Segmentation et microsegmentation des réseaux OT : guide pratique

01Points clés à retenir

1. 01

   La segmentation divise un réseau OT en groupes contrôlés, de sorte que le trafic entre eux est forcé de passer par un point d'application que vous pouvez inspecter, journaliser et refuser.

2. 02

   La microsegmentation étend le contrôle au trafic est-ouest entre équipements à l'intérieur d'une zone, c'est-à-dire précisément là où se produit le déplacement latéral après une prise de pied initiale.

3. 03

   Un VLAN est un composant de base de la segmentation, et non une frontière de sécurité en soi ; sans point de politique entre les VLAN, la séparation reste purement logique.

4. 04

   Le refus par défaut est le principe de fonctionnement qui rend la segmentation réelle : définissez les rares flux dont la production a besoin, autorisez-les et bloquez le reste.

5. 05

   Pour les frontières de publication uniquement, comme l'exportation de télémétrie ou de sauvegardes, le transfert unidirectionnel supprime le chemin de retour que la politique de segmentation ne peut que restreindre.

02Ce que signifie réellement la segmentation d'un réseau OT

La segmentation des réseaux OT consiste à scinder un réseau industriel en groupes distincts et à forcer le trafic entre ces groupes à passer par un point de contrôle. Ce point de contrôle est généralement un pare-feu, un commutateur de niveau 3 doté d'un contrôle d'accès, ou une passerelle. L'enjeu, c'est l'application : si deux groupes ne peuvent s'atteindre qu'à travers un équipement qui applique une politique, vous pouvez décider de ce qui est autorisé et prouver ce qui a franchi la frontière.

Sans segmentation, un réseau de contrôle se comporte comme un seul grand domaine de diffusion où n'importe quel équipement peut parler à n'importe quel autre. C'est pratique pour l'ingénierie et désastreux pour le confinement. Une seule station de travail compromise, une IHM vulnérable ou un ver qui recherche des ports ouverts peut atteindre l'ensemble du parc, car rien ne se dresse entre les équipements.

En bref : la segmentation, c'est l'endroit où le trafic est forcé de s'arrêter et d'être vérifié. Si deux systèmes peuvent s'atteindre sans passer par un point de politique, ils ne sont pas segmentés l'un de l'autre, quelle que soit la manière dont le schéma réseau est dessiné.

03Macrosegmentation ou microsegmentation

La plupart des programmes OT commencent par la macrosegmentation : de grandes zones telles que le réseau d'entreprise, une DMZ industrielle, le niveau de supervision et le niveau de contrôle. Ces frontières grossières s'alignent naturellement sur les architectures de référence et sont la première chose qu'un auditeur recherche. Elles sont nécessaires, mais laissent de vastes espaces plats à l'intérieur de chaque zone.

La microsegmentation contrôle le trafic à l'intérieur de ces zones. Elle restreint quels automates (PLC) peuvent parler à quelles IHM, quelles stations d'ingénierie peuvent atteindre quels contrôleurs, et quels équipements peuvent utiliser quels protocoles. C'est le trafic qui se déplace est-ouest, de pair à pair, et c'est le trafic sur lequel les attaquants s'appuient après avoir obtenu une prise de pied initiale. Les zones grossières ne font rien pour empêcher une IHM compromise d'atteindre un contrôleur voisin situé sur le même sous-réseau.

Macrosegmentation

Séparation entre de grandes zones telles que l'IT, la DMZ industrielle, les systèmes de supervision et les systèmes de contrôle. Arrête le franchissement nord-sud entre niveaux de confiance.

Microsegmentation

Séparation entre équipements individuels ou petites cellules fonctionnelles à l'intérieur d'une zone. Arrête le déplacement latéral est-ouest qui ne franchit jamais une frontière de zone.

Trafic est-ouest

Communication entre pairs situés au même niveau, comme d'une IHM vers un automate ou d'un automate vers un automate, plutôt que de haut en bas entre niveaux de confiance.

04Pourquoi la segmentation compte : déplacement latéral et rayon d'impact

La plupart des incidents OT les plus dommageables impliquent un déplacement après la première compromission. Un attaquant atterrit rarement directement sur un contrôleur de sécurité. Il atterrit sur un hôte de rebond exposé, un ordinateur portable d'ingénierie hameçonné ou un service exposé sur Internet, puis se déplace latéralement vers les systèmes qui comptent. La segmentation est le contrôle qui décide jusqu'où ce déplacement peut aller.

MITRE ATT&CK for ICS catalogue directement ce comportement. Des techniques telles que le Lateral Tool Transfer, l'exploitation de services distants et l'utilisation de comptes valides dépendent de chemins accessibles entre les équipements. Si une IHM compromise ne peut pas ouvrir de session vers un contrôleur parce qu'un point de politique le refuse, plusieurs de ces techniques échouent tout simplement au niveau réseau.

L'autre raison est le rayon d'impact. Des rançongiciels qui ont frappé des réseaux IT ont débordé à plusieurs reprises vers l'OT parce que les deux étaient plats l'un par rapport à l'autre. L'arrêt de Colonial Pipeline en 2021 fut une décision côté métier de suspendre les opérations, en partie parce que les exploitants ne pouvaient pas être certains que le logiciel malveillant n'avait pas franchi la frontière. Une segmentation solide transforme un événement à l'échelle de l'usine en un événement confiné et rend cette certitude défendable.

05Comment la segmentation est appliquée : VLAN, pare-feux et passerelles

La segmentation est appliquée par un empilement de mécanismes, et les confondre est une erreur courante. Un VLAN sépare les domaines de diffusion au niveau 2. C'est un composant de base utile, mais deux VLAN sur le même commutateur n'offrent aucune frontière de sécurité tant que le trafic entre eux n'est pas routé à travers un équipement qui applique une politique. Les VLAN organisent le réseau ; ils n'imposent pas, à eux seuls, qui peut parler à qui.

L'application se fait au niveau 3 et au-dessus. Un pare-feu conscient de l'OT, placé entre les zones, peut autoriser des paires source-destination spécifiques, inspecter des protocoles industriels tels que Modbus/TCP, EtherNet/IP, OPC UA et DNP3, et journaliser chaque session. À l'intérieur d'une zone, la microsegmentation peut être appliquée par une politique basée sur l'hôte, des listes de contrôle d'accès sur les commutateurs, des VLAN privés ou des passerelles conscientes de l'identité qui filtrent le trafic par équipement plutôt que par sous-réseau.

• Niveau 2 (VLAN, VLAN privés) : séparent les domaines de diffusion et isolent les ports, mais nécessitent un point de politique entre eux pour avoir un sens.
• Niveau 3 (ACL routées, pare-feux OT) : autorisent ou refusent par adresse, port et direction entre zones et conduits.
• Couche applicative (pare-feux conscients des protocoles, inspection approfondie des paquets) : n'autorisent que les fonctions valides des protocoles industriels, comme un Modbus en lecture seule lorsque les écritures ne sont pas nécessaires.
• Couche hôte et identité (agents de microsegmentation, NAC) : filtrent le trafic est-ouest par équipement ou par charge de travail, indépendamment de la topologie physique.

06Refus par défaut : le principe qui rend la segmentation réelle

La segmentation n'apporte de valeur que si la réponse par défaut est non. Une posture de refus par défaut signifie que le pare-feu ou la passerelle bloque tout ce qui n'est pas explicitement autorisé. Vous énumérez ensuite le petit ensemble de flux dont la production a réellement besoin, écrivez des règles pour exactement ceux-là, et laissez le reste refusé. C'est l'inverse du réglage permissif par défaut avec lequel les réseaux OT plats ont grandi.

L'avantage pratique du refus par défaut en OT est que les flux légitimes sont étonnamment peu nombreux et stables. Un contrôleur parle à une IHM connue sur un protocole connu ; un historian interroge des sources connues ; une station d'ingénierie atteint les automates qui lui sont assignés pendant la maintenance. Une fois ceux-ci établis comme référence, tout le reste, comme une station de travail qui se met soudain à scanner le sous-réseau de contrôle, est à la fois refusé et visible en tant qu'anomalie.

Un test utile pour toute conception de segmentation : si vous ne pouvez pas lister les flux exacts qu'une zone est autorisée à envoyer et à recevoir, la zone n'est pas segmentée, elle est simplement étiquetée. L'application, c'est la liste d'autorisation que vous pouvez produire à la demande, pas le schéma accroché au mur.

07Correspondance avec les zones, les conduits et les normes

La segmentation est la pratique d'ingénierie ; les normes lui donnent structure et vocabulaire. L'ISA/IEC 62443 décrit un réseau industriel comme des zones (groupes d'équipements partageant des exigences de sécurité communes) reliées par des conduits (les chemins de communication contrôlés entre elles). La microsegmentation revient, en pratique, à définir des zones plus petites et des conduits plus étroits. La norme attend que chaque conduit ait un objectif défini et un niveau de sécurité cible.

Le NIST SP 800-82 Rev. 3 recommande la segmentation et l'isolation du réseau comme contrôle OT fondamental et met l'accent sur la défense en profondeur plutôt que sur un périmètre unique. Les orientations intersectorielles de la CISA et sa documentation sur la défense en profondeur des ICS défendent la même idée : segmenter par fonction et par conséquence, puis contrôler les conduits. Aucun de ces documents ne traite une étiquette VLAN comme une frontière ; ils traitent le conduit appliqué comme la frontière.

Zone

Un regroupement d'équipements partageant des exigences de sécurité et un niveau de confiance. La segmentation crée des zones ; la microsegmentation en crée de plus petites.

Conduit

Le chemin contrôlé entre zones. Chaque flux autorisé emprunte un conduit doté d'un objectif, d'une direction et d'un niveau de protection définis.

Niveau de sécurité

La capacité cible de la 62443 pour une zone ou un conduit, utilisée pour décider de la force que doit avoir le contrôle qui l'applique.

08Une séquence pratique pour segmenter un réseau OT

Les projets de segmentation échouent lorsqu'ils commencent par des achats de matériel plutôt que par la connaissance. Vous ne pouvez pas écrire de règles de refus par défaut pour un trafic que vous n'avez pas observé. La séquence fiable consiste à apprendre d'abord le réseau, puis à appliquer par étapes, en validant le comportement de la production à chaque étape avant de resserrer davantage.

• Constituer un inventaire des équipements et cartographier passivement les communications réelles, afin de savoir ce qui parle à quoi avant de changer quoi que ce soit.
• Regrouper les équipements en zones par fonction et par conséquence, et non par emplacement physique ou selon ce qui partage un commutateur aujourd'hui.
• Définir les conduits : pour chaque paire de zones devant communiquer, lister les protocoles, ports et directions exacts requis.
• Appliquer d'abord la macrosegmentation avec des pare-feux conscients de l'OT entre les zones, en mode surveillance avant le mode refus.
• Introduire la microsegmentation à l'intérieur des zones à plus forte conséquence, en restreignant le trafic est-ouest entre cellules et équipements individuels.
• Passer au refus par défaut une fois les flux établis comme référence, et maintenir un processus d'exception assorti de dates d'expiration pour que les règles temporaires ne deviennent pas permanentes.

Tout au long du processus, considérez le mode surveillance comme un cadeau, non comme un retard. Exécuter de nouvelles règles en mode alerte seule fait remonter les flux non documentés que possède toute usine brownfield, et vous permet de les corriger avant qu'ils ne provoquent une panne. Passer directement à l'application est le moyen le plus rapide de perdre la confiance des opérations dans l'ensemble du programme.

09Pièges courants et comment la segmentation s'érode discrètement

La plupart des segmentations n'échouent pas au moment de la conception. Elles s'érodent au fil des années sous la pression opérationnelle, où chaque exception individuelle semble raisonnable et l'effet cumulé est un réseau plat portant un schéma segmenté. Connaître les schémas de défaillance aide à concevoir pour s'en prémunir.

• Traiter les VLAN comme une frontière, sans qu'aucun équipement de politique ne route et ne filtre réellement entre eux.
• Des règles any-any ou trop larges ajoutées pendant la mise en service et jamais resserrées une fois la production stabilisée.
• Des exceptions permanentes d'accès fournisseur ou distant ouvertes pour une seule fenêtre de maintenance et jamais refermées.
• Des stations d'ingénierie ou hôtes de rebond à double rattachement qui pontent deux zones et défont discrètement la frontière.
• Des connexions oubliées de gestion, de syslog ou de sauvegarde qui réintroduisent l'accessibilité que la segmentation était censée supprimer.
• Des règles de microsegmentation jamais revues, si bien que les autorisations d'un équipement mis hors service subsistent comme chemin d'attaque.

La défense est la gouvernance, pas seulement la technologie : chaque règle a un propriétaire et un objectif, les exceptions portent des dates d'expiration, et la base de règles est revue par rapport à l'inventaire des équipements selon un calendrier. Une conception de segmentation sans discipline de maintenance redevient plate en quelques années.

10La place du transfert unidirectionnel et de la réduction d'exposition

Les pare-feux et la microsegmentation restreignent l'accessibilité par politique, et c'est le bon outil pour les frontières qui nécessitent un échange bidirectionnel contrôlé. Mais certains conduits n'ont besoin de transporter des données que vers l'extérieur : télémétrie vers une réplique d'historian, journaux vers un SOC, sauvegardes vers un site de reprise, chiffres de production vers le reporting d'entreprise. Pour ceux-là, la politique peut restreindre le chemin de retour, mais le chemin existe encore physiquement et dépend du maintien d'une configuration correcte.

Une diode de données change la donne. Elle impose un flux de données unidirectionnel dans le matériel, de sorte que la destination n'a aucune route de retour vers la zone protégée par ce conduit. En termes de segmentation, c'est le conduit le plus fort possible pour un flux de publication uniquement : il n'y a rien à mal configurer pour le rendre bidirectionnel, et la dérive des règles ne peut pas rouvrir le chemin de retour. C'est un contrôle parmi d'autres, non un remplacement de la segmentation, mais il élimine une catégorie de risque que les pare-feux ne peuvent que gérer. Les équipes qui comparent les options évaluent souvent un modèle de connectivité unidirectionnelle contrôlée aux côtés des conduits pare-feu et de la microsegmentation.

Règle de décision pour un conduit : si le flux nécessite une conversation, utilisez un conduit pare-feu et microsegmentez autour. Si le flux ne fait que publier, évaluez le transfert unidirectionnel afin que le chemin de retour n'existe pas pour être exploité.

11Une feuille de route, pas un projet

La segmentation n'est presque jamais terminée. Le parc d'équipements évolue, de nouveaux conduits sont demandés, et la base de règles de refus par défaut de l'an dernier dérive sous la pression opérationnelle. Les organisations qui gardent leurs réseaux segmentés la traitent comme une capacité continue dotée de propriétaires, de revues et d'indicateurs, et non comme une installation ponctuelle que l'on valide puis oublie.

Commencez là où la conséquence est la plus élevée et l'accessibilité la plus large, généralement la frontière entre l'IT et l'OT et les cellules de contrôle les plus critiques. Faites d'abord appliquer la macrosegmentation et fonctionner le refus par défaut à cet endroit, puis poussez la microsegmentation vers l'intérieur et le transfert unidirectionnel sur les conduits de publication uniquement. Mesurez la progression à la brièveté et à la clarté de vos listes d'autorisation, et à la rapidité avec laquelle vous pouvez répondre à la question que tout régulateur et tout intervenant en incident finit par poser : que peut, exactement, parler à cet équipement ?

FAQQuestions fréquentes

SRCSources de référence