3.2 Mesures techniques de protection OT

Un firewall industriel n'est pas un firewall IT classique. Il doit comprendre les protocoles industriels (Modbus, S7, Profinet, EtherNet/IP, OPC UA, DNP3), être certifié IEC 62443-4-2 et tenir dans des environnements difficiles (température, humidité, vibrations).

Plusieurs constructeurs, généralistes de la sécurité réseau comme spécialistes de l'automatisme, proposent des gammes durcies. Le choix se fait sur les caractéristiques, pas sur la marque — et deux critères objectifs permettent de trancher en France : la certification de sécurité de premier niveau (CSPN) délivrée par l'ANSSI et la certification IEC 62443-4-2 du produit.

Fonctionnalités attendues :

• DPI industriel : inspection profonde des protocoles OT, capacité de filtrer par function code Modbus (autoriser uniquement lecture, bloquer écriture sur certains automates).
• Listes de contrôle d'accès par adresse MAC + IP, par utilisateur, par horaire.
• Détection d'anomalies de protocole (paquets malformés, séquences inhabituelles).
• Mode transparent ou L3, selon l'architecture existante.
• Haute disponibilité active/passive ou actif/actif.
• Robustesse environnementale : conforme IEC 61850-3, EN 50121-4.

Diode de données (data diode, passerelle unidirectionnelle) — la couche supplémentaire réservée aux flux les plus critiques. C'est un dispositif physique dont la conception même interdit la transmission dans le sens inverse : typiquement OT → DMZ → IT pour la remontée des données d'historisation, jamais l'inverse. À la différence d'un pare-feu, il n'y a pas de règle à mal configurer : le retour est matériellement impossible. Des industriels français et étrangers en produisent ; certains modèles font l'objet d'une qualification de l'ANSSI, critère à privilégier pour un usage sur un système sensible.

Usages typiques d'une diode : remontée des données SCADA/Historian vers l'IT pour visualisation, transmission des résultats de production, journaux pour SOC. La diode élimine totalement le risque de propagation IT → OT. Coût : plusieurs dizaines de k€, justifié uniquement pour les actifs très critiques (centrales électriques, raffineries, infrastructures nationales).

On ne sécurise pas ce qu'on ne connaît pas. L'inventaire des actifs OT est la première mesure à mettre en œuvre — et souvent la plus difficile, car les usines ont accumulé des équipements depuis 20-30 ans sans documentation rigoureuse.

Un inventaire OT doit contenir, pour chaque actif :

• Identification : marque, modèle, référence, numéro de série, version firmware.
• Localisation : usine, atelier, armoire, ligne, position physique.
• Fonction métier : à quoi sert-il, dans quel processus, criticité.
• Niveau de Purdue, zone IEC 62443.
• Adressage IP / MAC, connectivité.
• Comptes et accès définis (locaux, AD, prestataires).
• Dépendances : avec quoi communique-t-il, quels services attend-il.
• Cycle de vie : date d'achat, dernière maintenance, fin de support, date de remplacement prévue.
• Vulnérabilités connues (CVE applicables).

Outils d'inventaire automatisé (scan passif) :

• une sonde raccordée en écoute sur le réseau, qui reconstruit l'inventaire à partir du trafic observé ;
• un catalogue de signatures de protocoles industriels, pour identifier les équipements par ce qu'ils disent et non par un scan ;
• une corrélation avec les bases de vulnérabilités (CVE) et les avis des constructeurs ;
• un export vers la base de configuration et vers le SIEM.

Ces outils procèdent par écoute passive (port mirroring, SPAN, TAP) : ils n'émettent aucun paquet sur le réseau OT, ils se contentent d'écouter. C'est une contrainte non négociable en OT — un scan actif peut suffire à faire tomber un automate ancien. Le marché compte une poignée de spécialistes et quelques offres intégrées à des plateformes généralistes ; le critère de choix est la couverture réelle des protocoles de votre parc, qui se vérifie par une maquette sur un site pilote, jamais sur une fiche produit.

Sortie attendue : une CMDB OT (Configuration Management Database) maintenue à jour, idéalement intégrée à la CMDB IT pour avoir une vue unifiée. Couplage possible avec un jumeau numérique de l'usine.

Le patching OT est l'un des sujets les plus douloureux du métier. Là où l'IT patche chaque mois, l'OT ne peut patcher qu'une à deux fois par an, lors d'arrêts planifiés. Et certains équipements ne sont jamais patchés (fin de support constructeur, Windows XP/7 obsolètes mais utilisés par contrainte).

Approche risk-based recommandée (ANSSI, IEC 62443-2-3, NIST SP 800-82r3) :

1. Maintenir un inventaire à jour des actifs et versions.
2. Surveiller les avis de sécurité : les PSIRT des constructeurs présents dans votre parc, les avis ICS de la CISA et les alertes du CERT-FR.
3. Évaluer chaque vulnérabilité par rapport à votre contexte (le CVSS seul ne suffit pas — il faut le combiner à l'EPSS et au contexte d'exposition).
4. Hiérarchiser : critique exposée > critique non exposée > importante exposée > etc.
5. Tester les patches en environnement de pré-production (jumeau, banc d'essai, atelier de validation).
6. Valider avec le constructeur : un correctif système parfaitement légitime peut rompre la compatibilité d'un logiciel de supervision et arrêter une ligne.
7. Déployer lors d'une fenêtre d'arrêt planifiée.
8. Mesures compensatoires en attendant : règles firewall plus strictes, monitoring renforcé, signature IDS spécifique.

Cas spéciaux :

• Vulnérabilité critique exploitée activement (KEV — CISA Known Exploited Vulnerabilities) : déclencher un patching d'urgence ou des mesures compensatoires immédiates.
• Équipement en fin de support : isoler totalement par firewall, prévoir le remplacement.
• Patch impossible (incompatibilité connue) : documenter le risque accepté, renforcer les mesures compensatoires.

Le standard IEC 62443-2-3 fournit une méthodologie complète de gestion des patches en environnement OT, y compris le format normalisé d'échange entre constructeur et exploitant (« asset-owner / product-supplier patch communication »).

Avant même de penser à des défenses sophistiquées, l'hardening (durcissement) consiste à activer les protections de base déjà disponibles sur les équipements. Souvent ignorées par négligence ou méconnaissance.

Hardening PLC :

• Changer les mots de passe par défaut. Tous les constructeurs documentent leurs identifiants d'usine, et ces documents sont publics : c'est la première chose que cherche un attaquant, et la cause directe de la compromission d'automates de régies d'eau américaines en 2023.
• Désactiver les services non utilisés : FTP, Telnet, HTTP, SNMP v1/v2, NTP non authentifié.
• Activer les fonctions de sécurité déjà présentes : authentification au niveau du protocole et signature du programme, proposées par les générations récentes d'automates et très souvent laissées désactivées.
• Activer la protection du mode RUN/STOP par physique (commutateur à clé sur l'automate).
• Restreindre les adresses IP autorisées à communiquer avec l'automate (firewall intégré ou externe).
• Activer la journalisation et la remonter vers le SIEM.
• Mettre à jour le firmware régulièrement (en fenêtre d'arrêt).

Hardening HMI / SCADA (postes Windows industriels) :

• OS supporté : Windows 10/11 LTSC, Windows Server 2019/2022 — pas de XP, 7, 2003, 2008.
• Antivirus figurant dans la liste des solutions validées par l'éditeur du logiciel de supervision — pas celui du parc bureautique par défaut.
• Liste blanche applicative : seuls les exécutables explicitement autorisés peuvent s'exécuter. C'est la mesure la plus efficace sur un poste au logiciel figé — et un poste SCADA l'est par nature.
• Désactiver les ports USB non nécessaires (USB whitelisting matériel).
• Compte utilisateur dédié SCADA, pas d'admin local pour les opérations courantes.
• Restriction des navigateurs : pas d'internet sur ces postes.
• Patch management via WSUS local dans la DMZ industrielle.
• BIOS / UEFI verrouillé, Secure Boot activé.

MFA / Multi-Factor Authentication sur les accès :

• Tous les accès distants OT : MFA obligatoire (TOTP, FIDO2, certificat).
• Comptes administrateurs OT : MFA obligatoire.
• Comptes ingénieurs ayant le droit de modifier un programme automate : MFA + workflow d'approbation.
• Cas particulier des postes opérateurs HMI : MFA permanent est contre-productif (urgence). Préférer une authentification forte à la prise de poste + monitoring de session.

Ressources : les guides de durcissement publiés par le constructeur de chacun de vos équipements (ils existent presque toujours et sont rarement lus), les guides de l'ANSSI sur la cybersécurité des systèmes industriels et le NIST SP 800-82r3.