Qu'est-ce qu'un proxy industriel ?
Un proxy de sécurité conçu pour l'OT : il relaie chaque session devant le PLC, comprend les protocoles industriels, ne nécessite aucun agent sur l'équipement et est conçu pour minimiser l'impact sur la disponibilité, avec bascule automatique et accès d'urgence (break-glass).
Un proxy industriel se place dans le chemin d'accès devant un actif OT, termine chaque session, authentifie l'utilisateur, autorise la commande précise et l'enregistre, avant que quoi que ce soit n'atteigne le PLC, l'HMI ou le serveur SCADA. Il se distingue d'un proxy forward ou reverse générique sur trois points qui comptent pour l'OT : il est sensible aux protocoles (Modbus, DNP3, et plus), sans agent sur l'actif, et bâti pour la résilience. L'Access Gate de Trout Software est un proxy industriel.
Il se place dans le chemin des accès distants et des prestataires, pas dans la boucle de contrôle active. L'interrogation locale HMI vers PLC ne le traverse jamais, il n'ajoute donc ni latence ni gigue au procédé en fonctionnement, et l'exploitation sur site continue si la passerelle est hors ligne.
Qu'est-ce qui fait qu'un proxy est industriel ?
Un proxy web relaie le HTTP pour les navigateurs. Un proxy industriel sert d'intermédiaire pour l'accès à des automates qui n'ont jamais été conçus pour être atteints, et ne peuvent pas se défendre. Quatre propriétés les distinguent.
Sensible aux protocoles
Il analyse les protocoles OT tels que Modbus et DNP3 et applique ses règles au niveau de la commande et du registre, pas seulement du port.
Sans agent sur l'actif
Le PLC, l'HMI ou le serveur SCADA n'installe rien et ne change jamais. Toute l'application des règles se fait au niveau du proxy.
Bâti pour la résilience
Parce que l'OT privilégie la disponibilité, il fonctionne avec bascule automatique et accès d'urgence (break-glass) afin de ne pas devenir un point de défaillance unique pour le procédé en fonctionnement.
Lié à l'identité et enregistré
Chaque session est liée à une identité authentifiée, restreinte à ce que cette identité est autorisée à faire, et enregistrée de bout en bout pour l'audit.
Vous ne pouvez pas moderniser chaque automate. Vous pouvez placer un proxy moderne devant lui.
La plupart des protocoles OT n'ont ni authentification ni chiffrement natifs, et la plupart des automates ne peuvent pas être corrigés pour les ajouter. Les remplacer est un programme qui s'étale sur plusieurs décennies. Un proxy industriel insère identité, autorisation, chiffrement et audit modernes devant l'actif existant, sans modifier l'automate et sans interruption de service. C'est le moyen pratique d'apporter le Zero Trust à une usine qui ne peut pas être reconstruite.
Le proxy industriel, en réponses
Un proxy industriel est un proxy de sécurité spécialement conçu pour les technologies opérationnelles. Il se place dans le chemin d'accès devant un PLC, un HMI ou un serveur SCADA, termine chaque session, authentifie l'utilisateur, autorise la commande précise selon la politique, l'enregistre et ne transmet que ce qui est permis. Contrairement à un proxy web générique, il comprend les protocoles OT tels que Modbus et DNP3, et il est bâti pour la résilience, avec bascule automatique et accès d'urgence (break-glass), afin de minimiser l'impact sur la disponibilité. L'Access Gate de Trout Software est un proxy industriel.
Un proxy forward se place devant les clients et relaie leurs requêtes sortantes ; un proxy reverse se place devant les serveurs et relaie les requêtes entrantes qui leur sont destinées. Un proxy industriel est un proxy intermédiaire dans le chemin d'accès : il termine la session des deux côtés, agissant ainsi comme un bastion entre la personne ou le système qui demande l'accès et l'actif OT. La différence qui compte n'est pas forward ou reverse, c'est que le proxy industriel est sensible aux protocoles OT, sans agent sur l'actif, et conçu pour la disponibilité.
Un proxy forward relaie les requêtes d'un client vers une destination pour le compte de ce client, généralement pour filtrer ou journaliser le trafic web sortant. L'OT n'a pas besoin d'un proxy web forward générique. Il a besoin d'un proxy industriel intermédiaire qui relaie l'accès à des actifs précis, lie chaque session à une identité, la restreint au protocole et à la commande exacts autorisés, et l'enregistre, sans rien installer sur l'automate.
Non. Un pare-feu, même applicatif, inspecte et filtre le trafic entre zones ; il n'authentifie pas une personne, ne lie pas la session à son identité et n'enregistre pas ce qu'elle a fait. Un proxy industriel décide si cet utilisateur précis, dans cette session précise, peut envoyer cette commande précise à cet actif précis, à cet instant, et en conserve la trace complète. Un pare-feu filtre ; un proxy sert d'intermédiaire et attribue.
Le PLC n'installe rien. Le proxy industriel se tient devant lui : l'opérateur ou le prestataire se connecte au proxy, qui l'authentifie, vérifie la requête Modbus ou DNP3 précise selon la politique, enregistre la session et ne transmet à l'automate que le trafic autorisé. Un PLC vieux de vingt ans, incapable d'exécuter un agent, obtient un accès lié à l'identité, une autorisation et un audit qu'il n'aurait jamais pu héberger lui-même.
Access Gate sécurise d'abord vos actifs, puis expose les services simples que vos équipes et prestataires veulent vraiment, pour qu'ils passent par le chemin approuvé, et non autour.
L'OT passe par vous, pas autour de vous.