JO 2024 : Comment Carrefour a sécurisé ses entrepôts et magasins éphémères

A l’occasion des Assises de la sécurité qui se déroule à Monaco, Vincent Strubel, directeur de l’Anssi a adressé un satisfecit à la communauté de la cybersécurité pour les Jeux Olympiques à Paris cet été. Plusieurs ateliers ont été l’occasion de livrer des retours d’expérience sur ce sujet dont celui d’Armis avec Carrefour. Le distributeur est revenu sur l’analyse de la surface d’attaque des magasins éphémères créés pour l’occasion (dans le village Olympique, dans l’IBC (centre de diffusion vidéo) au Bourget et au village des médias à Dugny) et des entrepôts mobilisés. Des infrastructures importantes avec chacune leur fonctionnement spécifique, « les entrepôts se gèrent de manière un peu particulière avec des livraisons de commandes, des stocks qu’il faut réapprovisionner, … En magasin, nous avons toute une série de choses qu'il faut aligner avec des balances, des étiquettes, un back-office particulier, de l'encaissement », explique Guillaume Cécile, directeur SecOps chez Carrefour pour planter le décor.

Une vision globale IT/OT

L’objectif était donc d’avoir une vue d’ensemble et de savoir comment tout cela fonctionnait glisse le dirigeant. Avec des particularités « les magasins sont éphémères donc ils ne sont pas montés au moment où débutent les travaux d’analyse, il faut donc identifier ce qu’il va y avoir sur le réseau et récupérer la topologie complète du réseau local », souligne-t-il. Sur les entrepôts, « certains ont 15 ans et les choses bougent avec des éléments qui ont été mis en place et vous n’avez pas été prévenus. C’était donc l’occasion de voir ces choses-là ».

Le but de cette analyse était aussi pendant les JO de « recevoir des alertes quand des nouveaux terminaux se sont branchés sur le réseau des magasins ou quand des flux au sein des entrepôts sont devenus invisibles » indique Guillaume Cécile. Un autre point était « de vérifier que les règles posées sont respectées sur les équipements recensés : ont-ils un EDR ? le patch management est-il à jour ? l’équipement est-il visible dans l’AD ? », ajoute-t-il. Enfin, le dirigeant souligne « le besoin d’identifier l’ensemble des flux réseaux IT et OT pour les classifier et définir par rapport à leur volumétrie s’il s’agit de flux normaux ».

Une mise en place progressive

Le déploiement de la solution Centrix d’Armis s’est fait « par étapes » avec en premier la mise en place d’un collecteur (une appliance) au siège de Carrefour sur le réseau. Une seconde étape a été d’équiper les entrepôts, « huit d’entre eux étaient mobilisés pour les JO avec comme ambition au départ de ne pas nécessairement détecter des nouveaux équipements, mais de garantir la conformité locale », assure le directeur SecOps.

Et enfin la troisième étape portait sur les magasins éphémères montés un mois avant l’évènement. Le dirigeant précise par ailleurs avoir réalisé un travail d’intégration avec différents outils de cybersécurité EDR, antivirus, SIEM, SOAR, DHCP ,… le tout sur une soixantaine de zone réseau (local, WiFi).

Des consoles de jeux et des caisses obsolètes découvertes

Et les découvertes ont été surprenantes pour le dirigeant. « Dans les entrepôts, nous avons identifié des consoles de jeux qui étaient branchées sur le réseau. De même, nous avons détecté une pompe à insuline d’un salarié diabétique qui était connectée en WiFi pour la remontée d’information. Un Raspberry Pi a été trouvé et utilisé par une équipe pour faire des tableaux de bord. Il y avait par ailleurs une Tesla qui se connectait sur le réseau de l’entrepôt pour se mettre à jour », résume Guillaume Cécile. Sur l’OT des entrepôts, l’obsolescence de certains équipements a été mise en exergue, « un PC pour piloter le froid qui était sous Windows 7, plus de mainteneur, identifiant en clair, des traces de Wannacry ».

Concernant les magasins, dès la mise en place, c’est la douche froide : « l’OS des caisses n’était pas à jour parce que le master utilisé, n’était pas le dernier. Nous avons dû reprendre toutes les caisses et sans l’outil d’Armis nous n’aurions pu rien voir » reconnait le responsable. Et de continuer par la mise en évidence « d’un switch doté d’un OS plus supporté et des CVE connues. Il servait de backbone pour un des magasins ».

Un focus particulier sur l’OT à l’avenir

Pour Guillaume Cécile le bilan est positif, « la solution est simple de mise en œuvre sans problème technique ». Il salue également « la priorisation du VOC (vulnerability operation center) qui propose des actions pour pouvoir sortir de l'ornière très vite ». L’enseignement est que « nous avons vu plein de chose avec des points de vulnérabilité que l’on ne connaissait pas », reconnait-il. Les magasins éphémères ont bien fonctionné comme le montre la vidéo de la gymnaste américaine Simon Biles et des pains au chocolat. Pour l’après-JO, le directeur SecOps envisage de faire un focus sur l’OT, « nous avons vu des choses dans les entrepôts et il y a des choses à faire, rajouter des cas d’usage pour avoir une vision plus précise ».