Zero Trust sans agent pour chaque machine de votre usine.
La plupart des équipements OT ne peuvent pas exécuter d'agent de sécurité. Appliquez l'accès, la segmentation et l'audit depuis le réseau. Rien à installer sur les machines, et l'équipement ne change jamais.
Dernière mise à jour :
Le Zero Trust sans agent place le point d'application sur le réseau et non sur l'équipement. Un overlay se place à côté de votre réseau OT et sert d'intermédiaire à chaque session.
Avant que le trafic n'atteigne le PLC, l'HMI ou le serveur SCADA, l'overlay :
- vérifie qui est l'utilisateur
- vérifie ce qu'il a le droit de faire
- enregistre la session
L'équipement n'installe rien et ne change jamais. L'Access Gate de Trout Software fonctionne ainsi.
L'application bloque ce que la surveillance se contente de signaler.
La plupart des solutions de sécurité OT sans agent sont passives. Elles observent le trafic et signalent les anomalies. C'est utile, mais un outil passif ne voit une commande malveillante qu'une fois qu'elle a atteint le PLC. Un proxy industriel placé dans le chemin d'accès fonctionne autrement. Il termine la session, vérifie l'utilisateur et la commande exacte par rapport à la politique, et ne transmet que ce qui est autorisé. Il refuse une attaque en temps réel au lieu de la signaler après coup. L'Access Gate de Trout est ce type de point d'application : il peut refuser la commande, pas seulement alerter.
Surveillance passive
Détecte les anomalies après coup et ne peut pas bloquer une commande en cours de session. Elle apporte de la visibilité, mais aucun contrôle. Seule, elle laisse l'équipement accessible.
Proxy industriel dans le chemin d'accès
Authentifie l'utilisateur, autorise la commande exacte, enregistre la session et refuse en temps réel tout ce qui sort de la politique. Sensible aux protocoles OT (Modbus, DNP3, et plus), et non un reverse proxy générique.
Conçu pour la résilience de l'OT. Les procédés industriels font passer la disponibilité en premier. Le proxy fonctionne donc avec bascule automatique et un accès d'urgence (break-glass). Les opérateurs atteignent toujours l'équipement en cas d'urgence, et une panne unique n'arrête jamais le procédé.
Pourquoi les équipements OT ne peuvent-ils pas exécuter d'agent de sécurité ?
Le Zero Trust IT suppose que chaque équipement peut héberger un agent. Cet agent vérifie la posture, applique la politique et remonte la télémétrie. La plupart des équipements OT ne le peuvent pas. La vraie question est de savoir si l'application au niveau du réseau peut faire le travail de l'agent.
Systèmes d'exploitation fermés
Les OS temps réel propriétaires des PLC et des automates n'autorisent pas l'installation de logiciels tiers.
Un cadencement sans marge
Les boucles de contrôle déterministes ne tolèrent pas la gigue qu'introduit un agent. Quelques millisecondes suffisent à provoquer une panne.
Des garanties annulées
Le support et les garanties des fournisseurs OT sont généralement annulés dès qu'un logiciel d'endpoint touche l'équipement.
Qu'est-ce qui remplace l'agent dans la sécurité OT sans agent ?
Lorsque l'équipement ne peut pas héberger de logiciel de sécurité, le point d'application se déplace vers la frontière située devant lui. Chaque capacité ci-dessous correspond à ce qu'aurait fait l'agent, assurée au niveau du réseau à la place.
Accès lié à l'identité
Le MFA est appliqué à la frontière réseau via votre fournisseur d'identité. Chaque session est rattachée à un utilisateur nommé, et non à un identifiant partagé ou de service, et l'équipement ne voit jamais l'identité directement.
Autorisation par session
La politique s'applique par équipement, par protocole, par session. Un utilisateur peut lire un registre Modbus sur un PLC et se voir refuser l'écriture sur un autre, au sein d'une même session authentifiée.
Audit inviolable
Chaque session est journalisée avec l'utilisateur, l'heure, l'équipement, le protocole et la charge utile. Les enregistrements sont chaînés par hachage et signés, de sorte qu'ils tiennent comme preuves d'audit, et pas seulement comme des alertes.
Microsegmentation
Un overlay applique des frontières par équipement au-dessus du réseau existant, alignées sur les zones et conduits de l'IEC 62443. La topologie de couche 2 ne change pas, de sorte que les équipements de sûreté et de contrôle peuvent partager un VLAN tout en restant isolés.
Chiffrement des protocoles anciens
Modbus, DNP3, OPC UA et EtherNet/IP sont encapsulés dans du TLS à la frontière et transmis nativement à l'équipement. L'équipement n'a pas besoin de prendre en charge le TLS lui-même.
Accès fournisseur juste-à-temps
Les sessions des fournisseurs et des prestataires sont délimitées, limitées dans le temps et révocables, et l'accès se ferme automatiquement à la fin de la session. C'est l'accès distant fournisseur contrôlé qu'exigent NERC CIP-003-9 et NIS2, sans accès permanent ni identifiant partagé.
Access Gate s'adapte à votre réseau
Choisissez votre environnement pour voir où se place l'Access Gate, le niveau de couverture Zero Trust obtenu et le chemin de migration, de la couverture complète à la couverture partielle.
Questions sur le Zero Trust sans agent pour l'OT.
Déplacez le point d'application de l'équipement vers le réseau. Un proxy industriel se place dans le chemin d'accès, devant le PLC, le HMI ou le serveur SCADA. Il authentifie l'utilisateur, vérifie la commande exacte par rapport à la politique et enregistre la session. Tout cela se passe avant que quoi que ce soit n'atteigne l'équipement. La surveillance passive ne signale une commande malveillante qu'une fois envoyée. Le proxy, lui, la refuse en temps réel. Il fonctionne avec bascule automatique et un accès d'urgence (break-glass), pour que l'application ne coûte jamais la disponibilité. L'Access Gate de Trout fonctionne ainsi et a été validé par une marine de l'OTAN pour ses charges les plus critiques.
Le Zero Trust sans agent applique un accès fondé sur l'identité, la segmentation et l'audit sans installer de logiciel sur l'équipement protégé. L'application se fait à une frontière réseau, devant l'équipement, et non à l'intérieur. C'est la posture concrète pour l'OT ancien, où la plupart des équipements ne peuvent pas héberger d'agent.
Trois raisons. Les systèmes d'exploitation temps réel propriétaires des PLC et des automates industriels n'autorisent pas les logiciels tiers. Les boucles de contrôle déterministes ne tolèrent pas la gigue de cadencement qu'introduit un agent. Et les garanties des fournisseurs OT sont généralement annulées si un logiciel d'endpoint est installé.
Non. La surveillance passive signale les anomalies après coup. Elle ne peut pas bloquer une commande malveillante dans une session d'accès distant active avant son envoi. Le Zero Trust sans agent ajoute une application à la frontière réseau. Il peut refuser une session en temps réel, et la journaliser aussi.
Un pare-feu se demande si un port est autorisé entre deux sous-réseaux. Le Zero Trust sans agent se demande si cet utilisateur précis, dans cette session précise, peut envoyer cette commande précise à cet équipement précis, à cet instant. Le pare-feu applique au niveau de la couche 4. Le Zero Trust applique au niveau de la couche applicative, avec liaison à l'identité, attribution de session et journalisation complète de la charge utile.
Access Gate est un boîtier sur site qui sert d'intermédiaire pour l'accès aux équipements OT. Il se branche à côté de votre réseau existant, donc la production continue s'il tombe en panne. Chaque session se termine sur le boîtier. L'authentification, l'autorisation et l'enregistrement s'y font, avant que le trafic n'atteigne l'équipement. L'équipement n'installe rien et ne voit jamais directement l'identité de l'utilisateur.
L’Access Gate est le premier service que vous déployez, pas le dernier.
Sécurisez vos usines aujourd'hui. Maîtrisez votre digitalisation demain.
Access Gate place la puissance de calcul directement sur le réseau, au plus près de vos équipements. Une fois le boîtier en place, il héberge les services qui ramènent l’OT dans le périmètre sécurisé : accès distant, passerelles de protocole, DNS et NTP, historian, serveur de mises à jour. Accélérez votre digitalisation, en gardant la maîtrise.