Maersk, NotPetya et la responsabilité opérationnelle

Résumé

NotPetya est entré chez Maersk via un logiciel utilisé pour la déclaration fiscale ukrainienne et a rendu les applications et les données indisponibles dans un environnement connecté à l'échelle mondiale. L'entreprise a arrêté des systèmes supplémentaires par précaution, tandis que le vol d'identifiants et les multiples méthodes de propagation du logiciel malveillant ont fait du simple patching une défense incomplète.
Maersk a maintenu le contrôle de ses navires, mais ses activités de conteneurs ont subi des interruptions significatives. Les fonctions de réservation, de porte de terminal et d'information sur la cargaison ont échoué; APM Terminals a signalé que les services de porte étaient encore en cours d'élargissement dans plusieurs ports trois jours après l'attaque. Les actifs physiques restaient présents tandis que l'autorité numérique pour les coordonner avait disparu.
L'entreprise a mis en place de nombreux solutions de contournement manuelles et a reconstruit l'infrastructure à une vitesse exceptionnelle. Le président de Maersk a décrit plus tard la réinstallation de 4 000 serveurs, 45 000 ordinateurs et 2 500 applications en dix jours. Une reconstruction journalistique détaillée indique qu'un contrôleur de domaine déconnecté au Ghana a fourni les données d'identité nécessaires pour redémarrer les services critiques; ce récit est important mais ne constitue pas un rapport médico-légal officiel.
Maersk a finalement signalé un effet sur la rentabilité de 250 à 300 millions de dollars, principalement dû à une perte d'activité temporaire en juillet et août, ainsi qu'à des coûts de restauration et de fonctionnement extraordinaires. Ce chiffre mesure l'impact reconnu par l'entreprise, pas les pertes totales des camionneurs, des transitaires, des propriétaires de cargaison, des agences publiques ou des petites entreprises en aval.
La responsabilité est à plusieurs niveaux. Les acteurs militaires russes ultérieurement attribués et inculpés en lien avec NotPetya portent la responsabilité de l'attaque destructrice. Maersk est resté responsable de la résilience des systèmes sous son contrôle, des affirmations de continuité faites aux clients et de la démonstration que la remédiation avait pris en compte les voies par lesquelles une dépendance logicielle régionale est devenue une défaillance opérationnelle mondiale.
La leçon durable n'est pas seulement de conserver des sauvegardes. Un opérateur critique doit être capable de récupérer l'identité, la configuration, les données opérationnelles et les communications dans un environnement propre; d'exécuter des processus manuels limités sans perdre la sécurité ou l'intégrité de la cargaison; et de fournir aux organismes publics et aux petits clients des informations suffisantes, opportunes et portables pour activer leurs propres plans de continuité.

Un opérateur mondial a perdu la capacité de dire ce qui devait bouger ensuite

Le mardi 27 juin 2017, A.P. Moller - Maersk a été l'une des nombreuses organisations frappées par un logiciel malveillant qui ressemblait à un ransomware mais se comportait comme un instrument destructeur. Les images immédiates étaient familières d'un incident cybernétique de bureau: les écrans sont devenus noirs, les applications se sont arrêtées, les employés ont perdu l'accès. La conséquence ne s'est pas limitée aux bureaux. Maersk reliait le transport océanique, les terminaux portuaires et le fret transfrontalier à travers les juridictions et les fuseaux horaires.

Lorsque les applications partagées et les services d'identité sont devenus indisponibles, l'interruption a atteint les points où un camion entre dans un terminal, une réservation devient un mouvement de cargaison et un manifeste électronique indique à un opérateur ce qui se trouve à l'intérieur d'un navire.

La présentation aux investisseurs du deuxième trimestre 2017 de l'entreprise fournit le compte rendu concis le plus solide. Maersk a déclaré que le logiciel malveillant était entré via un logiciel utilisé pour déclarer les impôts en Ukraine, avait rendu les applications et les données indisponibles, et avait principalement affecté ses activités liées aux conteneurs: Maersk Line, APM Terminals et Damco. Elle a indiqué que plusieurs systèmes avaient été arrêtés par précaution, que de nombreuses solutions de contournement manuelles avaient été introduites et que le contrôle total des navires avait été maintenu.

Elle a également signalé une interruption significative affectant les employés et les clients, tout en ne signalant aucune violation de données tierce ou perte de données.

Ces déclarations établissent une limite essentielle. Cela n'a pas été signalé publiquement comme une perte de navigation ou de propulsion, et une analyse ne doit pas transformer une interruption commerciale et terminale grave en une urgence fictive de contrôle de navire. Pourtant, la survie du contrôle des navires ne signifiait pas que le service de transport maritime avait survécu intact.

Un navire peut être navigable en toute sécurité alors que le réseau qui l'entoure ne peut pas accepter sa prochaine charge, lire les fichiers nécessaires pour traiter sa cargaison, libérer les conteneurs pour les camionneurs ou fournir un état fiable aux clients. La résilience opérationnelle comporte plusieurs couches, et l'état sûr d'une couche ne confère pas la continuité aux autres.

L'incident est rapidement passé d'une exposition logicielle locale à une interruption d'entreprise. Le compte rendu technique contemporain de Microsoft sur l'épidémie de Petya a observé une voie de chaîne d'approvisionnement initiale via le programme de mise à jour M.E.Doc et a décrit un mouvement latéral utilisant le vol d'identifiants et l'usurpation d'identité ainsi que l'exploitation de la vulnérabilité SMB traitée par MS17-010. Une analyse réseau ultérieure de Microsoft a caractérisé la propagation comme sophistiquée et bien testée. Le point pratique n'est pas qu'un seul correctif manquant explique Maersk.

Les preuves publiques ne soutiennent pas cette conclusion nette. NotPetya pouvait emprunter plus d'une voie, y compris des identifiants légitimes, de sorte que l'exposition dépendait des privilèges d'identité, de l'accessibilité du réseau, de la segmentation, de la confiance logicielle et de la vitesse de confinement ainsi que du statut de vulnérabilité.