Des millions de personnes pourraient soudainement perdre de l'électricité si une attaque de ransomware modifiait légèrement le flux d'énergie vers le réseau électrique américain.

Aucune entreprise de services publics d'électricité n'a suffisamment de ressources pour protéger l'ensemble du réseau, mais peut-être que les 3 000 services publics du réseau pourraient combler les lacunes de sécurité les plus cruciales s'il existait une carte indiquant où hiérarchiser leurs investissements en matière de sécurité.

Les chercheurs de l'Université Purdue ont développé un algorithme pour créer cette carte. À l'aide de cet outil, les autorités de régulation ou les compagnies d'assurance cyber pourraient établir un cadre qui guide les investissements de sécurité des compagnies d'électricité vers les parties du réseau les plus susceptibles de provoquer une panne en cas de piratage.

Les réseaux électriques sont un type d'infrastructure critique, c'est-à-dire tout réseau - qu'il soit physique comme les systèmes d'eau ou virtuel comme la tenue des dossiers de santé - considéré comme essentiel au fonctionnement et à la sécurité d'un pays. Les plus grandes attaques de ransomware de l'histoire se sont produites au cours de l'année écoulée, affectant la plupart des secteurs d'infrastructures critiques aux États-Unis, tels que les systèmes de distribution de céréales dans le secteur de l'alimentation et de l'agriculture et le Colonial Pipeline, qui transporte du carburant sur toute la côte Est.

Avec cette tendance à l'esprit, les chercheurs de Purdue ont évalué l'algorithme dans le contexte de divers types d'infrastructures critiques en plus du secteur de l'énergie. L'objectif est que l'algorithme aide à sécuriser tout système d'infrastructure vaste et complexe contre les cyberattaques.

"Plusieurs entreprises possèdent différentes parties de l'infrastructure. Lorsqu'un rançongiciel frappe, il affecte de nombreux éléments technologiques différents appartenant à différents fournisseurs, c'est donc ce qui fait du rançongiciel un problème au niveau de l'État, national et même mondial", a déclaré Saurabh Bagchi, un professeur. à la Elmore Family School of Electrical and Computer Engineering et au Centre for Education and Research in Information Assurance and Security de Purdue. "Lorsque vous investissez de l'argent pour la sécurité dans des infrastructures à grande échelle, de mauvaises décisions d'investissement peuvent entraîner une panne de votre réseau électrique ou de votre réseau de télécommunications pendant quelques jours."

Protéger l'infrastructure contre les piratages en améliorant les décisions d'investissement dans la sécurité

Les chercheurs ont testé l'algorithme dans des simulations de piratages signalés précédemment sur quatre systèmes d'infrastructure :un réseau intelligent, un système de contrôle industriel, une plate-forme de commerce électronique et un réseau de télécommunications basé sur le Web. Ils ont constaté que l'utilisation de cet algorithme se traduit par l'allocation la plus optimale des investissements de sécurité pour réduire l'impact d'une cyberattaque.

Les conclusions de l'équipe apparaissent dans un article présenté au Symposium IEEE sur la sécurité et la confidentialité de cette année. , la première conférence dans le domaine de la sécurité informatique. L'équipe comprend les professeurs Purdue Shreyas Sundaram et Timothy Cason et l'ancien Ph.D. étudiants Mustafa Abdallah et Daniel Woods.

"Personne n'a un budget de sécurité infini. Vous devez décider combien investir dans chacun de vos actifs afin d'améliorer la sécurité de l'ensemble du système", a déclaré Bagchi.

Le réseau électrique, par exemple, est tellement interconnecté que les décisions de sécurité d'une compagnie d'électricité peuvent avoir un impact considérable sur les opérations d'autres centrales électriques. Si les ordinateurs contrôlant les générateurs d'une zone ne disposent pas d'une protection de sécurité adéquate, un piratage de ces ordinateurs perturberait le flux d'énergie vers les générateurs d'une autre zone, les forçant à s'arrêter.

Étant donné que tous les services publics du réseau n'ont pas le même budget de sécurité, il peut être difficile de s'assurer que les points d'entrée critiques des contrôles du réseau obtiennent le plus d'investissements dans la protection de la sécurité.

L'algorithme développé par les chercheurs de Purdue inciterait chaque décideur en matière de sécurité à allouer les investissements de sécurité de manière à limiter les dommages cumulés qu'une attaque de ransomware pourrait causer. Une attaque contre un seul générateur, par exemple, aurait moins d'impact qu'une attaque contre les commandes d'un réseau de générateurs. Les compagnies d'électricité seraient incitées à investir davantage dans des mesures de sécurité pour les contrôles d'un réseau de générateurs plutôt que pour la protection d'un seul générateur.

Construire un algorithme qui tient compte des effets du comportement humain

Les recherches de Bagchi montrent comment accroître la cybersécurité de manière à tenir compte de la nature interconnectée des infrastructures critiques, sans nécessiter la mise en œuvre d'une refonte de l'ensemble du système d'infrastructure.

En tant que directeur du Center for Resilient Infrastructures, Systems, and Processes de Purdue, Bagchi a travaillé avec le département américain de la Défense, Northrop Grumman Corp., Intel Corp., Adobe Inc., Google LLC et IBM Corp. pour adopter des solutions issues de ses recherches. Les travaux de Bagchi ont révélé les avantages de la mise en place d'une réponse automatique aux attaques et ont conduit à des innovations clés contre les menaces de ransomware, telles que des moyens plus efficaces de prendre des décisions concernant la sauvegarde des données.

Il y a une raison impérieuse pour laquelle inciter à de bonnes décisions en matière de sécurité fonctionnerait, a déclaré Bagchi. Lui et son équipe ont conçu l'algorithme sur la base des découvertes du domaine de l'économie comportementale, qui étudie la façon dont les gens prennent des décisions avec de l'argent.

"Avant notre travail, peu de recherches sur la sécurité informatique avaient été menées sur la manière dont les comportements et les biais affectent les meilleurs mécanismes de défense d'un système. C'est en partie parce que les humains sont terribles pour évaluer les risques et qu'un algorithme n'a pas de biais humains", a déclaré Bagchi. . "Mais pour tout système d'une complexité raisonnable, les décisions concernant les investissements en matière de sécurité sont presque toujours prises avec des humains dans la boucle. Pour notre algorithme, nous considérons explicitement le fait que différents participants à un système d'infrastructure ont des biais différents."

Pour développer l'algorithme, l'équipe de Bagchi a commencé par jouer à un jeu. Ils ont mené une série d'expériences analysant comment des groupes d'étudiants ont choisi de protéger de faux actifs avec de faux investissements. Comme dans les études précédentes en économie comportementale, ils ont constaté que la plupart des participants à l'étude devinaient mal quels actifs étaient les plus précieux et devaient être protégés contre les attaques de sécurité. La plupart des participants à l'étude avaient également tendance à répartir leurs investissements au lieu de les allouer à un actif, même lorsqu'on leur disait quel actif était le plus vulnérable à une attaque.

À l'aide de ces résultats, les chercheurs ont conçu un algorithme qui pourrait fonctionner de deux manières :soit les décideurs en matière de sécurité paient une taxe ou une amende lorsqu'ils prennent des décisions qui ne sont pas optimales pour la sécurité globale du système, soit les décideurs en matière de sécurité reçoivent un paiement pour investir. de la manière la plus optimale.

"À l'heure actuelle, des amendes sont imposées en tant que mesure réactive en cas d'incident de sécurité. Les amendes ou les taxes n'ont aucun lien avec les investissements de sécurité ou les données des différents opérateurs dans les infrastructures critiques", a déclaré Bagchi.

Dans les simulations des chercheurs des systèmes d'infrastructure du monde réel, l'algorithme a réussi à minimiser la probabilité de perdre des actifs à une attaque qui diminuerait la sécurité globale du système d'infrastructure.

La recherche a été publiée dans les actes du 2022 IEEE Symposium on Security and Privacy (SP) . + Explorer plus loin

Une nouvelle technologie de sécurité surveille la consommation d'énergie pour détecter les signes avant-coureurs de cyberattaques