Le deny-by-default est la posture de mise en application réseau dans laquelle tout trafic est bloqué sauf si une règle précise l'autorise. C'est l'inverse de la posture allow-by-default qui caractérise la plupart des réseaux OT brownfield, où n'importe quel hôte du segment peut atteindre n'importe quel autre hôte sauf si quelque chose a été explicitement bloqué.
Pourquoi le deny-by-default compte-t-il en OT ?
Les réseaux OT sont historiquement plats. Un PLC sur l'atelier accepte des connexions depuis n'importe quel hôte du segment. Les stations de mesure, les contrôleurs de convoyeur et les bancs d'essai n'ont ni pare-feu, ni liste d'autorisation, ni filtre de connexion. Quand l'intégrateur a câblé l'usine, la posture par défaut était « faire en sorte que ça marche », et le réseau a hérité d'une règle implicite de tout autoriser.
Cette posture échoue à tous les cadres de conformité modernes. Le contrôle 3.13.6 de NIST SP 800-171 Rev 2 exige de refuser les communications réseau par défaut et de n'autoriser que par exception. Les zones et conduits de IEC 62443 exigent des définitions de flux explicites entre zones. Le CMMC niveau 2 hérite de l'exigence 800-171. Aucun de ces cadres ne peut être satisfait par un réseau qui laisse tout parler à tout.
À quoi ressemble le deny-by-default en pratique ?
Trois propriétés :
- Chaque flux a une règle explicite. Si aucune règle ne correspond, le trafic est rejeté. La table des flux est finie et auditable.
- Les règles s'attachent à l'identité, pas à l'IP. Une règle dit « les comptes des postes d'ingénierie peuvent atteindre PLC-01 sur le code de fonction Modbus 03 », pas « 192.168.10.5 peut atteindre 192.168.20.12 sur le port 502 ». Les règles fondées sur l'IP vieillissent en mauvaise configuration ; les règles fondées sur l'identité vieillissent en politique.
- Les refus sont journalisés. Le trafic rejeté produit un événement d'audit. Cela donne au SOC un signal quand quelque chose tente un flux qui ne devrait pas exister.
Pourquoi le deny-by-default est-il difficile sur les réseaux brownfield ?
Le deny-by-default est plus difficile à déployer que l'allow-by-default car il oblige le propriétaire du réseau à énumérer chaque flux légitime. Dans une installation brownfield de 15 ans, personne ne se souvient de tous les flux. C'est là que la découverte passive d'actifs devient un prérequis : construire une référence des schémas de communication réels, convertir les schémas observés en règles explicites, puis basculer la posture.
Déployer le deny-by-default sans référence, c'est ainsi que surviennent les incidents de production. Le déployer avec une référence produit une politique propre qui reflète ce que l'usine fait réellement.
Concepts associés
- Architecture Zero Trust
- Zero Trust en OT
- Segmentation réseau
- Découverte passive d'actifs (OT)
- Micro-DMZ
Comment l'Access Gate aide
L'Access Gate impose le deny-by-default à la couche identité : chaque flux est explicitement autorisé par politique, chaque refus est journalisé, et l'ensemble de règles de référence est dérivé de la découverte passive du réseau de production avant le début de la mise en application. Voir Zero Trust Access Control for OT.
