EN
Les enjeux sont différents sur le plancher d’usine
Les environnements informatiques industriels partagent certaines similitudes avec les réseaux d’entreprise traditionnels, mais les différences comptent davantage. Un serveur de messagerie compromis crée des désagréments. Un contrôleur logique programmable (PLC) compromis peut arrêter une chaîne de production, endommager des équipements ou créer des risques pour la sécurité. Les conséquences échelonnent différemment. Cette distinction fondamentale justifie la nécessité d’approches de sécurité tenant compte des caractéristiques uniques de la technologie opérationnelle (OT).
Les pare-feu matériels offrent un niveau d’isolation que les solutions logicielles peinent à égaler. Ils sont positionnés entre le réseau corporatif et le réseau de contrôle industriel, appliquant des règles strictes concernant le trafic autorisé à circuler entre les deux. Cette séparation ne vise pas uniquement à empêcher les acteurs malveillants d’accéder au système : elle permet aussi d’éviter que des dysfonctionnements sur le réseau métier n’affectent la production. Un serveur DHCP mal configuré ou une tempête de diffusion (broadcast storm) sur le réseau informatique ne doit pas entraîner l’arrêt d’une ligne de fabrication. Les pare-feu matériels contribuent à maintenir cette délimitation.
Pourquoi les protocoles industriels exigent-ils un traitement spécialisé
Les pare-feu standards comprennent le protocole TCP/IP. Ils gèrent sans problème les protocoles d’entreprise courants tels que HTTP et SMTP. Toutefois, les réseaux industriels utilisent un langage différent. Des protocoles tels que Modbus, Profinet, EtherNet/IP, DNP3 et une douzaine d’autres transmettent des commandes qui contrôlent directement des processus physiques. Un dispositif pare-feu générique pourrait ne pas reconnaître du tout ces protocoles, les traitant comme un trafic inconnu et les bloquant ou les laissant passer sans inspection.
Les dispositifs pare-feu matériels de niveau industriel intègrent une inspection approfondie des paquets sensible aux protocoles. Ils comprennent la structure des messages des protocoles industriels et peuvent détecter des anomalies — par exemple des requêtes mal formées, des commandes hors séquence ou des motifs de trafic s’écartant du fonctionnement normal. Cette capacité est essentielle, car les attaques contre les systèmes industriels exploitent souvent des faiblesses au niveau des protocoles plutôt que des vulnérabilités au niveau de la couche réseau. Un pare-feu incapable d’analyser la couche application ne peut pas protéger contre ces menaces.
L’équation des performances : la latence compte
Les réseaux d’entreprise tolèrent une latence de plusieurs centaines de millisecondes sans impact perceptible. Les réseaux de commande industrielle fonctionnent souvent selon des délais beaucoup plus stricts. Une boucle de commande de mouvement peut exiger des mises à jour toutes les quelques millisecondes. Un système de verrouillage de sécurité attend une réponse dans une fenêtre temporelle définie. Trop de latence à n’importe quel point du parcours entraîne la défaillance du système.
Les pare-feu matériels conçus pour une utilisation industrielle répondent à ce besoin par plusieurs mécanismes. Ils déchargent le traitement des paquets vers un matériel dédié, plutôt que de s’appuyer sur des unités centrales généralistes. Ils conservent leurs tables d’état en mémoire rapide, et non sur disque. Ils appliquent les règles d’inspection avec suffisamment d’efficacité pour éviter tout retard mesurable. Le résultat est une sécurité qui ne compromet pas les performances. Les pare-feu logiciels exécutés sur du matériel partagé ne peuvent pas toujours offrir cette même garantie, notamment sous charge.
La segmentation comme stratégie de sécurité
La norme IEC 62443 formalise ce que de nombreux spécialistes de la sécurité industrielle savaient déjà : les réseaux doivent être divisés en zones, et le trafic entre ces zones doit être contrôlé. Les pare-feu matériels servent de points d’application de ces limites de zone. Ils mettent en œuvre l’exigence de « flux de données restreint », au cœur du modèle de sécurité défini par cette norme.
La segmentation pratique varie d’un site à l’autre. Certaines organisations séparent entièrement les systèmes informatiques (IT) des systèmes opérationnels (OT), le pare-feu matériel constituant alors le seul point de connexion. D’autres créent des zones supplémentaires au sein du réseau OT — par exemple en isolant les systèmes de sécurité des systèmes de commande, ou en séparant les équipements anciens non patchables. Les pare-feux matériels situés à chaque limite appliquent les règles correspondantes, en journalisant le trafic et en bloquant les violations. Cette approche en couches limite les dégâts causés par toute compromission individuelle. Ainsi, un attaquant qui pénètre le réseau IT se heurte encore à des obstacles supplémentaires avant d’atteindre les systèmes de production critiques.
| Scénario de déploiement | Fonction principale | Point essentiel à considérer |
|---|---|---|
| Frontière IT-OT | Contrôler tout le trafic entre les réseaux d'entreprise et les réseaux de production | L’ensemble de règles doit équilibrer sécurité et besoins opérationnels |
| Zones internes OT | Isoler les systèmes de sécurité, les équipements anciens et les actifs critiques | L’inspection sensible aux protocoles est essentielle |
| Point d’accès à distance | Connexions externes sécurisées pour la maintenance et la surveillance | Nécessite une authentification forte et un chiffrement |
| Segment DMZ | Services d’hébergement accessibles à la fois depuis les réseaux informatiques (IT) et les réseaux opérationnels (OT) | Les règles de pare-feu doivent être précises et correctement documentées |
Que se passe-t-il en l’absence de pare-feu
Une usine de transformation chimique située dans la région du Golfe du Mexique a appris cette leçon à ses dépens. L’installation s’était développée sur plusieurs décennies, intégrant progressivement des systèmes de commande connectés sans investir de façon équivalente dans la sécurité réseau. Les réseaux IT et OT formaient en pratique un seul et même réseau plat. Lorsqu’une mise à jour logicielle courante sur un serveur IT a généré un trafic réseau imprévu, le système de commande a connu des défaillances intermittentes de communication. Rien de malveillant — simplement une tempête de diffusion provoquée par une application défectueuse. Pourtant, l’impact sur la production a été immédiat et coûteux.
L’usine a consacré plusieurs jours à identifier la cause du problème, tout en maintenant une production réduite. La solution finale a consisté à installer des pare-feu matériels entre les réseaux IT et OT, accompagnés de règles adéquates de segmentation. Cette expérience a mis en lumière un aspect facile à négliger : la sécurité ne vise pas uniquement à se prémunir contre les attaquants. Elle consiste aussi à assurer la stabilité opérationnelle face aux activités IT courantes, susceptibles de perturber involontairement les systèmes industriels.
L’avantage pratique du matériel dédié
Les pare-feu matériels offrent des avantages allant au-delà de la sécurité. Ils établissent des limites administratives claires. Les équipes réseau savent précisément où se termine le réseau IT et où commence le réseau OT. La gestion des incidents devient plus simple : les journaux du pare-feu indiquent exactement quel trafic a franchi la frontière, et à quel moment. Les audits de conformité bénéficient également de cette même clarté.
Les appareils eux-mêmes sont conçus pour fonctionner en continu. Ils ne comportent aucune pièce mobile, utilisent un refroidissement passif et intègrent des options redondantes d’alimentation dans de nombreuses configurations. Ces choix de conception tiennent compte de l’environnement d’exploitation : les installations industrielles ne sont pas des salles informatiques climatisées. Les variations de température, les vibrations et la poussière font partie intégrante de la réalité quotidienne. Le matériel conçu pour ces conditions a une durée de vie plus longue et tombe en panne moins fréquemment que les équipements grand public réaffectés à des fonctions de sécurité.