Conception d'une DMZ industrielle : construire la zone tampon OT/IT au niveau 3.5

01Points clés à retenir

1. 01

   Une DMZ industrielle est un réseau tampon au niveau Purdue 3.5 qui assure le courtage des données entre l'IT et l'OT, de sorte qu'aucun des deux côtés ne se connecte directement à l'autre.

2. 02

   La règle de conception fondamentale est l'absence de transit direct : une session se termine à l'intérieur de la DMZ et une nouvelle session, autorisée séparément, prend le relais, de sorte qu'il n'existe aucun chemin direct du niveau 4 vers le niveau 2.

3. 03

   Hébergez les bons services dans la DMZ : un miroir de correctifs et d'anti-programmes malveillants, une réplique d'historian, un courtier d'accès distant, un relais de transfert de fichiers, ainsi que des services d'annuaire ou de temps répliqués.

4. 04

   Les conduits de l'IEC 62443 comme le NIST SP 800-82 supposent tous deux l'existence de cette zone tampon ; la DMZ est l'endroit où de nombreuses décisions de zones et conduits deviennent des règles de pare-feu et des hôtes concrets.

5. 05

   Pour les flux en publication seule sortant de l'OT, comme l'export d'historian ou de journaux, un chemin unidirectionnel réduit l'accessibilité entrante qu'une DMZ à double pare-feu autorise encore techniquement.

02Ce qu'est une DMZ industrielle

Une DMZ industrielle, parfois notée IDMZ ou DMZ OT, est un segment réseau dédié qui sépare un réseau IT d'entreprise d'un réseau de technologie opérationnelle. Dans le modèle de référence Purdue, elle se situe au niveau 3.5, entre le niveau 3 (opérations du site, incluant les historians et les systèmes d'ingénierie) et les niveaux 4 et 5 (systèmes métier et d'entreprise). C'est le seul endroit où l'IT et l'OT sont autorisés à échanger des données.

La propriété qui la définit n'est pas le nombre de pare-feu ni le schéma de VLAN. C'est la règle selon laquelle aucun équipement de l'OT ne communique directement avec un équipement de l'IT, et l'inverse est également vrai. Chaque flux traversant la frontière atterrit d'abord sur un hôte à l'intérieur de la DMZ. Cet hôte réémet le trafic. Le résultat : deux conversations courtes et contrôlées au lieu d'une seule longue conversation de bout en bout.

En résumé : une DMZ industrielle est une zone tampon où l'IT et l'OT se rencontrent par l'intermédiaire de courtiers et de copies répliquées, jamais par une connexion directe entre les deux réseaux.

03Pourquoi la zone tampon est importante

Les réseaux opérationnels ont été conçus pour la fiabilité et la longévité, pas pour résister aux adversaires. Beaucoup utilisent des protocoles hérités sans authentification, des équipements qui ne peuvent pas être corrigés selon un cycle normal, et du matériel qui reste en service pendant quinze ans ou plus. Le moyen le moins coûteux de les protéger est de s'assurer que les attaques ne puissent tout simplement pas les atteindre.

Les intrusions réelles reflètent cela. MITRE ATT&CK for ICS répertorie des techniques telles que l'exploitation de services distants et le déplacement latéral via les postes de travail d'ingénierie et les outils d'accès distant. Ces techniques dépendent d'un chemin réseau exploitable entre le point d'ancrage compromis et le système de contrôle. Une DMZ industrielle existe pour briser ce chemin. Si une machine d'entreprise est compromise, l'attaquant atteint la frontière de la DMZ et y trouve un courtier, pas une usine.

C'est aussi ici que le modèle devient concret. Les articles sur le modèle Purdue et sur les zones et conduits de l'IEC 62443 expliquent pourquoi la frontière doit exister. Cet article explique comment construire la frontière afin que l'explication résiste au contact avec un véritable jeu de règles de pare-feu et une véritable demande de changement.

04L'architecture de référence : doubles pare-feu et hôtes de courtage

La conception de référence courante utilise une DMZ à double pare-feu : un pare-feu face à l'IT, un pare-feu face à l'OT, et la DMZ entre les deux. Deux pare-feu de fournisseurs différents réduisent le risque qu'un seul bogue ou une seule erreur de configuration ouvre les deux frontières à la fois. Un pare-feu unique doté de trois interfaces ou plus est une variante moins coûteuse, mais elle concentre l'ensemble de la frontière dans un seul équipement et une seule base de règles.

À l'intérieur de la DMZ vivent des hôtes courtiers et répliques. Un courtier termine une connexion venant d'un côté et en démarre une nouvelle vers l'autre, en appliquant sa propre authentification et sa propre inspection. Une réplique détient une copie des données qu'un côté consulte au lieu de traverser la frontière. Aucun de ces schémas ne permet à un paquet du niveau 4 d'atterrir sur un équipement de niveau 2. La règle cardinale, répétée dans les recommandations de la CISA et de l'ISA, est qu'aucun protocole ne traverse la DMZ sans être manipulé.

Pare-feu côté IT

Restreint quels hôtes et services d'entreprise peuvent atteindre les courtiers et répliques de la DMZ, et bloque tout le reste du trafic entrant vers la DMZ.

Pare-feu côté OT

Restreint quels hôtes de la DMZ peuvent atteindre quelles zones et services OT, et refuse tout flux qui laisserait le trafic IT atteindre directement l'OT.

Hôte courtier

Termine une session et la réémet, de sorte que le chemin de bout en bout est scindé en deux sauts autorisés séparément.

Hôte réplique

Détient une copie des données OT, telles que les enregistrements d'historian, que l'IT consulte sans jamais se connecter à la zone OT.

05Quels services relèvent de la DMZ

Une DMZ n'est utile que si elle héberge les services qui, sinon, inciteraient quelqu'un à ouvrir une règle directe IT-vers-OT. Identifiez d'abord chaque besoin traversant la frontière, puis placez un courtier ou une réplique pour chacun d'eux à l'intérieur de la zone tampon.

• Préparation des correctifs et de l'anti-programme malveillant : un miroir interne qui récupère les mises à jour depuis l'IT, que les systèmes OT consultent ensuite depuis la DMZ, de sorte que l'OT n'atteigne jamais directement Internet ni le serveur de mises à jour de l'entreprise.
• Réplique d'historian : une copie des données de l'historian de l'usine placée dans la DMZ à des fins de reporting et d'analyse, de sorte que les utilisateurs métier interrogent la réplique et jamais l'historian principal en OT.
• Courtier d'accès distant : un hôte de rebond ou une passerelle renforcés où les sessions des fournisseurs et des ingénieurs se terminent, sont authentifiées et enregistrées, avant qu'une session distincte ne se poursuive vers l'OT.
• Relais de transfert de fichiers : un serveur de préparation pour déplacer les fichiers d'ingénierie, les configurations et les rapports, remplaçant les partages directs entre les deux réseaux.
• Annuaire et temps répliqués : un contrôleur de domaine en lecture seule et une source NTP afin que l'authentification et les horloges de l'OT ne dépendent pas d'un lien actif vers le domaine de l'entreprise.
• Proxy inverse ou relais web : pour toute IHM ou tout tableau de bord qui doit être consulté depuis l'IT, présenté via un proxy dans la DMZ plutôt qu'en exposant l'hôte OT.

Gardez la DMZ minimale. Chaque hôte ajouté est un actif de plus à corriger, surveiller et renforcer. Si un service n'a pas besoin de faire le pont entre l'IT et l'OT, il n'a pas sa place dans la zone tampon.

06Règles de conception pratiques pour la construction

Le schéma d'architecture est facile. La discipline est difficile. Ces règles sont ce qui empêche une DMZ industrielle de se dégrader discrètement en un segment à plat avec un pare-feu devant.

• Pas de transit direct : n'écrivez jamais une règle qui laisse un sous-réseau IT atteindre un sous-réseau OT, même via la DMZ. Le trafic doit se terminer sur un hôte de la DMZ et être réémis.
• Pas d'hôtes multi-domiciliés : un serveur de la DMZ ne doit pas avoir une interface dans l'IT et une autre dans l'OT. Une interface réseau unique qui fait le pont entre les deux frontières anéantit toute la conception.
• Refus par défaut dans les deux sens, chaque flux autorisé étant documenté jusqu'à la source, la destination, le port et la justification métier.
• Initier vers l'extérieur lorsque c'est possible : privilégiez les flux que l'OT ou la DMZ initient vers l'extérieur, plutôt que l'IT initiant des sessions entrantes vers l'OT.
• Séparer le plan de gestion : administrez les hôtes et les pare-feu de la DMZ via un chemin dédié et isolé afin que la gestion ne devienne jamais un canal détourné caché à travers la frontière.
• Traiter la DMZ comme non fiable des deux côtés : l'OT ne fait pas confiance à la DMZ, et l'IT ne fait pas confiance à la DMZ, de sorte qu'un courtier compromis ne peut toujours pas atteindre librement l'OT.

Si vous pouvez tracer une seule session TCP qui commence sur un hôte de niveau 4 et se termine sur un équipement de niveau 2, la DMZ a échoué, quel que soit le nombre de pare-feu qu'elle contient.

07Comment la DMZ se rattache aux normes et à la conformité

Une DMZ industrielle n'est pas un raffinement facultatif ; les principaux cadres de sécurité OT la présupposent. Le NIST SP 800-82 Rev. 3 décrit la segmentation réseau et une DMZ entre les réseaux d'entreprise et de contrôle comme un contrôle architectural fondamental. L'ISA/IEC 62443 exprime la même idée sous la forme de zones et de conduits : la DMZ est un ensemble de zones, et chaque flux autorisé est un conduit défini et surveillé.

Ce rattachement est utile parce qu'il transforme des exigences abstraites en artefacts concrets. Une exigence système 62443-3-3 de protection des frontières de zone devient une règle de pare-feu et un hôte courtier. Une évaluation des risques qui attribue un niveau de sécurité à une zone OT devient la rigueur des règles de conduit à la lisière de la DMZ. Les auditeurs et les régulateurs, y compris ceux appliquant la directive européenne NIS2 et les règles sectorielles, s'attendent de plus en plus à ce que cette documentation existe et corresponde à la configuration en production.

NIST SP 800-82 Rev. 3

Recommande une DMZ entre les réseaux d'entreprise et de contrôle ainsi qu'une segmentation réseau pour limiter l'accessibilité vers l'OT.

Zones et conduits ISA/IEC 62443

Modélise la DMZ comme des zones reliées par des conduits définis, chaque conduit ne transportant que les flux que son niveau de risque autorise.

Recommandations de défense en profondeur de la CISA

Traite la DMZ comme une couche parmi d'autres, associée à la surveillance, au renforcement et à l'accès selon le moindre privilège.

08Pièges courants qui vident la DMZ de sa substance

La plupart des DMZ industrielles défaillantes ont été construites correctement puis se sont érodées. L'architecture reste sur le schéma tandis que la base de règles dérive. Voici les schémas à surveiller et à auditer.

• Prolifération des règles : une série d'exceptions temporaires « tout-vers-tout » ou trop larges qui transforment progressivement la zone tampon en chemin de transit.
• Règles de transit direct déguisées en flux de DMZ : une règle qui référence techniquement un sous-réseau de la DMZ mais qui, en réalité, permet à l'IT d'atteindre des adresses OT.
• Hôtes multi-domiciliés ou faisant le pont, ajoutés par commodité, comme un serveur de sauvegarde ou un ordinateur portable de fournisseur ayant des interfaces dans deux zones.
• Un outil de gestion ou de surveillance atteignant directement l'OT depuis l'IT, réintroduisant précisément le chemin que la DMZ avait supprimé.
• Des hôtes de DMZ non corrigés et non surveillés qui deviennent la base de préparation de l'attaquant parce que la zone tampon a été considérée comme à faible risque.
• Faire confiance à la DMZ comme si elle faisait partie de l'OT, de sorte qu'un seul courtier compromis accorde un large accès en aval.

La défense repose sur une vérification périodique, pas sur une revue de conception ponctuelle. Redérivez les flux autorisés à partir de la configuration du pare-feu et confirmez qu'aucun d'eux ne décrit une conversation directe IT-vers-OT.

09Où le transfert unidirectionnel s'intègre dans la zone tampon

Une DMZ à double pare-feu réduit l'accessibilité, mais ne la supprime pas. Chaque flux autorisé reste un chemin qu'une politique, un identifiant ou une compromission pourrait rendre bidirectionnel. Pour les flux qui n'ont besoin d'aller que dans un seul sens, la zone tampon peut être renforcée en supprimant entièrement le chemin de retour plutôt qu'en le filtrant.

Les conduits en publication seule sont les candidats naturels. L'export d'historian vers la réplique de la DMZ, le transfert de journaux et d'événements vers un SOC, et la réplication de sauvegardes vers l'extérieur partagent tous une propriété : l'OT publie, l'IT consomme, et l'OT ne devrait jamais recevoir de session en retour. Placer un chemin de transfert unidirectionnel sur ces conduits signifie que la route entrante n'existe pas et ne peut donc être détournée, ce qui constitue une garantie plus forte qu'une règle de pare-feu qui se contente de promettre de ne pas l'autoriser.

Utilisez des courtiers pour les conduits qui nécessitent une conversation, et le transfert unidirectionnel pour les conduits qui ne nécessitent qu'une publication. La DMZ est l'endroit où vous décidez, flux par flux, lequel est lequel.

10Validation et feuille de route de construction

Construisez la DMZ comme une séquence, pas comme une bascule unique. Commencez par inventorier chaque flux IT-vers-OT existant, car vous ne pouvez pas remplacer des chemins que vous n'avez pas trouvés. Placez ensuite des courtiers et des répliques pour chaque besoin légitime, migrez les flux vers eux, et seulement après supprimez les anciennes règles directes.

• Inventoriez et documentez chaque flux traversant la frontière actuel, y compris les flux non documentés découverts en inspectant le trafic.
• Mettez en place le segment de la DMZ, les deux pare-feu et une base de référence de refus par défaut avant d'ajouter le moindre hôte.
• Déployez les courtiers et les répliques un service à la fois, en validant chacun lors d'une fenêtre de maintenance.
• Migrez chaque flux vers son courtier ou sa réplique, puis supprimez la règle directe correspondante.
• Vérifiez qu'aucun chemin direct ne subsiste en traçant les flux à partir de la configuration du pare-feu, et non à partir du schéma.
• Ajoutez une surveillance continue des hôtes de la DMZ et du trafic de la frontière, et planifiez des revues récurrentes de la base de règles.

Prévoyez aussi le long terme. À mesure que la demande de données OT augmente, résistez à la tentation d'ajouter des règles directes sous la pression des délais. Ajoutez plutôt un courtier ou une réplique. La discipline consistant à faire passer chaque nouvelle exigence par la zone tampon est ce qui maintient la pertinence de la DMZ cinq ans après sa construction.

11Réflexion finale

Une DMZ industrielle fonctionne parce qu'elle change la question « quel trafic autorisons-nous entre l'IT et l'OT ? » en « comment l'IT obtient-il les données dont il a besoin sans jamais toucher l'OT ? ». La première question invite aux exceptions. La seconde impose des courtiers, des répliques et des chemins unidirectionnels, dont aucun ne laisse une ligne droite vers l'usine.

Construisez-la flux par flux, hôte par hôte, et vérifiez-la à partir de la configuration plutôt que du schéma. La récompense est concrète : lorsqu'une machine d'entreprise est compromise, l'attaquant atteint une zone tampon et s'arrête, parce que le chemin sur lequel il comptait n'a jamais existé.

FAQQuestions fréquentes

SRCSources de référence