| name | industrial-cybersecurity-guidelines |
| description | Sécuriser les réseaux industriels et les systèmes OT/IT connectés : segmentation IEC 62443, authentification forte, monitoring IDS/IPS, plans de réponse aux incidents. |
| version | 1.1.0 |
| author | EVA |
| license | Privée EVA St-Étienne |
| platforms | ["linux","macos","windows"] |
| metadata | {"EVA":{"tags":["security","ot","cybersecurity","iec62443","nist","iso27001","ids","ips","scada","industrial"],"related_skills":["combining-industry40-security-iso","iso-standards-for-industry","cybersecurity-iec62443"]}} |
Cybersécurité Industrielle — Guide de Sécurisation OT/IT
Vue d'ensemble
Cette compétence fournit des lignes directrices complètes pour la sécurisation des systèmes industriels (OT) et leur interconnexion avec les systèmes informatiques (IT). Elle couvre l'implémentation des normes IEC 62443, la gestion des risques OT, la segmentation réseau, l'authentification, le monitoring IDS/IPS, et la planification de réponse aux incidents de cybersécurité.
Quand l'utiliser
À utiliser lorsque l'utilisateur demande :
- De sécuriser un réseau OT existant ou de concevoir une architecture sécurisée.
- D'implémenter la norme IEC 62443 (zones et conduits).
- De configurer un IDS/IPS pour le trafic industriel.
- D'auditer la maturité cyber d'un site de production.
- De préparer un plan de réponse aux incidents OT.
1. Normes et Standards Clés
| Norme | Domaine | Points Clés |
|---|
| IEC 62443 | Sécurité IACS (Industrial Automation & Control Systems) | Zones et conduits, niveaux de sécurité (SL1–SL4), cycle de vie sécurisé |
| NIST CSF | Cybersécurité générale | Identify, Protect, Detect, Respond, Recover |
| ISO 27001 | Sécurité de l'information (IT) | SMSI, annexe A contrôles |
| CIS Controls | Sécurité opérationnelle | 18 contrôles prioritaires |
| ANSSI (France) | Sécurité OT nationale | Guide de sécurisation des systèmes industriels |
2. Stratégies de Sécurité
2.1 Segmentation Réseau selon IEC 62443
Le principe fondamental est la défense en profondeur avec des zones et des conduits :
┌─────────────────────────────────────────┐
│ ZONE IT (Bureau) │
│ ┌─────┐ ┌─────┐ ┌─────┐ │
│ │ERP │ │AD │ │File │ │
│ └─────┘ └─────┘ └─────┘ │
└──────────────┬──────────────────────────┘
│ Pare-feu IT/OT (conduit)
┌──────────────┴──────────────────────────┐
│ ZONE OT DE CONTRÔLE │
│ ┌─────┐ ┌─────┐ ┌─────┐ │
│ │SCADA│ │MES │ │Hist.│ │
│ └─────┘ └─────┘ └─────┘ │
└──────────────┬──────────────────────────┘
│ Pare-feu OT
┌──────────────┴──────────────────────────┐
│ ZONE OT DE TERRAIN │
│ ┌─────┐ ┌─────┐ ┌─────┐ │
│ │PLC │ │VSD │ │HMI │ │
│ └─────┘ └─────┘ └─────┘ │
└─────────────────────────────────────────┘
2.2 Authentification et Contrôle d'Accès
Mesures d'authentification recommandées:
Accès distant:
- VPN (OpenVPN, WireGuard) avec certificats X.509
- Jump host / bastion avec MFA
- Session logging obligatoire
Accès local:
- Authentification forte sur les HMIs (MFA si possible)
- Comptes individuels (pas de compte partagé "admin")
- Rotation des mots de passe tous les 90 jours
- Verrouillage de session après 5
3. Monitoring et Détection d'Intrusion
3.1 IDS Industriels
Déployez un IDS réseau capable d'analyser les protocoles industriels :
- Suricata avec règles personnalisées pour Modbus, OPC-UA, DNP3.
- Zeek (ex-Bro) pour l'analyse de trafic OT.
- OT-Base (Dragos, Nozomi, Claroty) pour la détection spécifique OT.
Configuration Suricata pour Modbus :
alert modbus any any -> $PLC_NETWORK 502 \
(msg:"Écriture Modbus non autorisée sur PLC"; \
content:"|00 00 00 00 00 06 01 06|"; depth:8; \
sid:1000001; rev:1;)
3.2 SIEM Centralisé
Architecture SIEM OT:
Collecteurs:
- Logs pare-feu (IT/OT)
- Logs PLC (Syslog via OPC-UA)
- Alertes IDS (Suricata, Zeek)
- Logs d'authentification (VPN, AD)
Corrélation:
- Règles de corrélation spécifiques OT
- Détection d'anomalies comportementales
- Alertes de sécurité + qualité (pipeline combiné)
Tableau de bord:
- État des zones IEC 62443
- Nombre d'alertes par niveau de criticité
- Temps moyen
4. Plan de Réponse aux Incidents OT
4.1 Phases de Réponse
- Détection : Alerte via IDS/SIEM ou signalement opérateur.
- Confinement : Isoler la zone compromise (coupe réseau logique ou physique).
- Éradication : Analyse forensique, retrait du malware, restauration de la configuration sûre.
- Rétablissement : Remise en service après validation de la non-contamination.
- Retour d'expérience : Mise à jour des règles, correctifs, formation.
4.2 Procédure d'Urgence Type
[ALERTE] Anomalie détectée sur le réseau OT
↓
1. Confirmer l'alerte avec l'opérateur (faux positif ?)
↓ si confirmé
2. Basculer le système en mode dégradé (manuel si possible)
3. Isoler la zone suspecte (coupe réseau)
4. Contacter l'équipe cyber OT + responsable de production
5. Analyse forensique (logs, captures réseau)
6. Décision : reprise ou arrêt prolongé
7. Retour d'expérience sous 48h
5. Pièges Courants
-
Dépendance à un seul mot de passe :
- Erreur : Un mot de passe partagé pour tout le site (ex: mot de passe par défaut du constructeur).
- Correction : Comptes individuels + MFA + gestionnaire de mots de passe.
-
Patching OT sans validation :
- Erreur : Appliquer les correctifs de sécurité Windows Update directement sur un poste SCADA.
- Correction : Test sur jumeau numérique ou bac à sable, validation avec le fournisseur.
-
Absence de logs OT :
- Erreur : Pas de collecte de logs sur les équipements OT (PLC, HMI, variateurs).
- Correction : Activez le syslog ou OPC-UA alarms sur tous les équipements critiques.
Liste de vérification
