Au-delà de Purdue. Micro-DMZ pour l'OT moderne.
Le modèle Purdue a défini la sécurité OT pendant des décennies. Mais l'accès distant, l'IIoT et l'analytique cloud ont érodé chaque couche. Il est temps de poser une nouvelle frontière, une par actif.
Dernière mise à jour:
Le modèle Purdue montre son âge
Conçu pour des usines isolées avec des topologies statiques, la hiérarchie à cinq niveaux du modèle Purdue supposait que la séparation physique équivalait à la sécurité. Cette hypothèse ne tient plus.
Pourquoi le modèle Purdue et sa DMZ ne tiennent plus.
Trois forces érodent la hiérarchie tandis que la DMZ industrielle concentre le risque au lieu de distribuer la défense.
Point de défaillance unique
Une seule brèche dans la DMZ expose tous les actifs des deux côtés de la frontière. L'ajout de nouvelles connexions nécessite des modifications de règles firewall qui accusent des semaines de retard sur les opérations.
Tout converge vers un seul goulot d'étranglement
L'accès fournisseur, la télémétrie IIoT et la synchronisation cloud partagent tous le même point de passage DMZ. Une seule frontière surchargée qui tente de gérer tout le trafic IT/OT.
La visibilité s'arrête à la DMZ
Le mouvement latéral à l'intérieur de l'OT passe totalement inaperçu. Une fois la DMZ franchie, les attaquants se déplacent librement à travers les réseaux plats de l'usine.
Micro-DMZ. Une par actif.
Remplacez la DMZ partagée par des frontières par actif.
Au lieu d'une DMZ partagée unique pour toute l'usine, enveloppez chaque actif OT dans sa propre frontière. Chaque Micro-DMZ sert d'intermédiaire pour le chemin d'accès nord-sud vers l'actif, en authentifiant, inspectant et journalisant chaque session. Le trafic cyclique entre contrôleur et E/S reste sur l'underlay ; seules les sessions routables de supervision, d'ingénierie et de fournisseurs empruntent l'overlay, si bien que la boucle de contrôle temps réel n'est jamais sur le chemin d'application.
Cinq raisons d'aller au-delà de Purdue.
Zéro mouvement latéral
- Compromettre un appareil ne donne aucun accès aux autres
- Pas de réseau plat, pas de zone de confiance partagée
- Chaque connexion limitée à la frontière d'un seul actif
- Le confinement des brèches est automatique et immédiat
- Compromettre un appareil ne donne aucun accès aux autres
- Pas de réseau plat, pas de zone de confiance partagée
- Chaque connexion limitée à la frontière d'un seul actif
- Le confinement des brèches est automatique et immédiat
Zéro mouvement latéral
Téléchargez le livre blanc complet.
Obtenez l'analyse complète : pourquoi le modèle Purdue échoue, comment les DMZ industrielles ne passent pas à l'échelle, et l'architecture technique derrière les Micro-DMZ.
Ce que vous apprendrez
Pourquoi la hiérarchie à cinq niveaux Purdue échoue face aux menaces modernes. Comment l'accès distant, l'IIoT et l'analytique cloud érodent chaque frontière de sécurité.
L'architecture Micro-DMZ
Analyse technique approfondie des frontières proxy au niveau des actifs. Comment déployer les Micro-DMZ de manière incrémentale sans refonte du réseau.
Questions fréquentes sur les Micro-DMZ.
frontière par actif. Les Micro-DMZ remplacent la DMZ industrielle partagée par des proxies dédiés et conscients de l'identité à chaque point de terminaison OT.
Non. Le modèle Purdue reste une architecture de référence utile pour comprendre les couches réseau OT. Les Micro-DMZ font évoluer son intention sécuritaire, isolation et contrôle d'accès, en imposant des frontières au niveau de l'actif plutôt que de s'appuyer sur une seule DMZ partagée au niveau 3.5.
La micro-segmentation signifie généralement l'ajout de VLAN ou de règles firewall pour limiter le mouvement latéral dans un réseau plat. Les Micro-DMZ vont plus loin : chaque actif dispose d'un proxy dédié qui authentifie, inspecte et journalise chaque connexion. Ce n'est pas simplement de l'isolation réseau, c'est un contrôle d'accès par appareil, conscient de l'identité et du protocole.
Oui. Le placement est un choix délibéré, propre à chaque site. Par défaut, Access Gate fonctionne en overlay adjacent à l'actif et sert d'intermédiaire pour les sessions qui l'atteignent ; là où une application plus forte et impossible à contourner est requise, il peut être déployé inline, comme un point transparent en coupure. Dans les deux cas, rien n'est installé sur l'actif : les PLC, HMI et systèmes SCADA legacy qui ne peuvent pas exécuter de logiciel de sécurité moderne sont ainsi protégés sans modification. Le proxy sert d'intermédiaire pour la session et réalise l'authentification ; le contrôleur ne voit jamais cette authentification et n'est jamais modifié.
Chaque session fournisseur est authentifiée et limitée à un actif spécifique. Pas de tunnel VPN partagé, pas d'accès réseau étendu. Le fournisseur se connecte via le proxy Micro-DMZ de l'actif, qui impose un accès à durée limitée, audité et au niveau du protocole, puis ferme la session automatiquement.
Les appareils IIoT se connectent via leur propre proxy Micro-DMZ, qui contrôle et inspecte la télémétrie sortante. La connectivité cloud est autorisée par politique, points de terminaison spécifiques, protocoles spécifiques, plannings spécifiques, sans exposer le réseau OT élargi aux surfaces d'attaque exposées à internet.
