Surveillance des réseaux OT : détection passive sans ajouter de surface d'attaque

01Points clés à retenir

1. 01

   La surveillance des réseaux OT est essentiellement passive : elle observe une copie du trafic plutôt que de sonder les systèmes de contrôle en fonctionnement, car le balayage actif peut perturber des équipements fragiles.

2. 02

   La surveillance passive fournit un inventaire des actifs, une définition de ligne de base tenant compte des protocoles, ainsi qu'une détection des anomalies et des menaces à partir d'un flux SPAN ou TAP, sans agents sur les automates (PLC) ou les unités terminales distantes (RTU).

3. 03

   Une détection efficace en OT combine la définition de lignes de base comportementales avec des signatures de menaces connues et une correspondance avec les techniques de MITRE ATT&CK pour ICS.

4. 04

   Les normes l'exigent : le NIST SP 800-82 Rev. 3 et l'ISA/IEC 62443 appellent tous deux à une surveillance continue conçue autour de la sûreté et de la disponibilité OT.

5. 05

   La pile de surveillance elle-même constitue une surface d'attaque. Faire sortir ses données via un transfert unidirectionnel maintient le SOC informé sans ouvrir de chemin entrant vers la zone OT.

02Ce qu'est la surveillance des réseaux OT

La surveillance des réseaux OT est l'observation continue du trafic, des équipements et des comportements au sein d'un réseau de technologies opérationnelles. Elle couvre les systèmes qui pilotent des processus physiques : automates programmables industriels (PLC), unités terminales distantes (RTU), interfaces homme-machine (IHM), stations d'ingénierie, historiens et les protocoles qui les relient.

L'objectif est triple : savoir ce qui se trouve sur le réseau, savoir comment il communique normalement, et savoir quand quelque chose s'écarte de la norme. En informatique de gestion (IT), c'est une routine. En OT, les actifs sont souvent anciens, non documentés, peu tolérants au trafic inattendu et liés à la sûreté et à la disponibilité ; la méthode de surveillance compte donc autant que les données qu'elle produit.

En bref : la surveillance des réseaux OT, c'est la visibilité et la détection industrielles réalisées sans dégrader le processus qu'elles observent.

03Pourquoi la surveillance OT est passive par défaut

Les outils de sécurité IT découvrent souvent les actifs en les balayant activement : en envoyant des sondes et en lisant les réponses. En OT, cette approche comporte un risque réel. De nombreux équipements de contrôle disposent de piles réseau réduites et d'une marge de traitement limitée. Un balayage de ports agressif ou une sonde mal formée a déjà provoqué le plantage d'automates, le déclenchement de fonctions de sûreté ou des perturbations de processus.

La surveillance passive évite cela en ne générant jamais de trafic vers les équipements de contrôle. Elle reçoit une copie miroir du trafic réseau et l'analyse hors bande. Rien de nouveau n'est injecté sur le fil, il n'y a donc aucune sonde susceptible de déstabiliser un point d'extrémité sensible. Le NIST SP 800-82 Rev. 3 privilégie explicitement les techniques passives en OT et considère le balayage actif comme un procédé à employer avec prudence, voire pas du tout, et idéalement uniquement lors de fenêtres de test ou de maintenance.

Surveillance passive

Analyse une copie du trafic existant provenant d'un TAP ou d'un port SPAN. N'ajoute aucun paquet au réseau OT et ne peut pas perturber les points d'extrémité.

Balayage actif

Envoie des requêtes aux équipements pour les découvrir et les identifier. Plus rapide et plus riche, mais il peut perturber les actifs OT fragiles et est généralement limité à des fenêtres contrôlées.

Interrogation sélective

Une forme d'interrogation active, restreinte et tenant compte du fournisseur, utilisée avec parcimonie pour enrichir les données passives, avec une temporisation prudente et une approbation explicite des actifs.

04Pourquoi la visibilité est le fondement de la défense OT

Les défenseurs ne peuvent pas réagir à une activité qu'ils n'observent jamais. La plupart des environnements OT se sont développés sur des décennies, avec des actifs ajoutés par différents intégrateurs, fournisseurs et équipes. Il en résulte des réseaux dont personne ne détient un inventaire complet et à jour. La surveillance est le moyen par lequel cet inventaire devient réel et le reste.

La visibilité sous-tend également la détection. Des incidents tels que les attaques de 2015 et 2016 contre le réseau électrique ukrainien, et l'attaque TRITON/TRISIS de 2017 contre un système instrumenté de sûreté, ont montré que les adversaires opèrent à l'intérieur des réseaux OT pendant des semaines avant d'agir. Ils utilisent des protocoles d'ingénierie légitimes et des identifiants volés, ce qui leur permet de se fondre dans la masse. Sans surveillance au niveau du trafic, cette activité reste invisible jusqu'à ce que le processus soit déjà affecté.

La surveillance passive est aussi l'un des rares contrôles qui ne dépend pas des correctifs. Lorsqu'un actif ne peut être ni corrigé ni durci, observer son comportement est souvent le contrôle compensatoire le plus réaliste disponible.

05Comment fonctionne la surveillance passive des réseaux OT

La surveillance passive commence au niveau de la couche physique. Un TAP réseau ou un port SPAN/miroir de commutateur produit une copie du trafic traversant un segment. Cette copie est transmise à un capteur qui effectue une inspection approfondie des paquets sur les protocoles industriels tels que Modbus/TCP, EtherNet/IP, DNP3, PROFINET, OPC UA, IEC 60870-5-104 et S7comm.

À partir de ce trafic, le capteur extrait les actifs, les relations de communication et les variables de processus. Il apprend une ligne de base du comportement normal : quels équipements communiquent avec quels autres, sur quels protocoles, dans quel ordre, à quelle fréquence. Une fois la ligne de base établie, les écarts deviennent des événements pouvant faire l'objet d'alertes. L'analyse se déroule hors du chemin de production, de sorte que le réseau OT n'attend jamais après le système de surveillance.

• Capture : un TAP ou un port SPAN reflète le trafic vers le capteur sans toucher aux points d'extrémité.
• Analyse : l'inspection approfondie des paquets décode les protocoles industriels jusqu'aux codes de fonction et aux valeurs de processus.
• Inventaire : les actifs, les versions de micrologiciel et les conversations sont découverts à partir du trafic observé.
• Ligne de base : le capteur modélise les schémas de communication normaux pendant une période d'apprentissage.
• Détection : les anomalies, les signatures de menaces connues et les violations de politique sont signalées aux analystes.
• Transmission : les alertes enrichies et les métadonnées sont envoyées à un SIEM, un historien ou un SOC pour corrélation.

06Ce que la surveillance OT détecte réellement

Une bonne surveillance OT combine deux styles de détection. La détection comportementale signale les écarts par rapport à la ligne de base apprise : un nouvel équipement, une conversation inattendue, une commande d'ingénierie provenant d'un hôte inhabituel, ou un téléchargement de configuration en dehors d'une fenêtre de maintenance. La détection par signature compare le trafic à des indicateurs connus et à des schémas d'abus de protocole.

Les plateformes les plus utiles font correspondre les constats à MITRE ATT&CK pour ICS, afin que les analystes puissent raisonner sur le comportement des adversaires plutôt que sur des paquets bruts. Parmi les techniques à surveiller figurent les connexions d'ingénierie non autorisées, le téléchargement de programme et la modification de la logique de contrôle, la manipulation de l'image d'entrées/sorties, le déni de service contre les contrôleurs, ainsi que la perte de vue ou la perte de contrôle qui précède souvent un impact physique.

• Actifs nouveaux ou non autorisés apparaissant sur un segment censé être statique.
• Commandes de protocole d'ingénierie (téléversement/téléchargement de programme, arrêt/démarrage) provenant de sources inattendues.
• Modifications de la logique d'automate, des points de consigne ou de la configuration d'entrées/sorties.
• Identifiants en clair, protocoles en clair et authentification faible sur les conduits.
• Balayage, force brute ou fuzzing de protocole provenant de l'intérieur de la zone OT.
• Communications franchissant des frontières de zone que la politique de segmentation devrait interdire.

07Concevoir une architecture de surveillance par zone

Le placement des capteurs suit l'architecture réseau, et non l'inverse. L'ISA/IEC 62443 organise l'OT en zones et conduits, et le modèle de Purdue structure l'usine en couches, depuis les équipements de terrain jusqu'aux systèmes de l'entreprise. Une surveillance efficace place les capteurs là où passe le trafic le plus pertinent pour la sécurité : au niveau des conduits entre zones, à la frontière entre le réseau de contrôle et la DMZ, et au sein des cellules critiques.

Les TAP matériels sont préférables aux ports SPAN pour les liaisons à forte valeur, car ils sont à sûreté intégrée, ne perdent pas de trames en charge et ne peuvent pas être reconfigurés par un commutateur compromis. Les ports SPAN sont pratiques et acceptables pour les segments de moindre criticité où une perte occasionnelle de trames est tolérable. Dans la mesure du possible, l'interface de capture du capteur devrait être en réception seule au niveau de la couche physique, de sorte que le capteur lui-même ne puisse pas émettre vers le réseau surveillé.

Un capteur de surveillance doté d'une interface de gestion capable d'émettre du côté OT constitue un nouveau point de pivot. Traitez le capteur comme un actif à protéger, et non comme un simple outil qui protège les autres.

08Correspondance avec les normes et la conformité

La surveillance continue n'est pas facultative selon les cadres actuels. Le NIST SP 800-82 Rev. 3 s'appuie sur les familles de contrôles du SP 800-53, notamment les familles audit et responsabilité (AU) et intégrité des systèmes et des informations (SI), et les adapte aux contraintes OT. L'ISA/IEC 62443-3-3 définit des exigences système qui incluent la détection des événements de sécurité et la surveillance continue des conduits.

La réglementation sectorielle renforce cela. Dans les systèmes électriques de grande puissance nord-américains, les normes NERC CIP telles que CIP-007 exigent une surveillance des événements de sécurité sur les cybersystèmes applicables. Dans l'UE, la directive NIS2 oblige les opérateurs de services essentiels à détecter et à signaler les incidents importants, ce qui est difficile sans une surveillance adaptée à l'OT. Les objectifs de performance intersectoriels de la CISA appellent de même à une visibilité et à une détection réseau dans les infrastructures critiques.

NIST SP 800-82 Rev. 3

Guide de sécurité OT ; recommande la surveillance passive et adapte les contrôles AU et SI du SP 800-53 aux contraintes industrielles.

ISA/IEC 62443-3-3

Exigences de sécurité système, incluant la détection et la surveillance des événements de sécurité à travers les zones et les conduits.

NERC CIP-007

Exige la surveillance et la journalisation des événements de sécurité pour les cyberactifs applicables des systèmes électriques de grande puissance.

09Les écueils courants qui compromettent la surveillance OT

Les projets de surveillance échouent moins à cause de mauvais capteurs qu'à cause d'une mauvaise conception et d'une mauvaise exploitation. L'erreur la plus fréquente est de déployer une détection sans personne pour y donner suite. Les alertes que personne ne trie créent du bruit, et le bruit habitue les opérateurs à ignorer la console.

• S'appuyer sur des ports SPAN qui abandonnent silencieusement des trames en charge, laissant des angles morts durant les moments les plus intenses.
• Considérer le balayage actif comme sûr et sonder des contrôleurs qui ne peuvent pas le tolérer.
• Calibrer la ligne de base pendant une période anormale, de sorte que le « normal » appris soit erroné.
• Générer des alertes sans processus de tri, sans procédure de réponse ni responsable désigné.
• Oublier que le serveur de surveillance, son réseau de gestion et son flux de données constituent eux-mêmes une surface d'attaque.
• Envoyer la télémétrie OT au SOC via une liaison bidirectionnelle qui devient un chemin entrant vers l'usine.

Ce dernier point est celui que l'on néglige le plus souvent. Ajouter de la visibilité ne devrait pas ajouter d'accessibilité. Un déploiement de surveillance qui ouvre une connexion routable et bidirectionnelle depuis le SOC de l'entreprise vers la zone OT peut discrètement devenir le chemin le plus dangereux du réseau.

10Où s'insère le transfert unidirectionnel

Les données de surveillance doivent quitter la zone OT pour être utiles : elles alimentent le SIEM, le SOC et les analyses de long terme. La question est de savoir comment les exporter sans créer de chemin de retour. C'est là que le transfert unidirectionnel s'intègre naturellement. Le flux de surveillance est, par définition, en publication seule : les données sortent, et rien n'a besoin de revenir.

Une diode de données ou une passerelle unidirectionnelle permet aux journaux, aux alertes et aux métadonnées de paquets de passer du côté OT au côté entreprise tout en empêchant physiquement le trafic de revenir par cette frontière. Le SOC obtient une visibilité complète ; la zone OT ne gagne aucune nouvelle voie entrante. Combinée à des capteurs passifs qui n'émettent jamais vers le réseau de contrôle, toute la chaîne de surveillance peut être conçue pour ajouter de l'observation sans ajouter d'exposition.

Ce n'est qu'un contrôle parmi plusieurs. Une diode ne trie pas les alertes, ne calibre pas les lignes de base et ne remplace pas la segmentation. Pour les équipes qui pèsent les options, un schéma de connectivité contrôlée AIRGAPNET peut se placer aux côtés des capteurs passifs, des TAP et de l'intégration au SOC dans le cadre d'une même conception de surveillance, de sorte que la décision porte sur les frontières qui doivent être en ligne, unidirectionnelles ou déconnectées par défaut.

11Une séquence de démarrage pratique

Commencez là où se concentrent le risque et le trafic, puis étendez. La visibilité apporte de la valeur rapidement, car la plupart des environnements n'ont jamais vu leur propre liste d'actifs ni leur carte de communication.

• Cartographier le réseau et identifier les zones, les conduits et les segments aux conséquences les plus élevées.
• Placer un flux TAP ou SPAN à la frontière OT-DMZ et sur la cellule la plus critique en premier.
• Faire fonctionner un capteur passif en mode apprentissage et construire un inventaire des actifs et une ligne de base.
• Ajuster les détections au processus, faire correspondre les constats à MITRE ATT&CK pour ICS, et attribuer la responsabilité des alertes.
• Exporter les alertes et les métadonnées vers le SOC par un chemin unidirectionnel afin que la visibilité ne devienne jamais une voie entrante.
• Étendre la couverture des capteurs zone par zone, en validant qu'aucun composant de surveillance ne peut émettre vers le réseau de contrôle.

L'objectif n'est pas une couverture parfaite dès le premier jour. Il s'agit de transformer un réseau OT opaque en un réseau que l'on peut voir, dont on peut définir la ligne de base et que l'on peut défendre, tout en empêchant la surveillance elle-même de devenir la prochaine voie d'entrée.

FAQQuestions fréquentes

SRCSources de référence