OT / ICS

Surveiller un réseau OT sans toucher aux automates

La surveillance passive d'un réseau OT consiste à lire le trafic industriel à partir d'une copie, prise sur un port SPAN ou un TAP réseau, sans envoyer un seul paquet à un automate, une RTU ou un serveur SCADA. Rien n'est installé sur les contrôleurs et rien n'y change : c'est pourquoi c'est la façon habituelle d'apporter de la visibilité aux réseaux de production qu'on ne peut ni corriger, ni redémarrer, ni scanner à volonté.

Le fait à retenir

Le 1er décembre 2023, la CISA et des agences partenaires ont indiqué dans l'avis AA23-335A que des acteurs liés aux IRGC avaient compromis des automates Unitronics utilisés dans des installations d'eau potable et d'assainissement aux États-Unis. Les automates étaient probablement accessibles depuis Internet et utilisaient encore le mot de passe par défaut du fabricant.

Source : CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023

Comment fonctionne la surveillance OT passive

Le principe est simple : écouter une copie du trafic, ne jamais parler aux équipements.

  1. 01Dupliquer, ne pas sonder

    Un port SPAN sur le commutateur industriel, ou un TAP passif sur la liaison, envoie une copie du trafic au capteur. Le capteur se contente d'écouter ; il n'interroge jamais un équipement et ne peut donc pas perturber un processus.

  2. 02Lire les protocoles industriels

    Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP et S7comm transportent lectures, écritures et commandes dans des structures qu'un capteur sait décoder. On voit ainsi quelle station parle à quel automate et ce qu'elle lui demande.

  3. 03Surveiller la frontière entre IT et OT

    Beaucoup d'incidents OT commencent dans le réseau bureautique. Le trafic qui passe de l'IT au réseau de contrôle, ou un automate qui se met soudain à parler à Internet, mérite l'attention.

  4. 04Exclure les équipements OT des scans actifs

    Les scans de vulnérabilités et les sondes de découverte peuvent perturber des automates anciens. Excluez-en les équipements classés OT ; NetSenX ne les sonde jamais.

Ce que NetSenX fait aujourd'hui

  • À partir de l'offre Pro, lit Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP et S7comm à partir d'une capture passive sur un port SPAN ou TAP. Les alertes OT qu'il émet : une écriture vers un automate depuis un hôte qui n'y est pas autorisé, un trafic qui franchit les niveaux du modèle Purdue, une activité OT hors des heures de travail et des commandes S7comm.
  • Ne sonde jamais activement les équipements classés OT : aucun risque pour les automates ni pour le SCADA.
  • Affiche le trafic OT dans le même tableau de bord que le réseau IT, avec une explication en langage clair sur chaque alerte et le suivi des délais de l'article 23 de NIS2 pour les incidents.
  • Fonctionne comme un logiciel sur l'hôte de votre choix, relié au port miroir : aucune appliance NetSenX à acheter, et un agent qui observe un segment compte pour un seul appareil.

Ce que NetSenX ne fait pas

NetSenX ne modifie pas la configuration des automates, ne pousse pas de firmware et ne bloque pas de commandes industrielles ; ce n'est pas non plus un système de sécurité fonctionnelle : il informe vos ingénieurs, il n'agit pas sur le procédé. Il lit les cinq protocoles industriels cités sur cette page ; demandez-nous avant de compter sur un autre. Il ne voit que les segments que vous lui dupliquez, et les bus de terrain série qui n'atteignent jamais Ethernet échappent à sa vue. Il n'existe pas d'alerte d'anomalie distincte par protocole industriel.

Questions des acheteurs

Peut-on surveiller un réseau OT sans affecter les automates ?

Oui, avec une surveillance passive : le capteur lit une copie du trafic sur un port SPAN ou un TAP et n'envoie jamais rien aux automates. NetSenX fonctionne ainsi à partir de l'offre Pro et ne sonde jamais activement les équipements classés OT.

Quels protocoles industriels NetSenX lit-il ?

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP et S7comm, à partir d'une capture passive, dans l'offre Pro et au-delà.

Faut-il une appliance matérielle sur chaque site ?

Aucune appliance NetSenX n'est nécessaire : l'agent est un logiciel qui tourne sur l'hôte de votre choix. Un agent relié à un port SPAN ou TAP observe tout le segment et compte pour un seul appareil.

NIS2 s'applique-t-elle aux réseaux OT ?

NIS2 vise les entités de secteurs comme l'énergie, les transports, l'eau potable, la santé et la fabrication de certains produits (annexes I et II de la directive (UE) 2022/2555). Les mesures de son article 21 portent sur les réseaux et systèmes d'information qu'une entité utilise pour ses activités, ce qui peut inclure l'OT. Vérifiez le périmètre auprès de votre autorité nationale.

Sources

  1. CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023
  2. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.

Pages associées

Essayez NetSenX sur votre propre réseau

Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.

Voir les tarifsRéserver une démo