Narrateur : Dans cette
leçon, nous allons parler des systèmes existants.
Qu'est-ce qu'un système patrimonial ?
J'aime à considérer un système patrimonial
comme quelque chose d'ancien.
Il s'agit d'un système informatique qui n'est plus pris
en charge par son fournisseur et qui ne peut donc plus bénéficier
de mises à jour et de correctifs de sécurité.
Par exemple, si vous travaillez dans une
usine de fabrication, il se peut qu'un système
essentiel à vos opérations ait 20 ou 30 ans et que la personne qui
l'a fabriqué ne soit plus en activité.
Vous ne recevrez plus de mises
à jour de sécurité ou de correctifs pour cet appareil,
mais il fonctionne toujours, et son remplacement
pourrait vous coûter des millions de dollars.
Que faire alors ?
Il ne s'agit pas de le patcher, mais de trouver
des contrôles compensatoires, par exemple
en l'isolant sur son propre réseau, afin de s'assurer que le système
puisse continuer à fonctionner et à faire fonctionner
l'entreprise.
Ainsi, lorsque nous avons affaire à des systèmes patrimoniaux,
il s'agit d'anciens systèmes
qui ne sont plus pris en charge.
Un bon exemple en est donné par les réseaux
ICS et SCADA, dont la plupart des éléments
sont obsolètes et continuent d'être exploités.
Par exemple, beaucoup d'entre eux fonctionnent encore sous Windows XP.
Au moment où je filme, nous sommes déjà dans
les années 2020, et pourtant on parle encore de Windows XP, qui
est sorti en 2001.
Pourquoi ?
Parce que Windows XP est toujours utilisé aujourd'hui,
même s'il est en fin de vie, même
s'il est en fin de service, les gens l'utilisent
encore dans ces systèmes hérités.
La raison en est qu'il est trop coûteux
ou trop difficile de l'extraire de ces réseaux.
En tant qu'analystes de la sécurité, nous devons donc identifier ces systèmes
existants et mettre en place des mesures d'atténuation afin
de pouvoir continuer à les exploiter.
Il s'agit par exemple de s'assurer que ces systèmes
ne sont pas connectés à l'internet.
Nous voulons au contraire nous assurer que nous
disposons de couches de sécurité supplémentaires.
Nous voulons mettre en place un pare-feu.
Nous voulons disposer d'une segmentation et d'autres éléments
de ce type pour minimiser les risques liés à ces systèmes hérités.
D'autre part, nous avons une autre catégorie de
systèmes qui ne sont souvent pas bien soutenus,
et il s'agit des systèmes propriétaires.
Les systèmes propriétaires sont des systèmes qui appartiennent
à leur développeur ou à leur vendeur et pour lesquels l'absence de soutien de la part
du vendeur peut être un obstacle à votre remédiation.
Qu'est-ce que je veux dire par là ?
J'ai quelques systèmes propriétaires dans mon entreprise.
Il s'agit d'un logiciel particulier que nous avons fait
coder par un développeur.
Aujourd'hui, il s'agit d'une société tierce, et si
nous avons besoin de mises à jour et de mesures de sécurité, nous devons
à nouveau passer un contrat avec elle pour qu'elle prenne en charge
le système, car nous la payons et elle répare le système.
Il s'agit là d'un exemple simple de système propriétaire, mais
il en existe d'autres plus importants.
Par exemple, le ministère américain de la défense
possède de nombreux systèmes propriétaires,
et personne ne peut acheter
un F16 ou un char d'assaut Abrams.
Ils ont tous des systèmes différents
qui ont été conçus spécifiquement à cette fin, et ils ne peuvent
donc pas aller voir Microsoft et lui dire : "Hé,
donne-moi un correctif pour un char Abrams". Au lieu de cela, ils doivent s'adresser au fournisseur
d'origine et, en fonction du contrat conclu avec
ce dernier, ils peuvent obtenir des mises à jour
mensuelles, semestrielles ou annuelles, ou encore
des mises à jour en fonction des besoins.
En effet, si vous avez un cycle de six mois
et que vous identifiez une vulnérabilité
aujourd'hui, cela peut prendre
six mois pour coder un correctif
et vous l'envoyer.
Il s'agit donc de questions auxquelles il
faut penser lorsque l'on a affaire à des systèmes propriétaires.