Le mouvement latéral, c'est la façon dont un seul appareil compromis se transforme en incident touchant toute l'usine. C'est la phase d'une attaque où un intrus, déjà présent sur un point d'appui de faible valeur, se déplace latéralement à travers le réseau pour atteindre les systèmes qui comptent. En OT, ces systèmes pilotent un procédé physique. Les réseaux industriels plats rendent le mouvement latéral presque gratuit, et la manière durable de l'arrêter n'est pas plus de détection, c'est de supprimer les chemins, actif par actif, pour qu'une compromission reste là où elle a commencé.
Ce qu'est le mouvement latéral
Les attaquants atterrissent rarement là où ils veulent finir. Ils atterrissent sur ce qu'ils peuvent atteindre en premier : un ordinateur de bureau piégé par hameçonnage, un compte d'accès distant exposé, un service web vulnérable. Ce premier point d'appui est une tête de pont. Le mouvement latéral, c'est tout ce qui vient ensuite : le pivotement d'un hôte à un autre, la collecte d'identifiants, l'exploitation des relations de confiance, jusqu'à ce que l'attaquant atteigne un contrôleur de domaine, une base de données ou, dans une usine, un PLC qui commande un procédé physique.
C'est le cœur de presque toute intrusion sérieuse, et c'est la phase sur laquelle les défenseurs ont le plus de prise. On ne peut pas empêcher tout point d'appui initial. On peut décider jusqu'où un point d'appui peut aller.
Pourquoi l'OT est un terrain de jeu pour le mouvement latéral
Les réseaux industriels sont exceptionnellement faciles à parcourir, pour des raisons structurelles, et non accidentelles :
- Réseaux plats. La plupart des environnements OT placent chaque équipement, PLC, IHM, poste de travail et commutateur, dans un seul grand domaine de diffusion sans aucun point de contrôle entre eux. Un réseau plat signifie que tout appareil compromis dispose d'un chemin direct vers tous les autres.
- Aucune authentification native. Les protocoles de commande comme Modbus et DNP3 ont été conçus pour des réseaux de confiance et isolés. Ils n'authentifient rien, si bien qu'un appareil capable d'atteindre un PLC peut généralement le commander.
- Identifiants partagés et réutilisés. Les comptes fournisseurs et de maintenance sont souvent partagés, et un seul identifiant réutilisé peut ouvrir bien plus que le seul système auquel il était destiné.
- Un accès distant qui débouche sur le sous-réseau. Un VPN en tunnel complet ou un serveur rebond dépose l'utilisateur sur un large segment. À partir de là, la confiance est implicite, et c'est exactement ce dont hérite un attaquant lorsqu'il s'empare de ce compte.
- L'effondrement du modèle Purdue. L'accès distant, l'IIoT et l'analytique cloud ont percé des chemins directs à travers les couches du modèle Purdue censées séparer l'IT d'entreprise du réseau de contrôle.
Mises bout à bout, ces raisons font qu'après une seule compromission, la surface atteignable correspond généralement à l'usine tout entière.
Comment le mouvement latéral se déroule réellement en OT
Le schéma est constant. Un attaquant hameçonne un identifiant ou exploite un service exposé sur internet et atterrit dans l'environnement IT. Il se déplace vers un serveur rebond ou un poste d'ingénierie qui fait le pont entre l'IT et l'OT. Comme le côté OT est plat, ce seul pont lui donne une visibilité directe sur le réseau de contrôle, et comme les contrôleurs ne peuvent authentifier personne, les atteindre représente l'essentiel de la bataille. Aucun logiciel malveillant sur le PLC n'est nécessaire : un accès réseau et une requête d'apparence légitime suffisent.
C'est à la frontière IT/OT, au niveau 3 (Level 3) du modèle Purdue, que se joue l'essentiel de la propagation : c'est la jonction entre le réseau d'entreprise, cible de tous les hameçonnages, et les systèmes de contrôle qui font tourner l'usine.
Comment l'arrêter : supprimer les chemins, actif par actif
Les outils de détection vous indiquent qu'un mouvement latéral est en cours. Ils ne l'arrêtent pas. Ce qui l'arrête, c'est l'architecture : placez chaque actif critique, ou un petit groupe d'actifs liés, derrière son propre point de contrôle, de sorte qu'en compromettre un ne donne aucun accès au suivant. C'est la microsegmentation OT, et elle change l'équation d'une intrusion. Il n'y a plus de zone de confiance partagée à traverser.
Toutes les approches ne se valent pas :
| Approche | Stoppe le mouvement latéral ? |
|---|---|
| Réseau plat | Non. Accès sans restriction après toute compromission. |
| VLAN seuls (sans application de politique) | À peine. Isolent les domaines de diffusion ; le trafic inter-VLAN circule toujours. |
| Zones de pare-feu / DMZ industrielle | À la frontière de zone. Mieux, mais le déplacement à l'intérieur d'une grande zone reste libre. |
| Application par actif (overlay) | Oui. La compromission d'un actif n'ouvre aucun chemin vers un autre. |
La difficulté a toujours été d'ajouter cela à un réseau en production sans refonte des VLAN ni interruption de service. C'est là qu'intervient un proxy industriel. L'Access Gate de Trout, c'est du compute on the wire : un point de contrôle sans agent placé dans le chemin des données devant chaque actif, de sorte qu'il applique l'identité, le moindre privilège et une session enregistrée à chaque frontière sans toucher à l'équipement ni recâbler l'usine. Parce qu'il s'agit de calcul en périphérie et non d'un service cloud, le même appareil héberge aussi les services IT et OT dont ces actifs ont besoin, juste à côté d'eux. Compromettez un actif, et l'attaquant n'a toujours aucun chemin vers le suivant : voilà le mouvement latéral supprimé, et pas seulement surveillé.
Détection et prévention ne sont pas le même métier
Les deux comptent, et elles sont complémentaires. La prévention, à savoir la segmentation et l'application par actif, supprime les chemins. La détection vous prévient quand quelqu'un teste ceux qui subsistent. Pour le volet détection, voyez comment repérer un mouvement latéral malveillant en OT et la détection du mouvement latéral dans les réseaux industriels. Ce qu'il faut retenir : vous pouvez journaliser le mouvement latéral à longueur de journée, mais si les chemins existent, un attaquant n'a besoin de réussir qu'une seule fois. Fermez les chemins, et la détection a bien moins à attraper.
Par où commencer
- Cartographiez ce à quoi ressemble réellement votre réseau, et non le schéma Purdue accroché au mur. Chaque tunnel VPN, serveur rebond et segment plat est un chemin potentiel.
- Identifiez les actifs dont la compromission a des conséquences sur la sûreté, la production ou la conformité, et traitez-les comme les premières zones.
- Placez chacun derrière un point de contrôle qui vérifie l'identité et le moindre privilège à chaque connexion, et l'enregistre.
- Coupez les routes plates permanentes de l'IT vers le réseau de contrôle, y compris l'accès distant des fournisseurs, pour qu'aucun compte à lui seul n'hérite de toute l'usine.
- Conservez votre détection, mais cessez de mesurer votre sécurité à votre capacité à voir le mouvement latéral. Mesurez-la à la faible part de l'usine qu'une seule compromission peut atteindre.
Le mouvement latéral est la partie d'une attaque sur laquelle vous avez le plus de contrôle. En OT, les usines qui contiennent une brèche ne sont pas celles dotées de la meilleure détection. Ce sont celles où un appareil compromis n'a nulle part où aller.