8 Min. temps de lecture<\/p>\n
Pendant des d\u00e9cennies, la production \u00e9tait un monde \u00e0 part. Les commandes, les capteurs et les machines fonctionnaient sur un r\u00e9seau totalement ind\u00e9pendant de l\u2019informatique de bureau. Cette s\u00e9paration \u00e9tait consid\u00e9r\u00e9e comme la meilleure protection possible : ce qui n\u2019est pas connect\u00e9 ne peut pas \u00eatre attaqu\u00e9 \u00e0 distance. La digitalisation, la maintenance \u00e0 distance et l\u2019app\u00e9tit pour les donn\u00e9es en temps r\u00e9el ont fait tomber ce mur. Aujourd\u2019hui, l\u2019atelier est souvent raccord\u00e9 au m\u00eame r\u00e9seau que le data center. Et donc expos\u00e9 aux m\u00eames risques d\u2019attaque.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n L\u2019*Operational Technology* (OT) d\u00e9signe tout ce qui actionne physiquement la production : automates programmables, syst\u00e8mes SCADA, capteurs, cellules robotis\u00e9es, postes de contr\u00f4le. Pendant des d\u00e9cennies, ce monde a v\u00e9cu d\u00e9lib\u00e9r\u00e9ment coup\u00e9 du r\u00e9seau bureautique. Aucun c\u00e2ble ne sortait, aucune mise \u00e0 jour n\u2019entrait. Pour manipuler une installation, il fallait \u00eatre physiquement sur place. Cette s\u00e9paration, appel\u00e9e *air gap* dans le jargon, n\u2019\u00e9tait pas un hasard, mais une philosophie de s\u00e9curit\u00e9.<\/p>\n Le prix \u00e0 payer \u00e9tait l\u2019aveuglement. Personne au data center ne voyait ce que faisaient les machines. La maintenance impliquait un d\u00e9placement, l\u2019analyse des donn\u00e9es passait par une cl\u00e9 USB. C\u2019est pr\u00e9cis\u00e9ment cette friction que la digitalisation a voulu supprimer. Et \u00e0 chaque pas vers plus d\u2019efficacit\u00e9, le mur est devenu plus perm\u00e9able.<\/p>\n Phase 1<\/p>\n Le quotidien du \u00ab\u00a0Sneakernet\u00a0\u00bb.<\/strong> Les donn\u00e9es circulent via cl\u00e9 USB et ordinateur portable entre la production et le bureau. Les r\u00e9seaux sont s\u00e9par\u00e9s, l\u2019humain fait le lien. Stuxnet a montr\u00e9 en 2010 que m\u00eame cette faille suffit pour une attaque cibl\u00e9e.<\/p>\n<\/div>\n Phase 2<\/p>\n La t\u00e9l\u00e9maintenance s\u2019installe.<\/strong> Les constructeurs de machines veulent intervenir \u00e0 distance, r\u00e9soudre les pannes sans se d\u00e9placer. Un acc\u00e8s VPN du fabricant vers le r\u00e9seau de production devient la norme. La premi\u00e8re porte permanente vers l\u2019ext\u00e9rieur est ouverte.<\/p>\n<\/div>\n Phase 3<\/p>\n Des donn\u00e9es en temps r\u00e9el vers le cloud.<\/strong> La maintenance pr\u00e9dictive, les tableaux de bord OEE et l\u2019analytique IA n\u00e9cessitent un flux continu de donn\u00e9es depuis l\u2019installation. La commande ne transmet plus seulement au poste de contr\u00f4le, mais aussi \u00e0 un backend cloud.<\/p>\n<\/div>\n Aujourd\u2019hui<\/p>\n Un seul r\u00e9seau, une seule surface d\u2019attaque.<\/strong> L\u2019OT et l\u2019IT partagent la m\u00eame infrastructure, les m\u00eames identit\u00e9s et les m\u00eames chemins. Un e-mail de phishing au bureau peut finir par arr\u00eater la production. Le chemin du clavier \u00e0 la turbine est devenu plus court que ce que la plupart aimeraient.<\/p>\n<\/div>\n<\/div>\n Tant que l\u2019OT \u00e9tait isol\u00e9, un attaquant avait besoin d\u2019un acc\u00e8s physique. D\u00e8s que la s\u00e9paration dispara\u00eet, l\u2019\u00e9quation change. Il suffit d\u00e9sormais d\u2019un ordinateur de bureau compromis, d\u2019un acc\u00e8s de t\u00e9l\u00e9maintenance vol\u00e9 ou d\u2019un connecteur cloud vuln\u00e9rable pour atteindre la commande. La surface d\u2019attaque ne se multiplie pas de mani\u00e8re lin\u00e9aire, elle explose, car chaque nouvelle connexion couple le r\u00e9seau de production \u00e0 l\u2019ensemble des menaces d\u2019Internet.<\/p>\n Ce sch\u00e9ma est d\u00e9j\u00e0 bien document\u00e9. Lors de l\u2019attaque contre Colonial Pipeline en 2021, le ransomware a touch\u00e9 les syst\u00e8mes IT, et non la commande de l\u2019ol\u00e9oduc elle-m\u00eame. Pourtant, l\u2019exploitation a \u00e9t\u00e9 arr\u00eat\u00e9e, car l\u2019entreprise ne pouvait pas garantir que la s\u00e9paration entre l\u2019IT de facturation et la technologie op\u00e9rationnelle tenait encore. C\u2019est l\u00e0 le c\u0153ur du risque de convergence : lorsque l\u2019IT et l\u2019OT sont imbriqu\u00e9s, un incident IT devient un arr\u00eat de production, m\u00eame sans qu\u2019un attaquant n\u2019ait jamais touch\u00e9 une machine.<\/p>\n Un e-mail de phishing dans la comptabilit\u00e9 ne devrait jamais pouvoir arr\u00eater une turbine. Dans les r\u00e9seaux convergents, il le peut.<\/p>\n<\/blockquote>\n Qui veut s\u00e9curiser l’OT avec les r\u00e9flexes de l’IT \u00e9choue. Ces deux mondes suivent des priorit\u00e9s oppos\u00e9es. Dans l’IT, la confidentialit\u00e9 prime : un syst\u00e8me peut s’arr\u00eater en cas de doute pour prot\u00e9ger les donn\u00e9es. Dans l’OT, la disponibilit\u00e9 est reine. Un automate qui red\u00e9marre en plein lot g\u00e9n\u00e8re du rebut, et dans le pire des cas, met des vies en danger.<\/p>\n Il en d\u00e9coule une s\u00e9rie de r\u00e9alit\u00e9s inconfortables. Les installations de production tournent souvent pendant deux d\u00e9cennies ou plus, sur des syst\u00e8mes d’exploitation pour lesquels il n’existe plus de correctifs depuis des ann\u00e9es. Une fen\u00eatre de maintenance, o\u00f9 l’on pourrait simplement tout patcher comme en IT, n’existe pas, car chaque minute d’arr\u00eat co\u00fbte de l’argent r\u00e9el. De nombreux protocoles industriels comme Modbus ou Profinet ont \u00e9t\u00e9 con\u00e7us pour des r\u00e9seaux isol\u00e9s et ne pr\u00e9voient ni authentification ni chiffrement. Quiconque se trouve dans le m\u00eame segment est consid\u00e9r\u00e9 comme digne de confiance. Cette hypoth\u00e8se s’effondre d\u00e8s que le segment se met soudain \u00e0 communiquer avec le monde ext\u00e9rieur.<\/p>\n L’angle mort<\/p>\n De nombreuses entreprises ignorent m\u00eame pr\u00e9cis\u00e9ment ce qui est connect\u00e9 \u00e0 leur r\u00e9seau de production. Des installations d\u00e9velopp\u00e9es sur des ann\u00e9es, des acc\u00e8s de t\u00e9l\u00e9maintenance non document\u00e9s et des liaisons de test oubli\u00e9es forment un r\u00e9seau dont personne ne poss\u00e8de plus la cartographie compl\u00e8te. On ne peut pas prot\u00e9ger ce que l’on ne voit pas.<\/p>\n<\/div>\n La r\u00e9action \u00e9vidente, \u00e0 savoir isoler \u00e0 nouveau compl\u00e8tement les r\u00e9seaux, n’est pas une option. Les gains d’efficacit\u00e9 li\u00e9s \u00e0 la t\u00e9l\u00e9maintenance et \u00e0 l’analyse des donn\u00e9es sont trop importants pour \u00eatre abandonn\u00e9s. La mission n’est donc pas l’isolement, mais le couplage contr\u00f4l\u00e9. Trois leviers y contribuent le plus efficacement.<\/p>\n Le premier est la visibilit\u00e9. Avant d’\u00e9crire une seule r\u00e8gle de pare-feu, le r\u00e9seau de production doit \u00eatre enti\u00e8rement inventori\u00e9 : chaque appareil, chaque connexion, chaque flux de donn\u00e9es. Le monitoring passif, qui lit le trafic sans solliciter les installations, est ici la norme. Ce n’est qu’en connaissant son r\u00e9seau que l’on peut d\u00e9tecter des anomalies, comme un automate qui communiquerait soudainement avec une adresse jamais contact\u00e9e auparavant.<\/p>\n Le deuxi\u00e8me levier est la segmentation selon le mod\u00e8le de zones. Le mod\u00e8le de r\u00e9f\u00e9rence Purdue, bien \u00e9tabli, divise l’usine en niveaux, du capteur \u00e0 l’IT d’entreprise, et d\u00e9finit des transitions contr\u00f4l\u00e9es entre eux. Entre l’OT et l’IT, une zone d\u00e9militaris\u00e9e permet d’\u00e9changer des donn\u00e9es sans qu’il existe un chemin direct de l’ext\u00e9rieur vers l’automate. La t\u00e9l\u00e9maintenance ne passe plus par un tunnel VPN ouvert en permanence, mais par un point de saut contr\u00f4l\u00e9, activ\u00e9 uniquement en cas de besoin et consign\u00e9.<\/p>\n Le troisi\u00e8me levier est organisationnel et reste le plus souvent sous-estim\u00e9. Dans de nombreuses entreprises, la production g\u00e8re ses installations et l’IT son r\u00e9seau. Personne ne parle de la jointure entre les deux. C’est pr\u00e9cis\u00e9ment l\u00e0 que r\u00e9side le risque de convergence. Tant que la s\u00e9curit\u00e9 OT est trait\u00e9e comme un sujet purement IT ou purement li\u00e9 aux installations, la zone la plus dangereuse reste sans propri\u00e9taire.<\/p>\n Pas le prochain produit de s\u00e9curit\u00e9, mais une cartographie honn\u00eate. Qui ne peut pas affirmer aujourd’hui avec certitude quels appareils sont connect\u00e9s au r\u00e9seau de production et par quels chemins ils communiquent avec l’IT et le monde ext\u00e9rieur, a sa plus importante t\u00e2che en suspens. De cet inventaire d\u00e9coule presque naturellement le reste : s\u00e9curiser d’abord les transitions les plus risqu\u00e9es, transformer les acc\u00e8s de t\u00e9l\u00e9maintenance de \u00ab\u00a0toujours ouverts\u00a0\u00bb en \u00ab\u00a0activ\u00e9s \u00e0 la demande\u00a0\u00bb, et d\u00e9signer une personne responsable de la jointure entre OT et IT. La convergence ne peut pas \u00eatre invers\u00e9e. Mais elle peut \u00eatre ma\u00eetris\u00e9e. Il suffit d’arr\u00eater de traiter l’atelier comme un data center. On le prot\u00e8ge pour ce qu’il est.<\/p>\n Elle d\u00e9crit la fusion des technologies de production (OT) et de l\u2019informatique bureautique classique (IT) sur une infrastructure r\u00e9seau commune. Pouss\u00e9e par la t\u00e9l\u00e9maintenance, l\u2019analytique cloud et les donn\u00e9es en temps r\u00e9el, les commandes de machines sont aujourd\u2019hui souvent connect\u00e9es au m\u00eame r\u00e9seau que les serveurs et les postes de travail. L\u2019ancien *air gap*, cette s\u00e9paration physique entre les deux mondes, n\u2019existe plus dans la plupart des usines.<\/p>\n<\/details>\n Parce que leurs priorit\u00e9s sont oppos\u00e9es. Les syst\u00e8mes IT peuvent s\u2019arr\u00eater pour prot\u00e9ger les donn\u00e9es, tandis que les installations OT doivent fonctionner. Les automates restent souvent en service pendant deux d\u00e9cennies, sont difficilement patchables et utilisent des protocoles sans authentification. Les routines IT classiques, comme les mises \u00e0 jour rapides ou les red\u00e9marrages, paralyseraient la production au lieu de la prot\u00e9ger.<\/p>\n<\/details>\n La visibilit\u00e9 avant la technique. Il faut d\u2019abord inventorier enti\u00e8rement le r\u00e9seau de production : quels appareils y sont connect\u00e9s, quelles connexions existent, quels flux de donn\u00e9es sortent. Sans cette cartographie, impossible de segmenter efficacement ni de d\u00e9tecter une anomalie. Ce n\u2019est qu\u2019ensuite que viennent la mod\u00e9lisation en zones, les transitions contr\u00f4l\u00e9es et la t\u00e9l\u00e9maintenance cibl\u00e9e.<\/p>\n<\/details>\n Plus d\u2019articles du r\u00e9seau MBF Media<\/p>\n\n
Quand le sas de s\u00e9curit\u00e9 tenait encore<\/h2>\n
Comment la s\u00e9paration est tomb\u00e9e couche apr\u00e8s couche<\/h2>\n
Pourquoi la convergence multiplie la surface d\u2019attaque<\/h2>\n
\n
L’OT fonctionne diff\u00e9remment \u2013 et c’est l\u00e0 le vrai probl\u00e8me<\/h2>\n
S\u00e9curiser sans freiner la production<\/h2>\n
La premi\u00e8re \u00e9tape pour les 90 prochains jours<\/h2>\n
Foire aux questions<\/h2>\n
Que signifie concr\u00e8tement la convergence OT\/IT ?<\/strong><\/summary>\n
Pourquoi ne peut-on pas s\u00e9curiser l\u2019OT comme l\u2019IT ?<\/strong><\/summary>\n
Quel est le premier pas pertinent pour s\u00e9curiser son syst\u00e8me ?<\/strong><\/summary>\n