Sécuriser Johnson Controls Metasys : comment protéger la gestion technique de vos bâtiments ?

Qu'est-ce que Johnson Controls Metasys et quel est son rôle ?

Le système Johnson Controls Metasys est une solution de gestion technique de bâtiment (GTB) largement adoptée dans le monde pour centraliser et automatiser le contrôle des infrastructures physiques. Ce logiciel permet de piloter des équipements critiques tels que le chauffage, la ventilation, la climatisation (CVC), l'éclairage, ainsi que les systèmes de sécurité et de contrôle d'accès. En optimisant le fonctionnement de ces installations, il aide les organisations à réduire leur empreinte énergétique et à améliorer le confort des occupants.

Autrefois, ces réseaux industriels et opérationnels (OT) fonctionnaient de manière totalement isolée par rapport aux réseaux informatiques traditionnels (IT). Cependant, la recherche d'efficacité opérationnelle et la nécessité d'une supervision à distance ont poussé à l'interconnexion de ces deux mondes. Aujourd'hui, les serveurs de GTB sont connectés aux réseaux IP locaux et parfois directement à Internet, ce qui expose ces infrastructures physiques à des cybermenaces jusqu'alors réservées aux serveurs de données.

Pour les responsables d'infrastructures et les dirigeants d'entreprises, la sécurisation de ces passerelles est devenue une priorité absolue. Une compromission du système Metasys ne se limite pas à un vol de données numériques ; elle peut avoir des répercussions physiques immédiates sur la sécurité des biens et des personnes. Comprendre le fonctionnement de ces technologies est donc le premier pas vers une protection globale et efficace de votre patrimoine immobilier.

Quelles sont les vulnérabilités majeures identifiées sur Metasys ?

La réponse est directe : les vulnérabilités majeures sur Johnson Controls Metasys, telles que CVE-2023-48293 ou CVE-2022-21940, permettent à des attaquants d'exécuter des scripts malveillants ou d'élever leurs privilèges pour prendre le contrôle de la GTB. Ces failles de sécurité touchent plusieurs composants clés de l'architecture logicielle, notamment les consoles d'administration web utilisées par les techniciens de maintenance.

La faille CVE-2022-21940, par exemple, concerne un défaut de validation des entrées dans l'interface utilisateur de Metasys, ouvrant la voie à des attaques par injection de script (Cross-Site Scripting ou XSS). Un attaquant capable d'exploiter cette vulnérabilité peut exécuter du code arbitraire dans le navigateur d'un administrateur connecté, lui permettant de dérober ses jetons de session. Une fois la session compromise, le pirate dispose des mêmes droits d'accès que le gestionnaire légitime du bâtiment.

De son côté, la vulnérabilité CVE-2023-48293 permet à un utilisateur authentifié d'accéder à des informations confidentielles ou d'effectuer des actions non autorisées en contournant les mécanismes de contrôle d'accès. Ces failles mettent en évidence le risque lié à une mauvaise gestion des droits d'accès et à l'absence de correctifs réguliers sur les serveurs de supervision. Les attaquants exploitent ces faiblesses pour s'infiltrer discrètement et modifier les paramètres de fonctionnement des équipements connectés.

Quels sont les risques réels d'un piratage de GTB pour une entreprise ?

Une intrusion réussie dans un système de gestion technique de bâtiment comme Metasys engendre des risques opérationnels, financiers et réputationnels majeurs. Sur le plan physique, un pirate peut modifier les consignes de température, couper la ventilation ou désactiver les alarmes d'incendie et de détection d'intrusion. Dans des environnements sensibles comme les centres de données, une coupure prolongée de la climatisation entraîne inévitablement une surchauffe du matériel et un arrêt des serveurs.

Pour les entreprises du secteur agroalimentaire ou de la santé, les conséquences peuvent être encore plus dramatiques. Une manipulation malveillante des systèmes de réfrigération peut rompre la chaîne du froid, entraînant la perte de stocks de marchandises ou de produits pharmaceutiques de grande valeur. Ces incidents physiques perturbent gravement la continuité d'activité et peuvent paralyser une organisation pendant plusieurs jours, avec un coût financier considérable.

Enfin, un système de GTB mal sécurisé constitue une passerelle idéale pour s'introduire dans le réseau informatique principal de l'entreprise. Si les réseaux ne sont pas correctement cloisonnés, un attaquant peut utiliser le serveur Metasys comme point de rebond pour accéder aux ordinateurs de gestion, aux serveurs de fichiers et déployer un rançongiciel. La sécurité physique et la sécurité logique sont désormais intrinsèquement liées.

Comment identifier les versions de Metasys exposées ?

Pour évaluer votre niveau d'exposition, il est indispensable de procéder à un inventaire précis des versions logicielles déployées sur vos serveurs de supervision. Les alertes de sécurité émises par les organismes officiels, tels que la Cybersecurity and Infrastructure Security Agency (CISA), permettent d'identifier précisément les configurations à risque. Les administrateurs système doivent vérifier régulièrement les bulletins de sécurité publiés par l'éditeur pour appliquer les correctifs appropriés.

Les versions de Johnson Controls Metasys principalement concernées par les vulnérabilités documentées incluent :

• Les versions de la branche Metasys 10.x et antérieures, souvent dépourvues des derniers mécanismes de défense active.
• Les versions de la branche Metasys 11.x, nécessitant l'application de correctifs cumulatifs spécifiques.
• Les versions de la branche Metasys 12.x, qui doivent être mises à jour vers les dernières révisions de sécurité.
• Les premières versions de la branche Metasys 13.x, pour lesquelles des mises à jour correctives ont été publiées par l'éditeur.

L'identification de la version exacte s'effectue généralement depuis la console d'administration ou via les informations de licence du serveur d'application (ADS/ADX). Si vous constatez que votre installation utilise une version obsolète ou non corrigée, il convient de planifier rapidement une opération de maintenance. Ignorer ces alertes expose durablement votre infrastructure à des tentatives d'exploitation opportunistes par des cyberdélinquants.

Tableau comparatif des vulnérabilités types sur les réseaux industriels (OT)

Afin de mieux comprendre la diversité des menaces qui pèsent sur les systèmes de gestion technique de bâtiment, il est utile de comparer les principaux vecteurs d'attaque. Le tableau ci-dessous synthétise les risques les plus fréquents rencontrés sur les infrastructures de GTB connectées.

Quelles sont les meilleures pratiques pour sécuriser une infrastructure Metasys ?

La sécurisation d'un système de GTB repose sur une approche de défense en profondeur, combinant des mesures techniques et organisationnelles. La première action consiste à appliquer rigoureusement les correctifs de sécurité fournis par Johnson Controls. Ces mises à jour corrigent les failles logicielles connues et renforcent la résistance du système face aux attaques automatisées. Il est recommandé d'intégrer la GTB dans votre calendrier régulier de gestion des correctifs informatiques.

Ensuite, le cloisonnement réseau constitue la barrière la plus efficace contre la propagation des menaces. Les serveurs et automates Metasys doivent être placés dans un réseau local virtuel (VLAN) dédié, totalement isolé du réseau bureautique général et des accès Wi-Fi invités. Les flux de communication entre le réseau IT et le réseau OT doivent être strictement contrôlés par un pare-feu configuré selon le principe du moindre privilège.

Pour renforcer la sécurité des accès, appliquez les règles suivantes :

• Désactivez tous les comptes génériques ou d'usine et imposez des mots de passe complexes et uniques pour chaque utilisateur.
• Mettez en place un VPN sécurisé avec authentification multifacteur (MFA) pour tout accès à distance des prestataires de maintenance.
• Chiffrez les communications de supervision en utilisant des protocoles sécurisés comme HTTPS et BACnet/SC (Secure Connect).
• Activez la journalisation des événements et analysez régulièrement les journaux d'accès pour détecter toute tentative de connexion suspecte.

Enfin, la sensibilisation des équipes techniques et des prestataires externes est essentielle. Les intervenants qui manipulent la GTB doivent être formés aux bonnes pratiques d'hygiène informatique, notamment concernant l'usage de clés USB non vérifiées ou la connexion d'ordinateurs personnels non sécurisés sur le réseau industriel. Une politique de sécurité stricte et partagée réduit considérablement les risques de compromission accidentelle.

Conclusion : anticiper les cybermenaces physiques

La sécurité des bâtiments modernes ne peut plus être dissociée de la sécurité de leurs systèmes informatiques. Les vulnérabilités affectant des plateformes de référence comme Johnson Controls Metasys démontrent que les frontières entre le monde virtuel et le monde physique ont définitivement disparu. Anticiper ces risques en mettant en œuvre des mesures de protection adaptées est indispensable pour garantir la pérennité de vos activités.

Pour les dirigeants d'entreprises et les responsables de sites, cela implique d'adopter une vision globale de leur infrastructure. Collaborer avec des professionnels qualifiés pour auditer vos réseaux et valider la configuration de vos accès est une démarche prudente et constructive. Pour approfondir ces sujets et découvrir d'autres conseils pratiques, vous pouvez consulter notre blog d'actualités technologiques.

Si vous souhaitez faire le point sur la sécurité de vos installations locales ou si vous rencontrez des difficultés de configuration réseau, n'hésitez pas à vous renseigner sur nos services informatiques ou à solliciter une assistance pour un dépannage informatique à Agen afin de sécuriser vos postes de travail et vos serveurs de gestion.

Questions fréquentes

Sources

• CISA ICS Advisory ICSA-23-353-01
• Metasys Building Automation System - Johnson Controls
• Guide de configuration du système Metasys