N-Day : une menace connue, mais encore négligée

Les vulnérabilités « N-Day » sont des failles de sécurité déjà connues du grand public et pour lesquelles il existe souvent des correctifs ; pourtant, les attaques continuent de se produire car les organisations ne parviennent pas à mettre à jour leurs systèmes à temps. Cela rend les menaces « N-Day » plus dangereuses qu’elles ne le paraissent : tout est connu, mais rien n’est fait.

Pourquoi cela concerne-t-il les secteurs maritime et énergétique ?

De nombreux navires et plateformes offshore fonctionnent avec un ensemble hétérogène de systèmes, provenant souvent de différents fournisseurs, et combinent à la fois des technologies héritées et modernes. Dans de tels environnements, l’application de correctifs peut s’avérer difficile sur le plan technique ou logistique. Ces retards créent des fenêtres d’exposition critiques.

Exemples concrets :

• Un navire utilise un système d’exploitation obsolète présentant une vulnérabilité connue pour laquelle un correctif existe depuis plus d’un an
• Une plateforme reporte la mise à jour du firmware de son pare-feu pour éviter toute perte de connexion ; la faille est exploitée avant l’application du correctif
• Un système informatique à terre relié à un réseau maritime est compromis via une vulnérabilité connue liée à l’accès à distance

Comment s’en protéger :

• Surveillez les bases de données de vulnérabilités connues (par exemple, CVE – Common Vulnerabilities and Exposures) et comparez régulièrement les résultats obtenus avec votre propre infrastructure
• Mettez en place des processus structurés de gestion des correctifs, alignés sur les fenêtres opérationnelles, à l’aide des services de gestion informatique à distance de Marlink
• Élaborez des plans d’atténuation des risques pour les situations où l’application immédiate d’un correctif n’est pas possible, tels que le renforcement des contrôles d’accès et la segmentation du réseau

Les vulnérabilités « N-Day » nous rappellent que la cybersécurité n’est pas seulement une question de technologie, mais aussi de discipline. La sensibilisation sans action ne protège pas vos systèmes, elle les expose

Découvrez ici tous les articles de la série « C’est la jungle dehors : naviguer dans la zone de danger numérique ».