Tests de pénétration IoT

Obtenir une démo

Les appareils IoT peuvent-ils être utilisés pour des cyberattaques?

Les attaquants ont tendance à cibler la masse, par exemple lors d’attaques par déni de service distribué (DDOS), où des milliers d’e-mails ou de requêtes sont envoyés à un serveur afin de le ralentir ou de le désactiver complètement. À l’avenir, nous pourrions thus être confrontés à des situations où les hackers chercheront à «saturer» autant de machines que possible, dans l’espoir que certaines d’entre elles ne fonctionnent plus correctement.

Vous souhaitez approfondir vos connaissances sur tous les aspects modernes des tests de pénétration IoT?
Lisez attentivement cet article et ajoutez-le à vos favoris pour y revenir plus tard, nous mettons régulièrement cette page à jour.

Une fois qu’il a accédé à un serveur Internet des objets (IoT), un attaquant peut utiliser les appareils à ses propres fins, pour extorsion ou exploration de données en vue d’attaques ultérieures sur le réseau, entraînant des conséquences plus graves et plus dangereuses. C’est peut-être la raison pour laquelle les gouvernements discutent des dangers potentiels de l’Internet des objets liés aux cyberattaques.

Il y a plusieurs années, la CIA a identifié une menace provenant d’un réfrigérateur intelligent utilisé dans le cadre d’un botnet pour mener une attaque DDOS ! Et tout cela s’est produit complètement à l’insu du propriétaire de ce réfrigérateur, qui ignorait que son appareil connecté pouvait commettre des actions nuisibles, hormis refroidir et conserver les aliments. Drôle, mais vrai.

L'étude de Gartner souligne que les cyberattaques ciblant l'Internet of Things sont devenues une réalité. Environ 20 % des organisations interrogées par Gartner ont fait face à ces menaces entre 2015 et 2018. Selon Ruggero Contu, analyste chez Gartner, lors du déploiement de l'Internet of Things, les entreprises accordent souvent peu d'attention aux logiciels ainsi qu'à leurs fonctionnalités.

La sécurité de l'IoT devient une priorité commerciale et la mise en œuvre des meilleures pratiques et outils de cybersécurité est déjà prise en compte lors de la planification de l'IoT. Selon les experts, le principal moteur de la croissance du marché considéré est la demande d'outils et de services qui améliorent la détection des menaces et la gestion des actifs, évaluent la sécurité des équipements et des logiciels, ainsi que les tests de protection des systèmes IoT contre les accès non autorisés. Gartner prévoit que ces facteurs porteront les dépenses en matière de sécurité de l'IoT à 3,1 milliards de dollars en 2021.

Qu'est-ce que le test d'intrusion IoT?

Les tests de pénétration IoT sont menés afin de résoudre le problème de l'utilisation de l'Internet des objets (IoT) pour pénétrer les systèmes informatiques. L'Internet des objets se développe activement à l'échelle mondiale et est à l'aube d'une explosion de croissance. Cela est facilité par des facteurs tels que les réseaux 5G, l'Industry 4.0 ou la Quatrième Révolution Industrielle, ainsi que l'augmentation des capacités de calcul des microprocesseurs.

Les maisons intelligentes, les entreprises intelligentes et le segment industriel des appareils IoT présentent des problèmes de mise en œuvre similaires, notamment l’absence de normes uniformes, y compris les normes de documentation, des descriptions de qualité des protocoles, le coût élevé de la sécurité, le manque de ressources en microprocesseurs pour une mise en œuvre de qualité du cryptage, de l’authentification et autres.

Menaces que les tests de pénétration IoT peuvent aider à éliminer

Traditionnellement, on considérait que les appareils embarqués fonctionnaient de manière autonome et n'étaient pas connectés à Internet, ce qui signifie qu'ils n'avaient pas vraiment besoin d'une protection fiable. Cependant, la transformation numérique et l'Internet des objets ont fondamentalement changé la donne. Désormais, tous les composants sont interconnectés et nécessitent une protection complète contre toutes les menaces, notamment:

• Vol et utilisation d'informations confidentielles et d'identifiants d'utilisateurs
• Exploitation des vulnérabilités des applications
• Accès à distance et attaques via des appareils mobiles
• Attaques par ransomware
• Installation de firmware non autorisé
• Interception de données et attaques de type «man-in-the-middle»

Selon le principe de la sécurité de l'information de bout en bout, la cybersécurité doit être mise en place dès le début du développement d'un produit ou d'un service et maintenue jusqu'à la fin de son cycle de vie. Les chercheurs se concentrent à la fois sur les problèmes rencontrés par les propriétaires d'appareils et sur ceux rencontrés par les développeurs. Ainsi, dès le début de l'utilisation, l'utilisateur doit impérativement remplacer le mot de passe par défaut par son mot de passe personnel, car les mots de passe d'usine sont généralement les mêmes sur tous les appareils. Malheureusement, tout le monde ne le fait pas. Étant donné que tous les appareils ne disposent pas de fonctions de sécurité intégrées, les propriétaires doivent également veiller à installer un logiciel antivirus externe à usage domestique afin que les appareils connectés à Internet ne deviennent pas des portes ouvertes vers le réseau domestique.

Environ deux tiers des appareils analysés ne cryptent pas le trafic sans fil. Les experts ont considéré que l'interface web de plus de la moitié des appareils était insécurisée en raison d'une organisation inadéquate de l'accès et des risques élevés de cross-site scripting. La plupart des appareils possèdent des mots de passe insuffisamment robustes. En outre, plus de 90 % des appareils collectent un certain type d'informations personnelles sur leur propriétaire.

Au total, les experts ont recensé environ 25 vulnérabilités différentes dans chacun des appareils étudiés et leurs composants mobiles et cloud. La conclusion des experts est décevante: un écosystème IoT suffisamment sécurisé n’existe pas encore. Les appareils IoT sont particulièrement dangereux dans le contexte de la propagation des attaques ciblées (APT).

Dans l'IoT, les hackers ont de nombreuses opportunités d'attaque. La plupart des vulnérabilités sont liées à l'insécurité globale de l'écosystème IoT:

• normalisation de l'architecture et des protocoles, certification des appareils ;
• En exploitant la faiblesse d’un seul gadget, un pirate informatique peut facilement accéder à l’ensemble du réseau.
• alimentation électrique du capteur ;
• utilisation de logiciels non sécurisés ;
• comptes standard du fabricant, authentification faible ;
• Manque de soutien de la part du fabricant pour éliminer les vulnérabilités ;
• Transition vers IPv6 ;
• il est difficile ou impossible de mettre à jour les logiciels et les systèmes d'exploitation ;
• en utilisant des protocoles texte et des ports ouverts inutiles ;
• utilisation de technologies mobiles non protégées ;
• Utilisation d'une infrastructure cloud non sécurisée.

Les tests de pénétration IoT garantissent-ils une sécurité totale des appareils?

Tous les appareils IoT sont potentiellement vulnérables aux attaques. Un hacker peut librement acheter tout appareil qui l'intéresse et étudier son système de sécurité. Contrairement aux serveurs conventionnels, qui sont généralement attaqués à distance et disposent d'un système de sécurité spécialisé, les appareils IoT sont plus exposés aux accès non autorisés.

L’utilisation généralisée de ces appareils signifie que si l’un d’eux est compromis, le fabricant ne pourra pas rappeler rapidement tous les appareils ou améliorer leur sécurité. De plus, les pirates peuvent pénétrer dans tout le réseau à travers un seul appareil. Ainsi, un seul appareil permet un accès non autorisé à un large éventail de données confidentielles – des coordonnées bancaires aux dossiers médicaux, voire à des informations importantes d’entreprise, étant donné que de nombreuses personnes utilisent les mêmes appareils à la maison et au travail.

Par conséquent, la solution la plus sûre serait d'utiliser asset discovery, afin de ne pas manquer aucune vulnérabilité potentielle des appareils connectés à votre réseau.

Ressources supplémentaires

• En savoir plus sur la gestion des surfaces d'attaque basée sur l'IA avec ImmuniWeb^® Discovery
• En savoir plus sur les tests de pénétration des applications basés sur l'IA avec ImmuniWeb
• En savoir plus sur les opportunités du programme de partenariat ImmuniWeb
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp