菜单
Auditer, segmenter et durcir les réseaux OT (Operational Technology) selon la norme IEC 62443 : zones et conduits, niveaux de sécurité SL, durcissement d'automates Siemens/Rockwell/Schneider, audit réseau non-intrusif, et conformité réglementaire.
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/JohnNuwan/EVA_CORE --skill cybersecurity-iec62443命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
Concevoir et maintenir un watchdog auto-correcteur pour services HTTP — checks de santé, auto-restart, état persistant, rapports et pièges bash.
Serveur de messagerie sécurisé auto-hébergé (Signal-like) avec Flask + WebSocket + AES-256-GCM + pont EVA
ADAM-SENTINEL — Veilleur technologique 24h/24h. Scanne 10 domaines, cree des rapports, met a jour les skills, alerte sur les CVE et breaking changes.
基于 SOC 职业分类
正在显示 SKILL.md
| name | cybersecurity-iec62443 |
| description | Auditer, segmenter et durcir les réseaux OT (Operational Technology) selon la norme IEC 62443 : zones et conduits, niveaux de sécurité SL, durcissement d'automates Siemens/Rockwell/Schneider, audit réseau non-intrusif, et conformité réglementaire. |
| version | 2.0.0 |
| author | EVA |
| license | Privée EVA St-Étienne |
| platforms | ["linux","macos","windows"] |
| metadata | {"EVA":{"tags":["cybersecurity","iec-62443","ot-security","hardening","firewall","vlan","network-audit","industrial-automation","scada-security","plc-security","zone-conduit","purdue-model"],"related_skills":["ot-security","industrial-networks-ot","hardware-security-firmware","isa95-modelling","iso-27001"],"difficulty":"advanced","industry_sectors":["manufacturing","energy","oil-gas","chemical","pharmaceutical","water-treatment","critical-infrastructure"]}} |
La norme IEC 62443 (anciennement ISA/IEC 62443) est le standard de référence mondial pour la cybersécurité des systèmes d'automatisme et de contrôle industriel (IACS - Industrial Automation and Control Systems). Contrairement à l'ISO 27001 (orientée IT), l'IEC 62443 cible spécifiquement les environnements OT (Operational Technology) où la disponibilité, l'intégrité et la sûreté de fonctionnement priment sur la confidentialité.
Dans un environnement IT classique, la confidentialité des données est le premier objectif de sécurité (triade CIA : Confidentialité, Intégrité, Disponibilité). Dans l'industrie OT, la hiérarchie est inversée :
| Objectif de sécurité | IT (Bureautique) | OT (Industriel) |
|---|---|---|
| 1er | Confidentialité | Disponibilité (un arrêt de production coûte des millions) |
| 2ème | Intégrité | Intégrité (une commande erronée peut détruire un équipement) |
| 3ème | Disponibilité | Confidentialité (protection des données process) |
Les spécificités OT qui compliquent la sécurité :
Cette compétence fournit à l'agent EVA des outils opérationnels pour :
À utiliser lorsque l'utilisateur demande :
Ne pas utiliser pour :
iso-27001).industrial-safety-sistema).L'IEC 62443 définit 5 niveaux de sécurité (SL) croissants qui déterminent le niveau de protection requis en fonction de la criticité de l'installation et de la menace :
| Niveau | Menace ciblée | SL-T (Target) | Exemples de mesures techniques et organisationnelles |
|---|---|---|---|
| SL 0 | Aucune exigence particulière | 0 | Aucune protection spécifique. Réseau ouvert, pas de mot de passe. Concerne uniquement des équipements non critiques et isolés. |
| SL 1 | Erreur involontaire, accident | 1 | Mots de passe par défaut changés, antivirus à jour, politique de sauvegarde. Protection contre les violations accidentelles. |
| SL 2 | Attaque ciblée avec ressources limitées | 2 | Segmentation VLAN, authentification forte, journalisation des accès, gestion des vulnérabilités. C'est le niveau minimal recommandé pour la majorité des sites industriels. |
| SL 3 | Attaque sophistiquée (APT, état-nation, hacktivistes) | 3 | Chiffrement des communications (TLS), IDS/IPS industriel, gestion centralisée des certificats (PKI), audits réguliers, durcissement système d'exploitation. |
| SL 4 | Attaque coordonnée avec ressources illimitées | 4 | Systèmes redondants, air-gap physique complet, analyse forensique, équipe de réponse aux incidents dédiée (CSIRT). Réservé aux infrastructures critiques nationales. |
Recommandation pratique : La majorité des sites industriels (usines de production, sites chimiques, eau) visent un SL 2 comme objectif réaliste et prioritaire. Atteindre un SL 3 nécessite des investissements significatifs en matériel et en compétences.
Ce script Python utilise Nmap en mode non-intrusif (pas de scan de vulnérabilités agressif, débit limité) pour inventorier les équipements OT sur un réseau :
import subprocess
import json
import xml.etree.ElementTree as ET
from datetime import datetime
def scan_ot_network(subnet: str, output_dir: str = ".") -> dict:
"""Réalise un scan réseau OT non-intrusif avec Nmap.
ATTENTION : Ce scan est conçu pour être le moins intrusif possible
sur les équipements industriels. Il utilise :
- Un débit limité (--max-rate 50) pour ne pas surcharger les automates
- Un scan TCP SYN (-sS) qui ne complète pas les connexions
- Les ports industriels standards uniquement
Args:
subnet: Sous-réseau à scanner (ex: '192.168.1.0/24').
output_dir: Répertoire de sortie pour le rapport.
Returns:
dict: Inventaire des équipements détectés avec leurs ports ouverts.
"""
# Ports industriels standards (OT + services de base)
ports = "22,80,102,443,502,1883,4840,4843,8080,8443,20000,44818,47808,48898"
timestamp = datetime.now().strftime("%Y%m%d_%H%M%S")
xml_output = f"{output_dir}/ot_scan_{timestamp}.xml"
cmd = [
"nmap",
"-sS", # TCP SYN scan (semi-ouvert, moins intrusif)
"-sV", # Détection de version des services
"--version-light", # Mode léger de détection (moins de sondes)
"-O", # Détection d'OS
"--max-rate", "50", # Limiter le débit pour ne pas perturber les automates
"-p", ports,
"-oX", xml_output,
subnet,
]
print(f"Scan OT en cours sur {subnet} (ports: {ports})...")
print("⚠ Mode non-intrusif : débit limité à 50 paquets/seconde")
result = subprocess.run(cmd, capture_output=True, text=True, timeout=600)
if result.returncode != 0:
return {"error": result.stderr}
# Parsing du résultat XML
inventory = parse_nmap_xml(xml_output)
inventory["scan_date"] = timestamp
inventory["subnet"] = subnet
return inventory
def parse_nmap_xml(xml_path: str) -> dict:
"""Parse le fichier XML de sortie Nmap en inventaire structuré.
Args:
xml_path: Chemin vers le fichier XML Nmap.
Returns:
dict: Inventaire structuré des hôtes et services détectés.
"""
tree = ET.parse(xml_path)
root = tree.getroot()
hosts = []
for host in root.findall("host"):
if host.find("status").get("state") != "up":
continue
ip = host.find("address").get("addr")
os_match = ""
os_elem = host.find(".//osmatch")
if os_elem is not None:
os_match = os_elem.get("name", "")
services = []
for port in host.findall(".//port"):
state = port.find("state").get("state")
if state != "open":
continue
service = port.find("service")
services.append({
"port": int(port.get("portid")),
"protocol": port.get("protocol"),
"service": service.get("name", "") if service is not None else "",
"product": service.get("product", "") if service is not None else "",
"version": service.get("version", "") if service is not None else "",
})
# Classification automatique du type d'équipement
device_type = classify_ot_device(services, os_match)
hosts.append({
"ip": ip,
"os": os_match,
"device_type": device_type,
"open_ports": services,
})
return {"hosts_count": len(hosts), "hosts": hosts}
def classify_ot_device(services: list, os_hint: str) -> str:
"""Classifie un équipement OT en fonction de ses ports ouverts.
Args:
services: Liste des services ouverts.
os_hint: Indication du système d'exploitation détecté.
Returns:
str: Type d'équipement estimé.
"""
ports = {s["port"] for s in services}
if 102 in ports:
return "Automate Siemens (S7 Protocol)"
if 44818 in ports:
return "Automate Rockwell (EtherNet/IP)"
if 502 in ports:
return "Équipement Modbus TCP (compteur, variateur, API)"
if 48898 in ports:
return "Contrôleur Beckhoff (TwinCAT ADS)"
if 4840 in ports:
return "Serveur OPC-UA"
if 47808 in ports:
return "Contrôleur BACnet (GTB/CVC)"
if 1883 in ports:
return "Broker MQTT"
if 80 in ports or 443 in ports:
if "Siemens" in os_hint:
return "IHM Siemens (Web Server)"
return "Équipement avec interface Web"
return "Non classifié"
if __name__ == "__main__":
# Exemple d'utilisation
result = scan_ot_network("192.168.1.0/24")
print(json.dumps(result, indent=2))
| # | Mesure de durcissement | Paramètre TIA Portal | Criticité |
|---|---|---|---|
| 1 | Changer le mot de passe par défaut de la CPU | Configuration CPU → Protection & Security → Password | Critique |
| 2 | Activer la protection en écriture de la CPU | Protection → "Full protection (access level: No access)" | Haute |
| 3 | Désactiver PUT/GET si non utilisé | CPU Properties → Protection → Décocher "Permit access with PUT/GET" | Haute |
| 4 | Activer le journal des accès (Access Log) | CPU Properties → Web Server → Enable access logging | Moyenne |
| 5 | Restreindre les protocoles de communication | Désactiver les protocoles non nécessaires (HTTP, SNMP, FTP, etc.) | Haute |
| 6 | Configurer le pare-feu intégré CP/CM | Module de communication → Security → Firewall | Critique |
| 7 | Utiliser des communications chiffrées (TLS) | OPC-UA Server → Security → Certificate-based authentication | Haute |
| 8 | Sauvegarder la configuration de référence | Projet → Archive → Create reference backup (avant et après modification) | Critique |
| # | Mesure de durcissement | Paramètre Studio 5000 | Criticité |
|---|---|---|---|
| 1 | Activer CIP Security (EtherNet/IP) | Controller Properties → Security → Enable CIP Security | Haute |
| 2 | Configurer le verrouillage du contrôleur | Controller Properties → Security → Lock Controller | Critique |
| 3 | Restreindre les accès par adresse IP source | Module Properties → Connection → Allowed IP ranges | Haute |
| 4 | Activer la journalisation d'audit | FactoryTalk → Security → Audit logging | Moyenne |
| 5 | Désactiver les ports et services non utilisés | Module → Port Configuration → Disable unused ports | Haute |
| 6 | Changer le mot de passe utilisateur par défaut | Controller Properties → Security → Change password | Critique |
| # | Mesure de durcissement | Paramètre Control Expert | Criticité |
|---|---|---|---|
| 1 | Activer la protection par mot de passe du projet | Edit → Project Settings → Password Protection | Critique |
| 2 | Configurer les droits d'accès (R/W) par utilisateur | Security → User Management → Access rights | Haute |
| 3 | Activer la journalisation des événements de sécurité | Security → Audit Trail → Enable | Moyenne |
| 4 | Restreindre les connexions Ethernet autorisées | Module → Ethernet → Connection Filter → IP whitelist | Haute |
| 5 | Désactiver les services non nécessaires (DHCP, HTTP, FTP) | Module → Services → Disable unused | Haute |
Le modèle de segmentation "Zones & Conduits" est la pierre angulaire de l'IEC 62443. Une Zone est un regroupement logique ou physique d'actifs partageant les mêmes exigences de sécurité. Un Conduit est un canal de communication sécurisé entre deux zones.
┌──────────────────────────────────────────────────────────────────────────┐
│ ZONE 4 : RÉSEAU ENTREPRISE (IT) │
│ SL cible : SL 1 │
│ [Serveur ERP] [Messagerie] [Bureautique] [Internet] │
└──────────────────────────────────┬───────────────────────────────────────┘
│
┌──────┴──────┐
│ CONDUIT 1 │ ← Pare-feu industriel DMZ
│ (IT ↔ OT) │ ← Règles restrictives (allow-list)
└──────┬──────┘
│
┌──────────────────────────────────┴───────────────────────────────────────┐
│ ZONE 3 : RÉSEAU SUPERVISION (DMZ) │
│ SL cible : SL 2-3 │
│ [Serveur SCADA] [Historien] [Serveur MES] [OPC-UA] │
└──────────────────────────────────┬───────────────────────────────────────┘
│
┌──────┴──────┐
│ CONDUIT 2 │ ← Switch manageable + ACL VLAN
│ (SCADA↔PLC) │ ← Ports autorisés uniquement
└──────┬──────┘
│
┌──────────────────────────────────┴───────────────────────────────────────┐
│ ZONE 2 : RÉSEAU AUTOMATES (OT) │
│ SL cible : SL 2-3 │
│ │
│ ┌─────────┐ ┌─────────┐ ┌─────────┐ ┌─────────┐ │
│ │ VLAN 10 │ │ VLAN 20 │ │ VLAN 30 │ │ VLAN 40 │ │
│ │ Ligne 1 │ │ Ligne 2 │ │Utilités │ │ Énergie│ │
│ │ PLC+HMI │ │ PLC+HMI │ │ PLC │ │Compteurs│ │
│ └─────────┘ └─────────┘ └─────────┘ └─────────┘ │
│ │
└──────────────────────────────────────────────────────────────────────────┘
│
┌──────┴──────┐
│ CONDUIT 3 │ ← Câblage direct capteurs
│ (PLC↔I/O) │ ← Bus de terrain (Profinet, AS-i)
└──────┬──────┘
│
┌──────────────────────────────────┴───────────────────────────────────────┐
│ ZONE 1 : PÉRIPHÉRIE (CAPTEURS / ACTIONNEURS) │
│ SL cible : SL 1-2 │
│ [Variateurs] [Capteurs] [Actionneurs] [Robots] │
└──────────────────────────────────────────────────────────────────────────┘
Scanner le réseau OT avec un outil IT agressif :
--max-rate 50), scanner uniquement les ports industriels connus, informer le responsable d'exploitation avant tout scan et le réaliser de préférence pendant un arrêt de production planifié.Segmenter le réseau sans plan de flux préalable :
Confondre sécurité IT et sécurité OT :
Identifiants par défaut conservés sur les équipements OT :
admin/admin, 1234, Siemens sur les HMI, root/root sur les switches gérés) sur des équipements connectés au réseau.Absence de sauvegarde des configurations avant modification :