La microsegmentation OT qui alimente votre SIEM.

Vous ajoutez un overlay à côté de votre réseau existant. Il découpe le réseau en petites zones logiques (alignées sur les zones et conduits IEC 62443) et contrôle précisément quel équipement peut atteindre quel autre, sur quel protocole et pendant quelles plages horaires. Chaque flux autorisé est explicité, et chaque flux bloqué est journalisé. Comme l'overlay ne réadresse pas le réseau et ne touche pas aux équipements, vous évitez la refonte des VLAN et l'arrêt qu'exige un projet de segmentation classique.

Access Gate envoie ses événements à votre SIEM en syslog TCP (RFC 5424). Splunk, Elastic, IBM QRadar et Microsoft Sentinel les acceptent nativement, sans connecteur spécifique. Vous choisissez quelles règles de détection sont transmises, et chaque événement porte quatre champs : la description de l'événement, la technique MITRE ATT&CK, la source et la règle qui s'est déclenchée. Le SOC obtient ainsi le contexte OT qui lui fait généralement défaut.

Non. Un overlay applique la segmentation au niveau réseau, il n'a donc besoin d'aucun logiciel sur les PLC, les HMI ou les serveurs SCADA. C'est décisif en OT, où la plupart des automates ne peuvent ni faire tourner un agent ni être mis hors ligne pour en installer un. Access Gate fonctionne sans agent et se déploie sans recâblage ni fenêtre de maintenance.

Des alertes, des flux et des événements d'audit. En pratique : les alertes d'accès et de connexion, les enregistrements de session et de flux avec attribution complète, les détections de règles étiquetées avec leur technique MITRE ATT&CK, et les événements de flux bloqués. Comme les événements sont liés à une identité, ils sont directement utilisables comme preuves d'audit pour CMMC, NERC CIP, NIS2 et la réglementation du DOH et du DEC de l'État de New York pour le secteur de l'eau, et pas seulement pour alerter.

Comme l'overlay n'exige ni recâblage ni agent, Access Gate s'installe en une journée par site. Ensuite, vous cartographiez le réseau et les actifs, définissez les zones et les règles, les appliquez, puis dirigez le flux d'événements vers le SIEM. Vous avez de la visibilité dès le premier jour et vous durcissez les zones pas à pas, sans arrêter la production.

Les événements partent en syslog RFC 5424 sur TCP. Pour IBM QRadar, vous pouvez les émettre en CEF (Common Event Format) ou en LEEF (Log Event Extended Format). Les DSM de QRadar analysent ces deux formats clé-valeur sans connecteur spécifique, de sorte que des champs comme la technique MITRE ATT&CK et le principal se retrouvent dans les bonnes propriétés QRadar. Splunk, Elastic et Microsoft Sentinel ingèrent directement le flux RFC 5424.

Access Gate journalise les événements d'accès, de session, de flux et de flux bloqués. Il ne fait pas de capture de paquets brute. Le volume suit donc le nombre de sessions nord-sud encadrées, plutôt que le trafic OT total. Les événements par seconde et la licence SIEM restent ainsi très en dessous de ce que déverse un port span. Dimensionnez à partir de votre nombre de sessions pendant le pilote plutôt qu'avec une règle empirique, et ne transmettez que les règles de détection qui vous intéressent pour réduire encore le volume.

Chaque détection de règle est étiquetée avec la technique ATT&CK for ICS correspondante, ce qui donne au SOC le contexte OT qui lui fait généralement défaut. La couverture typique inclut les messages de commande non autorisés (T0855), la modification de paramètre (T0836), ainsi que les techniques d'accès distant et de mouvement latéral qui les précèdent. L'étiquette est embarquée dans l'événement, vous pouvez donc corréler les détections OT avec la même matrice ATT&CK que vous utilisez déjà pour l'IT.

Oui. La destination syslog n'est pas exclusive : vous pouvez diffuser le même flux d'événements vers votre SIEM pour la détection et vers un historian, un data lake ou une archive longue durée pour la rétention et l'audit. Les deux chemins sont indépendants, vous ne perdez donc pas la piste d'audit en cas de panne du SIEM.

La rétention relève d'une politique côté SIEM et côté archive. L'overlay ne la limite pas. Comme les événements sont des enregistrements d'audit liés à une identité, la plupart des équipes les conservent pour respecter la durée la plus longue parmi les règles applicables, généralement un an ou plus pour les preuves NERC CIP, CMMC et NIS2. Le schéma à double destination permet de garder les données chaudes dans le SIEM et les données froides dans un stockage moins coûteux.

L'overlay fonctionne à côté du réseau : le trafic cyclique entre automates et E/S n'en a jamais dépendu et continue quoi qu'il arrive. Pour les sessions nord-sud encadrées, le choix fail-open ou fail-closed se fait par actif et est journalisé. Par exemple, un chemin de collecte vers un historian peut être en fail-open pour préserver la continuité, tandis qu'un chemin prestataire est en fail-closed. Access Gate fonctionne en paire à haute disponibilité, pour qu'une panne isolée ne soit pas un point de défaillance unique. L'accès d'urgence (break-glass) est authentifié et journalisé. Pendant une interruption du contrôle, les événements des sessions relayées ne sont pas enregistrés pour cet actif. C'est pour cela que la paire HA et l'accès d'urgence journalisé existent.