d’aujourd’hui. Récemment, Brad Smith, président de Microsoft, a été interrogé par des membres du Congrès au sujet de la compromission des comptes de messagerie Microsoft Exchange appartenant à des fonctionnaires du département d’État.

Le matériel peut également compromettre la stabilité des chaînes d’approvisionnement actuelles. Les pénuries de puces pendant et après la pandémie ont également démontré la fragilité des chaînes d’approvisionnement mondiales spécialisées, causant des problèmes de production pour d’innombrables entreprises et limitant les stocks disponibles pour les consommateurs. Les organisations doivent désormais également tenir compte des évolutions dans le secteur des semi-conducteurs, telles que la loi américaine de 2022 CHIPS Act, qui restreint le financement fédéral aux organisations de semi-conducteurs externalisant le développement vers certains pays.

Par exemple, depuis 2019, Huawei a été placée sur la liste noire du commerce américain. Ces restrictions ont été renforcées cette année, les fabricants de puces américains, dont Qualcomm et Intel, ne pouvant plus exporter ou vendre certains biens à Huawei. Des allégations affirment que Huawei a des liens avec l’armée chinoise.

Cependant, sécuriser la chaîne d’approvisionnement et garantir son intégrité de bout en bout a toujours été une tâche complexe et, dans certains cas, extrêmement difficile.

Les organisations doivent prendre en compte plus que les problèmes logiciels, les problèmes logistiques, le matériel contrefait ou défectueux et les menaces internes. Ces dernières années, IOActive a observé un changement de tactiques vers plus de sophistication, les entreprises cibles étant compromises indirectement via des exploitations en chaîne, telles que les fabricants en amont et les fournisseurs tiers.

La chaîne d’approvisionnement est un point d’entrée dans les réseaux d’entreprise que les acteurs de la menace, en masse, ciblent désormais.

Le maintien de l’intégrité de la chaîne d’approvisionnement exige des pratiques de sécurité robustes et dédiées à chaque maillon de la chaîne de valeur. Les fournisseurs, les éditeurs et leurs propres fournisseurs et éditeurs doivent également gagner et maintenir un niveau élevé de confiance. La moindre faille dans les opérations d’un tiers peut compromettre la sécurité de l’ensemble de la chaîne d’approvisionnement, dégradant l’intégrité et la confiance, perturbant les opérations et causant des dommages réputationnels.

Les chaînes d’approvisionnement actuelles doivent atteindre un état de résilience, fondé sur des racines de confiance au niveau du silicium et structurées de manière à mettre en œuvre la sécurité à chaque couche technologique et à chaque niveau de la chaîne d’approvisionnement.

C’est là que réside le défi. À mesure que les chaînes d’approvisionnement gagnent en taille et en complexité, le risque peut augmenter de manière exponentielle. Selon les estimations des analystes de McKinsey, une entreprise automobile entretient en moyenne des relations avec environ 250 fournisseurs de rang 1, mais ce nombre atteint environ 18 000 sur l’ensemble de la chaîne d’approvisionnement. À titre de comparaison, une entreprise technologique collabore avec environ 200 fournisseurs de rang 1, un chiffre qui monte à environ 12 000 sur l’ensemble des niveaux de la chaîne d’approvisionnement.

Peu d’entreprises révèlent exactement combien de fournisseurs elles ont, mais lorsque l’on considère que Walmart à lui seul exploite une chaîne d’approvisionnement comptant plus de 100 000 fournisseurs, on constate que la sécurité de la chaîne d’approvisionnement ne peut être assurée par une approche traditionnelle de la cybersécurité et de la gestion des risques.

IOActive adopte une approche unique fondée sur l’« état d’esprit de l’attaquant » en matière de sécurité et combine une recherche experte avec des techniques éprouvées pour protéger les chaînes d’approvisionnement modernes à tous les niveaux de la pile technologique, y compris au niveau du silicium. Dans ce guide, nous examinerons comment gérer les risques opérationnels des chaînes d’approvisionnement modernes et pourquoi la mise en œuvre d’un cadre secure-by-design est cruciale pour l’intégrité des chaînes d’approvisionnement aujourd’hui.

Sécurité de la chaîne d’approvisionnement, expliquée

Les chaînes d’approvisionnement sont constituées d’un réseau d’entités, notamment des fabricants, des entreprises, des distributeurs et des fournisseurs partenaires qui produisent des produits ou des services.

Ces chaînes, également décrites comme les étapes d’un réseau de production, sont désormais fortement influencées par la technologie et peuvent inclure tout, des composants physiques aux opérateurs humains, en passant par les technologies de nouvelle génération telles que l’automatisation et l’intelligence artificielle (AI).

Les produits physiques et les composants, y compris les processeurs et autres matériels informatiques critiques, sont fabriqués et circulent le long d’une chaîne d’approvisionnement, pour finalement atteindre les organisations utilisatrices finales ou les consommateurs. Les chaînes d’approvisionnement numériques sont similaires en ce sens que les cycles de vie du développement logiciel progressent à travers des étapes de développement, pouvant inclure des modifications de code et de configuration, avant d’être publiés aux licenciés et aux utilisateurs finaux.

Cependant, chaque maillon d’une chaîne de valeur – qu’il s’agisse de matériel, de logiciels ou de services – crée une surface d’attaque élargie. Les facteurs de risque incluent des composants obsolètes et vulnérables, du matériel contrefait ou falsifié, des menaces internes, zero-day ainsi que des vulnérabilités connues, non corrigées ou atténuées, et l’absence de communication ou d’établissement de normes de sécurité de base entre les partenaires de la chaîne d’approvisionnement.

Les organisations doivent maintenir la résilience et l'intégrité de leur chaîne d'approvisionnement tout en prévenant les perturbations opérationnelles. Pour obtenir les meilleurs résultats, les organisations doivent être en mesure de traiter les incidents rapidement afin de revenir aux niveaux et capacités opérationnels pré-crise.

L’urgence de mettre en œuvre des pratiques de sécurité robustes au sein de la chaîne d’approvisionnement et les risques modernes associés à la production de produits hautement intégrés et complexes n’ont pas passé inaperçues, mais il reste encore un long chemin à parcourir pour atteindre une véritable intégrité et résilience de la chaîne d’approvisionnement.

Selon une enquête et un rapport récents publiés par l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), 86 % des personnes interrogées mettent en œuvre des politiques de cybersécurité de la chaîne d’approvisionnement pour les technologies de l’information et de la communication (ICT) et les technologies opérationnelles (OT), mais moins de la moitié – 47 % – ont alloué des budgets aux activités associées.

Au total, 61 % des organisations impliquées dans les chaînes d’approvisionnement exigent une certification de sécurité de leurs fournisseurs, 43 % utilisent des services de notation de sécurité et 37 % déclarent effectuer une due diligence ou des évaluations des risques. Malheureusement, 9 % des répondants des organisations interrogées indiquent qu’ils n’évaluent pas les risques liés à la sécurité de leur chaîne d’approvisionnement.

Il est difficile d’établir des politiques de sécurité et des plans de réponse adaptés à la gestion des risques liés à la chaîne d’approvisionnement, car la compréhension des menaces de cybersécurité varie considérablement : Quand surviendront-elles ? D’où proviendront-elles ? Quelles seront les répercussions ? Quelles attaques sont possibles ?

Ces problèmes touchent tous les secteurs, y compris les infrastructures critiques, l’énergie, la fabrication, les télécommunications, la technologie, la logistique et les transports. Alors que l’économie actuelle repose sur la disponibilité en temps voulu des produits et services, une perturbation – telle qu’une pénurie de puces ou la fermeture d’un atelier d’usine à la suite d’une cyberattaque – peut avoir des conséquences considérables.

Au lieu de se concentrer uniquement sur des événements à fort impact mais à faible risque, tels que les attaques menées par des groupes de cyberattaques parrainés par des États, la plupart des organisations devraient aujourd’hui renforcer la résilience globale de leur chaîne d’approvisionnement en créant une base sécurisée à chaque étape de la production et de la distribution.

« Les attaques de la chaîne d’approvisionnement ne visent généralement pas la cible initiale. Elles consistent à exploiter cette cible initiale pour se déplacer latéralement à travers la chaîne d’approvisionnement. » John Sheehy, SVP, Research and Strategy chez IOActive

Une chaîne d’approvisionnement sécurisée doit placer la sécurité au cœur de ses priorités. Pour les entreprises modernes, cela signifie que la sécurité doit être prise en compte dès la couche la plus basse de la pile technologique, au niveau du silicium.

La mise en œuvre de mesures de sécurité au niveau des technologies de l’information (IT), des réseaux et des applications traditionnels ne suffit plus. Les attaques de la chaîne d’approvisionnement liées au matériel sont en hausse, notamment l’insertion de matériel contrefait dans les chaînes d’approvisionnement, le vol de propriété intellectuelle pour faciliter des attaques futures, ainsi que des cyberattaques basées sur le silicium, incluant le vol de données et la surveillance, des implants, des backdoors, et l’accès non autorisé d’individus aux actifs de l’entreprise.

Chez IOActive, nous savons qu’il est crucial de vérifier les composants et le matériel avant leur intégration dans une chaîne d’approvisionnement. Notre équipe dédiée à la sécurité du silicium aide les clients à comprendre les risques émergents liés aux attaques au niveau du silicium, et nous accompagnons les organisations légitimes dans l’évaluation des puces, des appareils et des systèmes afin d’améliorer la résilience globale de la chaîne d’approvisionnement.

Depuis plusieurs décennies, IOActive est à la pointe de la recherche en cybersécurité sur les systèmes matériels et embarqués, mobilisant son expertise pour affiner ses techniques d’attaque dans l’opérationnalisation de la défense de la chaîne d’approvisionnement et de la sécurité du silicium.

IOActive adopte un état d’esprit unique d’« attaquant » pour réaliser des attaques basées sur le silicium, incluant des activités white, gray et black-box qui contribuent à l’élaboration de modèles de menace personnalisés, précieux pour nos clients. Nos services incluent :

• Recherche et analyse
• Évaluation et validation des fonctionnalités de sécurité
• Extraction de données et de netlist (NVM)
• Échantillonnage des risques de la chaîne d’approvisionnement et modélisation des menaces
• Détection backdoor du matériel
• Assistance en matière de contrefaçon
• Évaluations des risques

La sécurité de la chaîne d’approvisionnement repose sur une conception et une mise en œuvre adéquates de la sécurité matérielle. La compréhension des puces, de leur architecture de sécurité et de leurs profils de risque permet de prendre des décisions commerciales éclairées concernant les fournisseurs, les partenariats, les initiatives commerciales et la protection de la propriété intellectuelle.

IOActive est spécialisé dans les évaluations de sécurité full-stack et peut évaluer la sécurité à tous les niveaux, depuis le silicium et le matériel jusqu’aux programmes, aux politiques et à la gouvernance, afin de fournir à nos clients une vision holistique de la résilience de leurs chaînes d’approvisionnement face à l’exploitation.

Pour en savoir plus sur nos services d’évaluation du silicium et de la pile complète, contactez-nous dès aujourd’hui.

Fiche technique des services de sécurité des semi-conducteurs

Comment les nouvelles réglementations sur les puces affectent la chaîne d'approvisionnement

Les menaces pesant sur le processus de fabrication font peser des risques sur les chaînes d’approvisionnement mondiales et ont, par conséquent, des répercussions sur l’espace politique. Les régulateurs du monde entier examinent les menaces posées par le matériel et les composants contrefaits introduits dans les chaînes d’approvisionnement, qui peuvent mettre en péril la sécurité nationale et la sécurité publique, ainsi que les dangers des cyberattaques.

Face aux tensions géopolitiques, qui impliquent nécessairement un déficit de confiance, et poussés par la volonté de stimuler la croissance économique nationale, de nombreux gouvernements tentent de rapatrier les éléments critiques de la chaîne d’approvisionnement au sein de leurs frontières grâce à des efforts de reshoring.

Un excellent exemple de cette initiative est la loi américaine CHIPS Act. Cette loi, entrée en vigueur en 2022, restreint le financement et les subventions fédéraux en interdisant aux organisations bénéficiaires du secteur des semi-conducteurs d’étendre leurs opérations dans tout pays considéré comme une « menace pour la sécurité nationale » des États-Unis. À ce jour, ces pays incluent la République populaire de Chine (RPC).

Une loi comparable est la CHIPS Act. Avec une estimation d’un billion de microprocesseurs fabriqués dans le monde en 2020 et une demande attendue en hausse de 100 % d’ici 2023, cette loi propose un cadre visant à renforcer la production de semi-conducteurs par les États membres de l’Union européenne (UE), à améliorer la résilience des chaînes d’approvisionnement et à réduire les dépendances extérieures aux technologies et composants critiques.

Entrée en vigueur en 2023, la Commission européenne indique que cette loi « renforcera la compétitivité et la résilience de l’Europe dans les technologies et applications des semi-conducteurs ».

Comment commencer à sécuriser votre chaîne d'approvisionnement

La sécurisation de la chaîne d’approvisionnement comporte des défis complexes, et la vérification complète de chaque composant, processeur, dispositif physique, fournisseur, élément de code source, ainsi que des processus de développement ou de distribution, est presque certainement impossible.

Cela ne signifie toutefois pas que nous sommes impuissants à renforcer la résilience des chaînes d’approvisionnement actuelles et à réduire le risque de perturbation opérationnelle – loin s’en faut.

La sécurisation de la chaîne d’approvisionnement est un processus continu plutôt que le résultat d’un audit ou d’un contrôle de vérification unique. Pour vous accompagner dans cette démarche, nous examinons ci-dessous les aspects les plus importants de la sécurisation de votre chaîne d’approvisionnement face aux menaces modernes.

Créer une base matérielle sécurisée

Ces dernières années, IOActive a constaté un changement dans les tactiques des cybercriminels. On observe désormais un intérêt malheureux pour la compromission du matériel afin de s’infiltrer dans les chaînes d’approvisionnement mondiales. Cela inclut le placement d’implants, de rootkits, de logiciels malveillants conçus pour cibler les systèmes embarqués, ainsi que l’exploitation de failles involontaires dans les composants informatiques et les configurations.

Alors que le secteur des semi-conducteurs continue de s’étendre et que l’importance opérationnelle des appareils grand public et professionnels augmente, garantir l’intégrité du hardware est crucial pour la sécurité de la chaîne d’approvisionnement.

Lorsque cela est possible, les chaînes d’approvisionnement doivent être conçues pour la sécurité, la résilience et l’intégrité, avec des évaluations réalisées sur une base adaptée au risque – soit par les organisations elles-mêmes, soit par des tiers de confiance – afin de vérifier les composants et de s’assurer que leurs performances et leurs résultats correspondent aux attentes.

Par ailleurs, les organisations doivent effectuer des contrôles firmware réguliers et orienter leurs stratégies de gestion des risques sur les enjeux plus larges de la qualité et de l'intégrité des composants, plutôt que sur les seuls événements à faible fréquence mais à fortes conséquences, tels que les risques d'attaques parrainées par des États. Open Compute Project (OCP) propose un cadre d'évaluation de la chaîne d'approvisionnement, OCP SAFE, qui constitue un excellent exemple d'approche éclairée pour gérer les risques liés au matériel et à l'intégrité firmware.

En savoir plus sur les services OCP S.A.F.E. IOActive

Logiciels : développer du code sécurisé

Si le matériel doit être au cœur de la véritable intégrité de la chaîne d’approvisionnement, nous ne devons pas négliger l’importance de la sécurité logicielle, car chaque niveau de la pile technologique doit être protégé contre les attaques.

Des défis existent en matière d'intégrité logicielle et de vérification, tels qu'un accès potentiellement limité au code source et à la propriété intellectuelle, mais nous disposons de nombreux outils évolutifs pour assister les revues et les évaluations tierces, y compris les revues de sécurité des binaires.

Les organisations doivent intégrer des contrôles de signature de code et de chiffrement, examiner les journaux de modifications des fournisseurs et s’assurer d’être informées de tout changement significatif apporté aux logiciels et aux mises à jour, qu’ils soient propriétaires ou open source.

Considérez le cycle de vie de développement sécurisé des produits (SDL)

Le cycle de vie sécurisé du développement des produits (SDL) est primordial pour sécuriser les chaînes d’approvisionnement logicielles.

Un SDL consiste à créer et à faire respecter un ensemble de pratiques pour garantir la qualité, la sécurité et la confidentialité à toutes les étapes du développement d’un produit. En cartographiant l’ensemble du processus de développement logiciel et en intégrant des contrôles, des audits et des revues à chaque étape, les organisations peuvent corriger les vulnérabilités, éliminer les vecteurs d’exploitation potentiels et renforcer la sécurité des produits avant leur déploiement.

Comme l’explique l’agence américaine de cybersécurité et de sécurité des infrastructures (CISA), SDL cadres définissent les procédures et les politiques en production, précisant comment et quand le développement, la vérification et la validation des produits auront lieu. Ils peuvent inclure des pratiques de codage sécurisé, des revues de code, des tests, des évaluations de vulnérabilités, des contrôles d’assurance qualité, ainsi que la manière dont des canaux de distribution et de déploiement sûrs seront établis et gérés. Un excellent exemple de cadre SDL normalisé pour un secteur d’activité vertical spécifique est SAEISO 21434, qui « inclut des exigences relatives aux processus de cybersécurité et un langage commun pour communiquer et gérer le risque de cybersécurité. »

Une réflexion sur l’IA

Il est également important de prendre en compte les changements que l’apprentissage automatique (ML) et l’intelligence artificielle (AI) apporteront inévitablement au processus SDL et à l’intégrité de la chaîne d’approvisionnement dans son ensemble.

L’IA, au-delà des assistants conversationnels et des modèles d’apprentissage automatique (ML) de base, pourrait devenir un outil précieux pour réduire le code non sécurisé. Toutefois, les organisations doivent dans le même temps examiner comment l’IA pourrait être utilisée à des fins malveillantes, par exemple pour faciliter la rédaction de malware conçu spécifiquement pour cibler certains composants ou logiciels, ce qui dépasserait les compétences de nombreux acteurs de la menace.

Par nature, les chaînes d’approvisionnement doivent être fluides et flexibles. Les technologies disruptives, notamment l’IA et d’autres technologies de nouvelle génération à l’horizon, pourraient transformer la fabrication et la distribution mondiales. En se concentrant sur la résilience et l’intégrité, les organisations se donnent la meilleure chance de surmonter toute future perturbation de leur efficacité opérationnelle.

Mises à jour du firmware pour produits physiques

Au cours de la dernière décennie, nous avons constaté un manque de pratiques de sécurité robustes concernant les mises à jour firmware des produits physiques, notamment l’absence de mises à jour sécurisées, de vérifications d’intégrité cryptographique fortes, de chiffrement firmware robuste pour résister à la rétro-ingénierie et de mises à jour inutilement retardées.

Alors que des milliards d’appareils sont désormais connectés dans le monde, dont beaucoup contiennent encore des identifiants codés en dur et sont fabriqués par des fournisseurs ne fournissant pas de processus de correctifs en temps opportun, l’examen de la firmware des produits physiques est crucial pour sécuriser la chaîne d’approvisionnement.

Comme indiqué dans un rapport de 2022 publié par les départements américains du Commerce et de la Sécurité intérieure, de nombreux OEM externalisent également firmware le développement à des tiers, ce qui « introduit des risques liés au manque de transparence concernant les normes de programmation et de cybersécurité des fournisseurs ».

Si la sécurité de certains produits physiques est limitée par les capacités des puces embarquées et les budgets énergétiques, firmware, comme les logiciels informatiques traditionnels, doit être protégé contre les cybermenaces par des mises à jour de sécurité régulières. Cela est d'autant plus vrai compte tenu des privilèges attribués à firmware, qui, entre de mauvaises mains, pourraient permettre de contourner les contrôles de sécurité.

Architecture des puces : pourquoi est-ce important ?

Alors que les appareils grand public et professionnels connaissent une croissance exponentielle, la gestion et la vérification des puces qui les alimentent sont essentielles pour garantir l'intégrité de la chaîne d'approvisionnement.

La sélection de la bonne architecture de puce et du bon fournisseur, éclairée par la réalisation de tests d’assurance de la sécurité, est nécessaire pour prévenir les problèmes susceptibles de perturber l’ensemble du processus de production et d’entraîner des répercussions réputationnelles consécutives, qu’ils concernent la chaîne d’approvisionnement logicielle ou la ligne de production industrielle.

Par exemple, si les puces contrefaites sont indistinguables des conceptions authentiques sans une assistance spécialisée, leur utilisation pourrait à terme entraîner des violations de données et/ou des défaillances matérielles. Comparativement, certaines architectures de puces peuvent contenir des failles de conception inhérentes susceptibles d’être exploitées par des acteurs de la menace.

Les organisations doivent également se tenir informées des évolutions réglementaires et de conformité dans le secteur des semi-conducteurs. Cela est particulièrement important à une époque où les gouvernements du monde entier encouragent le développement de puces sur leur territoire et introduisent des pénalités dans certains cas où la production de puces est délocalisée hors de leurs frontières.

Reversing the Chip : Minimiser les risques sur les routeurs, les commutateurs et le matériel contrefait

Les organisations doivent évaluer et valider de manière proactive le hardware, y compris les routeurs et les commutateurs, afin de minimiser les risques pesant sur leur chaîne d’approvisionnement.

La vérification des partenaires et des fabricants au sein de la chaîne d'approvisionnement peut également réduire considérablement le risque de perturbations opérationnelles, de problèmes techniques, de litiges juridiques et de dommages réputationnels.

Un exemple d’échecs de vérification du matériel aux conséquences catastrophiques a été mis en évidence par le FBI, qui a découvert des produits Cisco contrefaits fabriqués par des partenaires chinois et finalement intégrés à la chaîne d’approvisionnement militaire américaine.

Les fabricants de produits contrefaits pratiquent des prix inférieurs à ceux des produits authentiques, tandis que le crime organisé et des entités gouvernementales étrangères peuvent ajouter des implants malveillants, tels que du code ou des sous-routines dissimulées, dans des puces contrefaites.

Indépendamment des préoccupations relatives à la sécurité nationale, les équipements réseau, le matériel et les processeurs de qualité inférieure ou contrefaits entraînent souvent une instabilité au sein des produits authentiques, le fabricant légitime en subissant les conséquences et les coûts.

Détecter de telles compromissions au sein d’une chaîne d’approvisionnement peut s’avérer difficile, notamment lors de la due diligence au niveau du silicium. Cela nécessite un équipement spécialisé, l’extraction du microcode, les sources matérielles et des spécialistes qualifiés capables d’analyser les opérations du microprocesseur au plus profond niveau.

Toutefois, comme IOActive l’a démontré dans ses recherches et sa capacité à détecter les puces contrefaites dans la chaîne d’approvisionnement, des méthodes rentables permettent de réduire la surface d’attaque et d’améliorer la résilience et l’intégrité des chaînes d’approvisionnement actuelles.

Stratégies de sécurisation de la chaîne d'approvisionnement

Le paysage des menaces évolue en permanence et, avec lui, l’élaboration d’une chaîne d’approvisionnement fondée sur l’intégrité constitue le meilleur moyen d’atténuer le risque de compromission. On ne peut pas faire confiance à ce que l’on ne peut pas vérifier.

Les menaces et vulnérabilités non atténuées dans les chaînes d’approvisionnement logicielles, matérielles et de services représentent un risque important pour les organisations. Les acteurs de la cybermenace ont démontré qu’une chaîne d’approvisionnement n’est aussi solide que la sécurité de l’organisation la plus faible qui y participe.

À mesure que les organisations ont fait mûrir leurs opérations de cybersécurité et amélioré leur posture de sécurité, leur chaîne d'approvisionnement devient une cible plus pratique pour un acteur de menace hautement rationnel. Le matériel, firmware, les procédures opérationnelles, les fournisseurs ou les éléments humains offrent des cibles alléchantes à un acteur de menace confronté à une cible dotée d'une hygiène cyber solide, lui permettant d'exécuter sa séquence d'attaque pour s'infiltrer et se déplacer latéralement sur un réseau, et produire des effets consécutifs dans son sillage.

Selon l’étude Global Cybersecurity Outlook 2023 du Forum économique mondial, la majorité des dirigeants d’entreprise interrogés estiment que les acteurs des cybermenaces sont désormais plus susceptibles de se concentrer sur la perturbation des activités et les atteintes à la réputation. Par conséquent, les dirigeants actuels affirment que la résilience cyber est intégrée aux stratégies de gestion des risques d’entreprise de leur organisation.

La chaîne d’approvisionnement n’est pas exempte de ces préoccupations, et la résilience est nécessaire pour les combattre.

Les organisations doivent se concentrer sur la gestion prudente des risques et le maintien de l’efficacité opérationnelle lors des incidents de sécurité ou des perturbations de la chaîne d’approvisionnement afin d’atteindre une véritable résilience et une maturité en matière de sécurité.

IOActive recommande les étapes suivantes pour entamer votre parcours d'intégrité et de sécurité de la chaîne d'approvisionnement :

• Identifier les entités de votre chaîne d'approvisionnement, y compris les inventaires de produits, de composants, de bibliothèques logicielles et l'utilisation de firmware. L'utilisation de documents SBOM et de matériaux HBOM serait utile ici, et leur utilisation est soutenue par un décret exécutif de 2021 exécutif qui oblige les organisations fédérales à utiliser ces documents.
• Lancer un programme d'intégrité de la chaîne d'approvisionnement combinant confiance méritée et processus de vérification pour les partenaires, les fournisseurs et le matériel
• Collaborez avec des organisations partenaires pour renforcer la posture de sécurité de vos chaînes d’approvisionnement complètes et augmenter le coût technique et les conséquences pour les cyberattaquants désireux de les frapper
• Priorisez les évaluations techniques et des risques des zones à haut risque et à fort impact, telles que les attaques sur silicium et firmware, qui peuvent entraîner des compromissions complètes
• Créer des modèles de menaces pour énumérer et comprendre les vecteurs d’attaque, les risques et les conséquences, ainsi que des feuilles de route pour atteindre les niveaux de maturité de sécurité souhaités
• Réévaluez régulièrement les contrôles et les composants de la chaîne d'approvisionnement
• Soyez conscient des outils et vecteurs d’attaque de nouvelle génération susceptibles d’affecter l’intégrité et la sécurité de la chaîne d’approvisionnement, y compris l’intelligence artificielle.

« Inutile de chercher des implants d’État-nation malveillants si vous ne recherchez pas les problèmes de qualité ayant un impact sur la sécurité, tels que les contrefaçons. Il n’est pas nécessaire pour un acteur de la menace de recourir à une compromission lente, risquée et coûteuse de la chaîne d’approvisionnement si vous ne patchez pas vos serveurs. » John Sheehy, SVP, Recherche et Stratégie chez IOActive

Questions fréquemment posées