La convergence OT/IT est l'intégration des réseaux de technologie opérationnelle avec l'IT d'entreprise : authentification partagée, historians partagés, accès distant partagé, analyse dans le cloud partagée. La motivation est opérationnelle : maintenance prédictive, télémétrie en temps réel, intégration MES, support d'experts à distance. La conséquence est que chaque chemin d'attaque IT dispose désormais d'au moins une route atteignable vers l'OT.
Qu'est-ce que la convergence OT/IT ?
Pendant des décennies, l'OT de l'atelier et l'IT de l'entreprise ont fonctionné comme deux mondes séparés, avec des réseaux, des protocoles et des propriétaires distincts. La convergence fait tomber cette séparation pour que les deux partagent données et services. Les bénéfices sont réels, mais le coût aussi : l'air gap qui protégeait l'OT par accident a disparu, et la frontière entre les deux doit désormais être défendue à dessein.
Quels chemins d'attaque la convergence OT/IT crée-t-elle ?
Six chemins reviennent sans cesse dans les analyses post-incident d'environnements convergés :
1. Pivot Active Directory de l'IT vers l'OT. Les postes d'ingénierie s'authentifient contre l'AD d'entreprise. Une compromission par vol d'identifiants côté IT, hameçonnage, Kerberoasting, DCShadow, livre des identifiants valides qui atteignent des ressources OT. Colonial Pipeline et Maersk (NotPetya, 2017) ont tous deux illustré ce schéma.
2. L'historian comme point de traversée. Les historians se situent au niveau 3 de Purdue et poussent des données vers l'analyse IT du niveau 4. Ils tournent sur des serveurs Windows standard avec des bases SQL ou InfluxDB. Une compromission côté IT atteint l'historian par son chemin d'export de données, puis repivote vers le niveau 2 ou 1 en utilisant les identifiants de collecte de l'historian.
3. Rançongiciel traversant via les partages de fichiers. Un serveur de fichiers partagé entre l'IT et l'OT, hébergeant souvent du G-code, des ordres de production ou des configurations machine, est une cible de chiffrement qui paralyse l'OT même quand les actifs OT ne sont jamais touchés. Norsk Hydro (2019) a suivi cette forme.
4. Le VPN d'accès distant comme point unique de défaillance des identifiants. Un VPN de prestataire pour la maintenance à distance accorde souvent la même portée réseau qu'un opérateur local. Un identifiant de prestataire hameçonné devient une session PLC distante.
5. Déplacement latéral par passerelle IIoT. Les appareils IIoT installés pour la maintenance prédictive relient souvent des liaisons cellulaires ou Wi-Fi à l'OT sans passer par l'Industrial DMZ. Compromettez la plateforme cloud du vendeur et cela se propage à chaque passerelle déployée.
6. Le portable d'ingénierie comme pont bi-raccordé. Un poste unique présent à la fois sur le réseau d'entreprise et sur le réseau d'usine est un chemin routable dès qu'il est en ligne. La plupart des usines en comptent plusieurs.
Comment une attaque par rançongiciel IT atteint-elle l'OT ?
Le réseau IT d'un fabricant de défense est frappé par un rançongiciel délivré par un courriel d'hameçonnage aux RH. Il se propage via l'AD et chiffre des partages de fichiers. L'un de ces partages est monté par le système MES au niveau 3 de Purdue. Quand le MES tente d'écrire le planning de production de l'équipe suivante, l'écriture échoue. Les opérateurs OT au niveau 2 perdent la file de travail. L'usine s'arrête, non parce que l'OT a été compromis, mais parce que l'OT dépendait d'un service IT qui l'était. Voilà la forme d'un incident de convergence : l'attaque ne touche jamais un PLC, et la production s'arrête tout de même.
Comment réduire le risque de convergence OT/IT ?
Trois contrôles structurels réduisent systématiquement le rayon d'impact :
- Isolement des identités entre IT et OT. Un fournisseur d'identité distinct pour l'accès OT, afin qu'une compromission de l'AD d'entreprise n'accorde pas automatiquement un accès OT.
- Mise en application réseau liée à l'identité. Les règles s'attachent à des utilisateurs authentifiés et à des identités d'appareils. Les hôtes IT ne peuvent pas atteindre les actifs OT par défaut, quelle que soit leur IP.
- Observation à état aux points de convergence. Les historians, partages de fichiers et passerelles d'accès distant font l'objet d'un audit au niveau des sessions, de sorte que les schémas anormaux restent détectables même quand un point terminal est déjà compromis.
Pourquoi la convergence OT/IT compte-t-elle pour la conformité ?
L'article 21 de NIS2 exige segmentation réseau et contrôle d'accès pour les environnements convergés. Les zones et conduits de IEC 62443 traitent explicitement la frontière de convergence au niveau 3.5, l'iDMZ. Le CMMC niveau 2 hérite du contrôle 3.13.1 de NIST SP 800-171 Rev 2, supervision et contrôle aux frontières internes clés, et la frontière IT/OT en est l'exemple canonique.
Concepts associés
Comment l'Access Gate aide
L'Access Gate impose des frontières liées à l'identité aux points de convergence IT/OT, historians, partages de fichiers, accès distant, postes d'ingénierie, de sorte qu'une compromission côté IT n'ouvre pas de chemin atteignable vers l'OT. Voir CMMC Compliance with Trout Access Gates.
