Vulnérabilités publiées des équipements maritimes

Suivre les vulnérabilités des systèmes d’information à protéger fait partie du métier de RSSI (responsable de la sécurité des systèmes d’information). Dans l’écosystème maritime (port, armateur, chantier naval), le RSSI suit les vulnérabilités officielles de ces systèmes, les CVE (Common Vulnerabilities and Exposures), pour les connaître et les réduire. Un armateur suit de l’IT (Information Technology) et de l’OT (Operational Technology), y compris des systèmes propres au maritime. Seul le RSSI connaît assez son parc pour savoir s’il doit surveiller Hirschmann, Moxa ou les deux.

L’inventaire complet du parc informatique relève de la gestion de configuration du système d’information : fabricants à suivre, versions, systèmes, sites géographiques. Il désigne chaque équipement vulnérable à quiconque le lit. Le saisir dans un service en ligne tiers en livre l’intégralité à une entreprise extérieure. Je le déconseille par principe, sauf à avoir pleinement confiance dans ce tiers.

Fort heureusement, il existe des outils dont le code est public et qui s’auto-hébergent. Dans OpenCVE, on déclare les fabricants et les produits de son parc, rangés par projet, et l’outil envoie un courriel quand une CVE en touche un, avec des filtres sur la gravité et sur l’exploitation connue. Chaque CVE peut être confiée à un responsable, et l’équipe suit son traitement jusqu’à la correction. Il s’installe sur ses propres serveurs. Vulnerability-Lookup, développé par le CIRCL (Computer Incident Response Center Luxembourg), indique ce que l’on sait d’une CVE : il rapproche plus de 100 sources, dont la base NVD (National Vulnerability Database) et les avis des constructeurs, et signale d’après les observations des utilisateurs si la faille est exploitée ou corrigée. Une API (Application Programming Interface) permet de l’interroger depuis ses propres outils. Le CIRCL en tient une instance publique, où le RSSI qui déclare une liste de surveillance confie son parc au CIRCL. Contribuer à l’un d’eux vaut mieux que développer un énième outil. Pour suivre un parc, OpenCVE installé sur sa propre infrastructure est aujourd’hui l’une des meilleures solutions : l’inventaire reste chez soi.

Dans les années à venir, les CVE à suivre vont se multiplier. La communauté cyber maritime se renforce et l’intelligence artificielle sert à découvrir des vulnérabilités, alors que peu d’équipements OT, matériels ou logiciels, ont encore été examinés par un spécialiste de la cybersécurité. Les corrections seront plus difficiles, car un équipement OT reste en service des décennies et chaque modification exige une nouvelle certification. Des navires navigueront donc avec des équipements vulnérables.

Le risque d’une CVE dépend du chemin d’attaque jusqu’à l’équipement, et la version 4 du score CVSS (Common Vulnerability Scoring System) intègre cette exposition. Un RSSI peut donc dormir à peu près tranquille avec de nombreuses CVE sur ses systèmes, tant qu’aucune n’est exploitable depuis son réseau. La plupart des CVE ont fait l’objet d’une divulgation responsable (responsible disclosure) et d’un correctif publié par le fabricant concerné. Ce correctif doit encore être applicable sur l’équipement, puis effectivement appliqué, ce que le RSSI ne peut souvent pas faire. Pour chaque CVE, le RSSI vérifie l’état du correctif et relève la version installée chez soi.

Cette liste réunit les 118 CVE publiées dans la NVD qui touchent des équipements maritimes, la plus ancienne le 04/02/2010.

Elle se télécharge en CSV et en JSON.

Les techniques relevées dans les incidents figurent dans la matrice des techniques.

Fabricants

Ces 118 CVE se répartissent entre 21 fabricants d’équipements maritimes. Les CVE publiées sans nom de fabricant, ou pour des bibliothèques libres, figurent en fin de tableau.

Toutes les CVE