Avertissement IoT : les pirates accèdent aux appareils UPS. Voici comment protéger le vôtre

Modifiez les paramètres de nom d’utilisateur et de mot de passe par défaut sur vos unités d’alimentation sans coupure (UPS) connectées à Internet, a averti le gouvernement américain.

Les onduleurs sont destinés à fournir une alimentation de secours pour maintenir les appareils, les appareils et les applications connectés à Internet en fournissant une alimentation hors réseau à des endroits comme un centre de données pendant une panne de courant. Mais les pirates ont ciblé les onduleurs connectés à Internet pour perturber l’alimentation de secours.

La Cybersecurity and Infrastructure Security Agency (CISA) et le Department of Energy (DOE) ont déclaré qu’ils “sont conscients que des acteurs de la menace accèdent à une variété d’appareils d’alimentation sans interruption (UPS) connectés à Internet”.

VOIR: Ce type de phishing sournois se développe rapidement car les pirates voient de gros gains

Comment? Comme beaucoup Appareils Internet des objets (IoT), tels que les routeurs et les systèmes d’éclairage intelligents, ils obtiennent un accès “souvent via des noms d’utilisateur et des mots de passe par défaut inchangés”. Le risque de ne pas modifier les informations d’identification par défaut dans les appareils IoT et les appareils ne sont pas nouveaux. C’est aussi un problème qui rappelle aux administrateurs l’importance des conseils de renforcement du réseau.

Les onduleurs constituent une source d’alimentation de secours essentielle en raison des coûts d’indisponibilité lorsque les principales applications de l’entreprise et les appareils du personnel ne peuvent pas se connecter à Internet. Dans le domaine de la santé, des vies peuvent dépendre d’un onduleur en cas de panne en raison d’appareils médicaux alimentés.

Comme le note CISA, les onduleurs peuvent protéger de petites charges, telles que quelques serveurs, de grandes charges, comme un bâtiment entier, ou des charges massives, y compris un centre de données.

Une complication dans une organisation est la question de savoir exactement qui doit gérer les onduleurs, ce qui ne devient nécessaire que lors d’une panne de courant. “Divers groupes différents au sein d’une organisation peuvent avoir la responsabilité des onduleurs, y compris, mais sans s’y limiter, l’informatique, les opérations de construction, la maintenance industrielle ou même les fournisseurs de services de surveillance des contrats tiers”, Notes de la CISA dans une alerte d’insights.

La CISA ne cite pas d’exemples d’attaques récentes ni n’attribue ces menaces à des acteurs spécifiques. Cependant, dans ce cas, il semble plus important de mettre l’accent sur les étapes de remédiation.

Comme le note CISA, il est rare que l’interface de gestion d’un onduleur doive être accessible depuis Internet. Ainsi, son conseil en gras est : “Énumérez immédiatement tous les onduleurs et systèmes similaires et assurez-vous qu’ils ne sont pas accessibles depuis Internet.” Il recommande également de consulter son avertissement, ainsi que celui de la NSA, indiquant que les attaquants parrainés par l’État ont ciblé la technologie d’exploitation accessible sur Internet (OT) pour violer l’infrastructure critique, tels que les services d’eau. Là encore, les agences mettent en garde contre les risques d’accès à distance aux réseaux OT et l’utilisation de mots de passe par défaut.

Si l’interface de gestion de l’onduleur doit être accessible depuis Internet, CISA conseille de mettre en place ces contrôles :

  • Assurez-vous que l’appareil ou le système se trouve derrière un réseau privé virtuel
  • Appliquer l’authentification multifacteur
  • Utilisez des mots de passe forts et longs ou des phrases de passe conformément aux directives de l’Institut national des normes et de la technologie (pour une explication humoristique de la force du mot de passe, voir XKCD 936, notes CISA)
  • Vérifiez si le nom d’utilisateur/mot de passe de votre onduleur est toujours défini par défaut. Si c’est le cas, mettez à jour votre nom d’utilisateur/mot de passe UPS afin qu’il ne corresponde plus à la valeur par défaut
  • Assurez-vous que les informations d’identification de tous les onduleurs et systèmes similaires respectent les exigences strictes en matière de longueur de mot de passe et adoptez les fonctionnalités de temporisation/verrouillage de connexion

Leave a Comment