Zero Trust sans agent sur l'équipement.
La plupart des équipements OT ne peuvent pas exécuter d'agent de sécurité. Voici comment appliquer un accès lié à l'identité, la segmentation et l'audit au niveau du réseau, devant l'équipement, sans jamais modifier l'appareil.
Le Zero Trust sans agent place le point d'application sur le réseau, pas sur l'équipement. Un overlay se place à côté de votre réseau OT et sert d'intermédiaire pour chaque session : il vérifie qui est l'utilisateur, ce qu'il est autorisé à faire, et l'enregistre, avant que le trafic n'atteigne le PLC, l'IHM ou le serveur SCADA. L'équipement n'installe rien et ne change jamais. L'Access Gate de Trout Software fonctionne ainsi.
La détection vous alerte. L'application l'arrête.
La plupart des solutions de sécurité OT sans agent sont passives : elles observent le trafic et signalent les anomalies. C'est utile, mais sur un PLC ancien qui ne peut pas exécuter d'agent, un outil passif ne voit une commande malveillante qu'une fois celle-ci envoyée. Un proxy industriel placé dans le flux est différent. Il termine la session, vérifie l'identité et la commande précise par rapport à la politique, et ne transmet que ce qui est autorisé, de sorte qu'il refuse une attaque en temps réel au lieu de la signaler après coup. Les plateformes de surveillance OT passives détectent et alertent ; un point d'application dans le flux comme l'Access Gate de Trout peut aussi refuser la commande.
Surveillance passive
Détecte les anomalies après coup et ne peut pas bloquer une commande en cours de session. Elle apporte de la visibilité, pas du contrôle. Seule, elle laisse l'équipement accessible.
Proxy industriel dans le flux
Authentifie l'utilisateur, autorise la commande exacte, enregistre la session et refuse en temps réel tout ce qui sort de la politique. Sensible aux protocoles OT (Modbus, DNP3, et plus), et non un reverse proxy générique.
Conçu pour la résilience de l'OT. Les procédés industriels privilégient la disponibilité, aussi le proxy fonctionne avec bascule automatique et un accès d'urgence (break-glass) : les opérateurs atteignent toujours l'équipement en cas d'urgence, et une panne unique n'arrête jamais le procédé. C'est ce qui permet à un point d'application dans le flux de vivre dans un environnement critique.
Pourquoi les équipements OT ne peuvent-ils pas exécuter d'agent de sécurité ?
Le Zero Trust IT suppose que l'appareil peut héberger un agent qui vérifie la posture, applique la politique et remonte la télémétrie. L'OT ne peut pas faire cette hypothèse. La question n'est donc pas de savoir s'il faut déployer sans agent. Elle est de savoir si l'application au niveau du réseau qui les remplace est assez solide.
Systèmes d'exploitation fermés
Les OS temps réel propriétaires des PLC et des automates n'autorisent pas l'installation de logiciels tiers.
Un cadencement sans marge
Les boucles de contrôle déterministes ne tolèrent pas la gigue qu'introduit un agent. Quelques millisecondes suffisent à provoquer une panne.
Des garanties annulées
Le support et les garanties des fournisseurs OT sont généralement annulés dès qu'un logiciel d'endpoint touche l'équipement.
Qu'est-ce qui remplace l'agent dans la sécurité OT sans agent ?
Lorsque l'équipement ne peut pas héberger de logiciel de sécurité, le point d'application se déplace vers la frontière située devant lui. Chaque capacité ci-dessous correspond à ce qu'aurait fait l'agent, assurée au niveau du réseau à la place.
Accès lié à l'identité
La MFA est appliquée à la frontière réseau via votre fournisseur d'identité. Chaque session est rattachée à un utilisateur nommé, et non à un identifiant partagé ou de service, et l'équipement ne voit jamais l'identité directement.
Autorisation par session
La politique s'applique par équipement, par protocole, par session. Un utilisateur peut lire un registre Modbus sur un PLC et se voir refuser l'écriture sur un autre, au sein d'une même session authentifiée.
Audit inviolable
Chaque session est journalisée avec l'utilisateur, l'heure, l'équipement, le protocole et la charge utile. Les enregistrements sont chaînés par hachage et signés, de sorte qu'ils tiennent comme preuves d'audit, et pas seulement comme des alertes.
Microsegmentation
Un overlay applique des frontières par équipement au-dessus du réseau existant, alignées sur les zones et conduits de l'IEC 62443. La topologie de couche 2 ne change pas, de sorte que les équipements de sûreté et de contrôle peuvent partager un VLAN tout en restant isolés.
Chiffrement des protocoles anciens
Modbus, DNP3, OPC UA et EtherNet/IP sont encapsulés dans du TLS à la frontière et transmis nativement à l'équipement. L'appareil n'a pas besoin de prendre en charge le TLS lui-même.
Accès fournisseur juste-à-temps
Les sessions des fournisseurs et des prestataires sont délimitées, limitées dans le temps et révocables, et l'accès se ferme automatiquement à la fin de la session. C'est l'accès distant fournisseur contrôlé qu'exigent NERC CIP-003-9 et NIS2, sans tunnel VPN permanent ni identifiant partagé.
Access Gate s'adapte à votre réseau
Choisissez votre environnement pour voir où se place l'Access Gate, le niveau de couverture Zero-Trust obtenu et le chemin de migration, de la couverture complète à la couverture partielle.
Le Zero Trust sans agent, en clair
Vous déplacez le point d'application de l'appareil vers le réseau. Un proxy industriel se place dans le chemin d'accès, devant le PLC, authentifie l'utilisateur, autorise la commande précise par rapport à la politique et enregistre la session avant que quoi que ce soit n'atteigne l'automate. Contrairement à la surveillance passive, qui ne signale une commande malveillante qu'une fois envoyée, un proxy dans le flux la refuse en temps réel. Parce que l'OT dépend entièrement de la disponibilité, le proxy est conçu pour la résilience, avec bascule automatique et un accès d'urgence (break-glass) afin que l'application ne coûte jamais la disponibilité. L'Access Gate de Trout adopte cette approche et a été validé par une marine de l'OTAN pour ses charges les plus critiques.
Le Zero Trust sans agent applique un accès fondé sur l'identité, la segmentation et l'audit sans installer de logiciel sur l'équipement protégé. L'application se fait à une frontière réseau, devant l'équipement, et non à l'intérieur. C'est la posture concrète pour l'OT ancien, où la plupart des équipements ne peuvent pas héberger d'agent.
Trois raisons. Les systèmes d'exploitation temps réel propriétaires des PLC et des automates industriels n'autorisent pas les logiciels tiers. Les boucles de contrôle déterministes ne tolèrent pas la gigue de cadencement qu'introduit un agent. Et les garanties des fournisseurs OT sont généralement annulées si un logiciel d'endpoint est installé.
Non. La surveillance passive signale les anomalies après coup, mais elle ne bloque pas une commande malveillante dans une session d'accès distant active tant qu'elle n'a pas été envoyée. Le Zero Trust sans agent associe la visibilité à une application à la frontière réseau capable de refuser une session en temps réel, et pas seulement de la journaliser.
Un pare-feu se demande si un port est autorisé entre deux sous-réseaux. Le Zero Trust sans agent se demande si cet utilisateur précis, dans cette session précise, peut envoyer cette commande précise à cet équipement précis, à cet instant. Le pare-feu applique au niveau de la couche 4. Le Zero Trust applique au niveau de la couche applicative, avec liaison à l'identité, attribution de session et journalisation complète de la charge utile.
Access Gate est un boîtier sur site ou une VM qui sert d'intermédiaire pour l'accès aux équipements OT à une frontière réseau. Il fonctionne à côté du réseau, pas en coupure, de sorte que la production continue s'il tombe en panne. Chaque session se termine au niveau du boîtier, où l'authentification, l'autorisation et l'enregistrement ont lieu avant que le trafic n'atteigne l'équipement. L'équipement n'installe rien et ne voit jamais l'identité de l'utilisateur directement.
Access Gate sécurise d'abord vos actifs, puis expose les services simples que vos équipes et prestataires veulent vraiment, pour qu'ils passent par le chemin approuvé, et non autour.
L'OT passe par vous, pas autour de vous.