Une micro-DMZ est une zone démilitarisée étroite, réduite à un seul actif ou à un seul chemin de données plutôt qu'à une zone réseau entière. Elle se place entre un segment non fiable et un appareil OT protégé : elle termine le transport, authentifie la session et applique un contrôle de politique avant qu'aucun trafic n'atteigne l'appareil. Voyez-la comme un sas par appareil plutôt qu'un sas partagé.
Qu'est-ce qu'une micro-DMZ ?
C'est une frontière qui protège une seule chose : un seul PLC, un seul point de transfert de fichiers, une seule session Modbus TCP. À l'intérieur de la micro-DMZ, un proxy termine le transport chiffré et réémet le trafic vers l'appareil protégé dans le protocole en clair que parle l'appareil. À l'extérieur, rien n'atteint l'appareil directement. L'appareil n'a pas besoin de changer, car la mise en application vit à la frontière, pas sur l'actif.
En quoi une micro-DMZ diffère-t-elle d'une Industrial DMZ ?
Par l'échelle et l'orientation. Une Industrial DMZ (iDMZ) est une construction du modèle de Purdue : une zone horizontale entre le réseau d'entreprise (niveau 4/5) et le réseau de contrôle des procédés (niveau 2/3), qui arbitre des services partagés comme les historians, les jump servers et les relais de correctifs. C'est en général un sous-réseau entier avec plusieurs hôtes et des dizaines de flux.
Une micro-DMZ est verticale et petite. Elle protège un seul actif ou un seul protocole. Là où l'iDMZ segmente à grande maille, la micro-DMZ ferme le dernier saut, de sorte que même un hôte authentifié à l'intérieur de la zone de contrôle doit toujours traverser le proxy pour atteindre l'appareil. Les deux sont complémentaires, pas concurrentes. Voyez le modèle de Purdue pour situer chacune.
Pourquoi une micro-DMZ compte-t-elle pour le CMMC ?
Beaucoup d'actifs OT ne peuvent pas mettre en œuvre nativement la MFA, le TLS ou la journalisation d'audit. Le modèle iDMZ ne résout pas cela à lui seul, car il expose encore l'actif à tout hôte authentifié à l'intérieur de la zone de contrôle. Une micro-DMZ comble l'écart : chaque session doit traverser le proxy, et le proxy impose l'identité par session, la terminaison du chiffrement et la journalisation.
Cela transforme l'actif OT en cible de contrôle compensatoire. Le plan de sécurité du système peut documenter que l'actif lui-même ne peut pas s'authentifier, mais que chaque session qui l'atteint a été authentifiée, chiffrée et journalisée à la frontière de la micro-DMZ. C'est aussi une réponse concrète pour les périmètres de sécurité électronique de NERC CIP, où la mise en application par actif est exactement ce que recherchent les auditeurs.
À quoi ressemble une micro-DMZ en déploiement ?
C'est en général un boîtier proxy ou un point de mise en application de réseau overlay doté de trois propriétés :
- Politique par actif. Les règles s'attachent à l'actif, pas au sous-réseau.
- Terminaison consciente du protocole. Le proxy comprend le protocole applicatif (Modbus, DNP3, SFTP, HTTP) suffisamment pour imposer des restrictions au niveau des commandes, pas seulement au niveau des ports. Voir le filtrage de protocole.
- Deny-by-default. Les flux non listés sont rejetés et journalisés.
Concepts associés
- Industrial DMZ
- Modèle de Purdue
- Overlay networking (contexte OT)
- Filtrage de protocole (OT)
- Deny-by-default (OT)
Comment l'Access Gate aide
L'Access Gate crée des micro-DMZ autour d'actifs OT individuels : une frontière proxy par appareil qui termine le transport, impose l'identité et journalise chaque session sans modifier l'appareil protégé. Voir Industrial DMZ Design Patterns.
