Objets connectés et réseau isolé

Un attaquant qui a pris pied sur un réseau cherche d'abord ce qui s'y trouve. La base MITRE ATT&CK décrit cette étape : l'adversaire tente d'obtenir la liste des services qui tournent sur des machines distantes et sur les équipements du réseau local, y compris ceux qui pourraient être vulnérables à une exploitation à distance⁵. C'est là que la séparation des réseaux joue. La CISA décrit la segmentation comme un moyen d'empêcher un intrus de propager ses attaques ou de se déplacer latéralement dans un réseau interne. Sur un réseau mal segmenté, il peut étendre son emprise jusqu'à des équipements critiques ou des données sensibles³. Un réseau correctement séparé peut au contraire contenir l'incident et en réduire l'effet³.

Le NIST, côté fabricants, tient un programme dédié à la cybersécurité des objets connectés. Il y publie des recommandations pour les fabricants et pour les entreprises qui déploient ces objets⁶. L'ENISA a de son côté publié en novembre 2017 une étude de recommandations de sécurité de base pour l'Internet des objets⁷.

• Changez le mot de passe d'origine. Le NCSC demande de le changer si l'appareil en fournit un, et d'en choisir un solide, par exemple en combinant trois mots au hasard¹.
• Activez la vérification en deux étapes si l'objet ou son application la propose¹.
• Coupez l'accès à distance si vous n'avez pas besoin de joindre l'objet hors de votre Wi-Fi¹.
• Installez les mises à jour. Activez l'installation automatique si elle existe, et installez les mises à jour manuelles dès qu'elles sont proposées¹.
• Supprimez ce qui ne sert pas. La CISA recommande de désactiver les services inutiles, car les services et logiciels non utilisés peuvent créer des failles². Elle conseille aussi de désactiver UPnP quand il n'est pas nécessaire : selon elle, un logiciel malveillant présent dans le réseau peut s'en servir pour contourner le pare-feu du routeur².
• Désactivez la gestion à distance du routeur, qui permet de consulter et de modifier ses réglages depuis Internet².
• Séparez les éléments sensibles. La CISA recommande de les répartir dans des segments de réseau distincts³.
• Surveillez les connexions inconnues. La CISA suggère de repérer les appareils non autorisés qui rejoignent le réseau, à l'aide du site du fabricant du routeur².
• Avant de revendre ou de donner un objet, faites une réinitialisation d'usine, qui doit aussi effacer vos données personnelles¹.

Le premier piège est l'appareil livré avec un mot de passe partagé sur Internet. Au Royaume-Uni, une loi s'applique depuis le 29 avril 2024 : tous les objets connectés doivent respecter des exigences de base, dont l'indication de la date de fin de support, et les fabricants doivent s'assurer que les appareils ne sont pas livrés avec des mots de passe par défaut, qui peuvent facilement être partagés en ligne¹. Cette règle vaut pour le Royaume-Uni. Ailleurs, rien ne garantit que l'objet acheté a été prévu ainsi.

Le deuxième piège est l'achat d'un objet sans support. Le NCSC invite à voir la date de fin de support comme une date limite de consommation : passé ce délai, l'appareil est plus facile à pirater ou peut cesser de fonctionner¹. La CISA note de son côté que les fournisseurs d'accès ne remplacent pas toujours un équipement une fois qu'il n'est plus pris en charge par son fabricant³.

Le troisième piège est de croire que l'objet est sûr dès la sortie de la boîte. Les configurations d'usine sont souvent trop permissives, pensées pour faciliter l'installation et non pour la sécurité².

Le dernier piège est l'oubli. Une fois installés, beaucoup d'équipements ne sont pas maintenus au même niveau de sécurité que les ordinateurs, et les propriétaires les négligent aussi quand ils cherchent des intrus après une attaque³.