Architectures de DMZ industrielle. Protégez l'OT legacy sans refonte.
Quatre architectures, du réseau plat à la segmentation par proxy. Chacune protège l'OT legacy sans remplacer les équipements.
Dernière mise à jour :
Les réseaux industriels ont d'abord été conçus pour la fiabilité.
Les premiers réseaux d'automatisation étaient des écosystèmes fermés et spécialisés. Quand Ethernet et TCP/IP sont arrivés dans les usines, ils ont été superposés à des environnements qui conservaient leurs hypothèses d'origine, stabilité et disponibilité avant tout.
La DMZ traditionnelle est devenue une zone de services partagés.
La DMZ de niveau 3.5 a été conçue pour un problème précis. Elle a ensuite accumulé des rôles pour lesquels elle n'était pas prévue : historians, serveurs de correctifs et outils d'accès distant. Elle est peu à peu devenue un autre environnement de confiance, avec sa propre complexité.
La sécurité a fini par reposer sur la discipline de configuration.
Avec l'expansion de la connectivité industrielle, la DMZ centralisée est devenue un point de convergence pour des flux de travail sans rapport. La clarté architecturale a cédé la place à la commodité opérationnelle. La sécurité est devenue une question d'hygiène de configuration.
L'essentiel de l'exposition passe par les accès de confiance.
Une grande partie de l'exposition réelle de l'OT passe par des voies d'ingénierie et de fournisseurs autorisées. Pensez à la connexion de maintenance de confiance, à la session de support à distance et au serveur de rebond. L'intrusion réseau non autorisée en représente une plus petite part. Une DMZ partagée laisse passer ces chemins de confiance sans contrôle.
Le risque dépend de ce que fait une connexion.
Un automate partageant des données de télémétrie présente un risque fondamentalement différent de ce même automate acceptant des modifications de configuration, même si les deux se produisent sur le même segment réseau.
Le contexte opérationnel compte.
Comprendre l'intention compte plus que cartographier la topologie. Une lecture Modbus FC3 de registres de maintien sur TCP 502 et un téléchargement de logique sur la même session S7comm sur TCP 102 empruntent un chemin identique mais portent un risque opposé. La sécurité doit évaluer ce que fait une connexion au niveau du code de fonction, et pas seulement où elle va.
La segmentation seule ne suffit pas.
Les frontières réseau réduisent l'exposition. Elles ne distinguent pas une connectivité acceptable d'une connectivité dangereuse. Une sécurité efficace passe par la médiation : des échanges explicites, encadrés et dont l'objet est clair.
Superviser les interactions plutôt que séparer les systèmes.
Les réseaux de transport régulent le trafic avec des signaux et des points de contrôle, sans redessiner les routes. La cybersécurité industrielle suit le même principe. Supervisez les interactions au lieu de chercher à séparer entièrement les systèmes.
Une couche de médiation distribuée.
La sécurité s'applique au moment de l'interaction.
La DMZ industrielle doit devenir une couche de contrôle distribuée. Elle s'interpose dans les interactions entre systèmes et laisse ces systèmes inchangés. Les points d'application sont placés avec soin, pour respecter le fonctionnement de l'infrastructure industrielle. Le trafic cyclique entre contrôleur et E/S reste sur l'underlay. Seules les sessions routables de supervision, d'ingénierie et de fournisseurs passent par la médiation. La boucle de contrôle déterministe n'est jamais sur le chemin d'application.
Quatre architectures pour sécuriser l'OT sans refonte.
Médiation de session
- Application des politiques sur le chemin de la session, depuis une appliance qui se branche sur votre réseau existant
- Observe et gouverne les échanges sans exiger de modifications
- Le risque de déploiement reste faible, la topologie reste intacte
- Les équipes opérationnelles conservent la maîtrise de leur environnement
- Application des politiques sur le chemin de la session, depuis une appliance qui se branche sur votre réseau existant
- Observe et gouverne les échanges sans exiger de modifications
- Le risque de déploiement reste faible, la topologie reste intacte
- Les équipes opérationnelles conservent la maîtrise de leur environnement
Médiation de session
Téléchargez le guide complet sur les architectures DMZ.
Obtenez le guide complet : les limites de la DMZ traditionnelle, quatre architectures de segmentation par proxy, et comment appliquer les principes Zero Trust sans modifier les réseaux industriels.
Ce que vous apprendrez
Comment les réseaux industriels en sont arrivés à leur état actuel. Pourquoi le concept de DMZ centralisée échoue à grande échelle. Quatre architectures (médiation de session, segmentation fonctionnelle, connectivité overlay et observabilité opérationnelle) qui apportent le contrôle sans perturber l'exploitation.
Appliquez-les avec Access Gate.
Access Gate met en œuvre les quatre architectures depuis un seul boîtier. Il se branche sur votre réseau existant, et vous y faites passer les flux à protéger, site par site. Aucune refonte du réseau, rien à installer sur les machines, aucune modification des équipements OT existants.
Questions fréquentes sur l'architecture DMZ industrielle.
architectures pour sécuriser les environnements OT. Chacune répond à un défi architectural distinct : déploiement, segmentation, overlay et observabilité.
La médiation de session place un point d'application transparent sur le chemin entre deux systèmes, sans reconfigurer ni l'un ni l'autre. Access Gate se branche sur votre réseau existant, et seuls les flux que vous y faites passer sont soumis à la médiation. En OT, l'arrêt est inacceptable et les équipements durent des décennies. La médiation ajoute de la sécurité aux chemins de signal existants sans perturber le procédé. Les usines ajoutent déjà instrumentation et verrouillages de sécurité de la même façon.
La segmentation par VLAN divise les espaces d'adressage. La segmentation fonctionnelle définit la politique en fonction de l'intention opérationnelle. Une session de maintenance, un flux de télémétrie et une mise à jour de configuration peuvent traverser le même câble physique, mais ils portent un risque fondamentalement différent. La segmentation fonctionnelle permet à la politique de décrire quelles actions opérationnelles sont autorisées dans quelles circonstances, pas seulement quel sous-réseau peut communiquer avec un autre.
Un overlay ajoute une couche logique supplémentaire qui gouverne les relations de confiance sans modifier l'infrastructure physique. La commutation, le routage, l'adressage IP et les VLAN restent totalement inchangés. Access Gate établit des chemins de communication authentifiés et chiffrés en overlay, laissant le réseau existant exactement tel quel tout en ajoutant l'identité et l'application de politique au-dessus.
Oui. Les quatre architectures de ce livre blanc soutiennent la conformité par la médiation plutôt que par la migration. La médiation de session fournit le contrôle d'accès et la piste d'audit requis par NIS2 et CMMC. La segmentation fonctionnelle prend en charge le modèle de zones et conduits de l'IEC 62443. Aucune ne demande de refonte de l'infrastructure ni de remplacement d'équipements.
Oui. L'architecture de médiation de session ne demande aucune modification des terminaux. Les PLC, HMI, RTU et systèmes SCADA legacy qui ne peuvent pas exécuter de logiciel de sécurité moderne sont protégés par la couche proxy. L'équipement OT communique exactement comme avant. L'application se fait sur Access Gate, pas sur l'équipement lui-même.
