Qu'est-ce qu'un proxy industriel ?
Un proxy de sécurité conçu pour l'OT. Il arbitre chaque session devant les PLC, HMI, SCADA et les serveurs IT vieillissants que vous ne pouvez pas sécuriser au niveau de l'équipement, comprend les protocoles industriels, ne demande aucun agent sur l'appareil et est pensé pour la disponibilité, avec bascule automatique et un accès d'urgence (break-glass) journalisé.
Dernière mise à jour:
Un proxy industriel se place dans le chemin d'accès, devant un équipement que vous ne pouvez pas sécuriser seul, met fin à chaque session, authentifie l'utilisateur, autorise la commande précise et l'enregistre, avant que quoi que ce soit n'atteigne le PLC, le HMI, le serveur SCADA ou le serveur applicatif vieillissant situé derrière. Il se distingue d'un forward proxy ou d'un reverse proxy classique par trois aspects qui comptent en OT : il est conscient des protocoles (Modbus, DNP3, S7comm, et d'autres), sans agent sur l'équipement, et bâti pour la résilience. Access Gate de Trout Software est un proxy industriel.
Le placement est un choix de déploiement. Le proxy peut être en coupure (inline), comme un point d'application transparent qu'aucun trafic ne peut contourner pour atteindre l'équipement, ou hors bande (out of band), les sessions lui étant routées. Ce choix arbitre entre sécurité et performance : en coupure, il est impossible à contourner ; hors bande, il n'ajoute aucun risque au procédé en marche. Dans les deux cas, la boucle de contrôle temps réel et tout système de sécurité (safety) restent en dehors du chemin d'application : le procédé ne subit aucune latence ni gigue supplémentaire et continue de fonctionner si le proxy est hors ligne.
Qu'est-ce qui rend un proxy industriel ?
Un proxy web relaie le HTTP pour les navigateurs. Un proxy industriel arbitre l'accès à des équipements qui n'ont jamais été prévus pour être joints et qui ne savent pas se défendre. Cinq propriétés les distinguent.
Conscient des protocoles
Il analyse les protocoles OT comme Modbus, DNP3 et S7comm et applique ses règles au niveau de la commande et du registre, pas seulement du port.
Sans agent sur l'équipement
Le PLC, le HMI, le serveur SCADA ou le serveur applicatif vieillissant n'installe rien et ne change jamais. Toute l'application des règles se fait au niveau du proxy.
Bâti pour la résilience
Parce que l'OT privilégie la disponibilité, il fonctionne avec bascule automatique et un accès d'urgence (break-glass), afin de ne pas devenir un point de défaillance unique pour le procédé en marche.
Lié à l'identité et enregistré
Chaque session est rattachée à une identité authentifiée, limitée à ce que cette identité a le droit de faire, et enregistrée de bout en bout à des fins d'audit.
Moindre privilège, juste à temps
L'accès est délimité par équipement, protocole et commande, et limité dans le temps pour les prestataires : l'accès permanent est supprimé plutôt que géré.
Où il se place, et ce qu'il ne touche pas
Une usine est organisée en couches, grosso modo selon le modèle Purdue : capteurs et actionneurs au niveau 0, automates au niveau 1, HMI de supervision et SCADA au niveau 2, systèmes de site comme l'historian au niveau 3, une DMZ industrielle au niveau 3.5, et l'IT d'entreprise au-dessus. Un proxy industriel applique le contrôle d'accès à travers ces frontières. Sa juste place, et là où il ne doit surtout pas être, c'est la première chose que vérifiera un automaticien.
Il gouverne le chemin d'accès, pas la boucle de contrôle.
Le proxy arbitre les sessions nord-sud que les personnes, les prestataires et les stations d'ingénierie utilisent pour atteindre un équipement. La boucle de contrôle est-ouest, les E/S cycliques et le système de sécurité (safety) sont maintenus en dehors du chemin d'application : ils n'en dépendent jamais et ne subissent aucune latence supplémentaire.
En coupure ou hors bande, un choix délibéré.
Il peut être placé en coupure comme un point d'application transparent impossible à contourner, ou hors bande, les sessions lui étant routées. En coupure, la sécurité est maximale ; hors bande, tout risque pour le procédé en marche disparaît. La bonne réponse est un équilibre entre sécurité et performance propre à chaque site, pas une valeur par défaut. Lorsqu'il est placé en coupure sur un segment qui transporte aussi du trafic de contrôle, il est conçu pour rester transparent vis-à-vis de ces contraintes de temps.
Il protège aussi bien les équipements OT que l'IT vieillissant que vous ne pouvez pas remplacer.
Le même schéma qui arbitre le Modbus vers un PLC arbitre le RDP, le VNC, le SSH ou le HTTPS vers un serveur Windows ou applicatif vieillissant exécutant un programme spécifique, non maintenu ou non corrigeable. Tout équipement que vous ne pouvez pas durcir au niveau de l'équipement lui-même, automate ou serveur, se voit doté en amont d'un accès lié à l'identité, enregistré et à moindre privilège.
Un proxy industriel gouverne le chemin d'accès vers un automate, pas la boucle de contrôle qui s'y trouve. Retirez-le et un prestataire ne peut plus atteindre l'équipement. Le procédé que fait tourner cet équipement ne manque pas un battement.
Ce que « conscient des protocoles » signifie vraiment
La conscience du protocole est ce qui distingue un proxy industriel d'un simple relais TCP ou d'une règle de pare-feu fondée sur le port. Un filtre de port peut autoriser ou bloquer le 502/tcp, mais le port est un signal faible : un service, ou un attaquant, peut faire passer un protocole sur un port qui n'est pas le sien par défaut, ou encapsuler un protocole dans un autre déjà autorisé par le pare-feu. Access Gate place du calcul sur le fil : son parseur détecte et valide le protocole réel à partir du trafic lui-même, et non du port par lequel il est arrivé. À partir de là, il réalise une rupture de protocole : il termine la session, analyse le message applicatif et applique la politique sur l'opération réelle avant de transmettre quoi que ce soit à l'actif. C'est ce qui permet d'accorder à un prestataire une télémétrie en lecture seule sur une machine tout en refusant toute écriture, avec une seule règle plutôt qu'une refonte du réseau.
| Protocol | Default port | What protocol-awareness enforces |
|---|---|---|
| Modbus/TCP | 502 | Transporte un code de fonction et une plage de registres. Autorisez la fonction 3 (lecture) tout en refusant la fonction 16 (écriture multiple) sur la sortie (coil) qui démarre une pompe. Modbus n'a aucune authentification propre : le proxy est le seul endroit où cette décision peut être prise. |
| Siemens S7comm / S7comm-plus | 102 | Les opérations dangereuses ne sont pas les lectures, ce sont les arrêts/démarrages CPU et les téléchargements de blocs, qui modifient la logique en cours d'exécution. Le proxy peut autoriser une lecture de maintenance tout en bloquant ou en enregistrant un téléchargement de programme comme un événement à part entière. |
| EtherNet/IP + CIP | 44818 · I/O 2222 | L'illustration la plus nette de la règle sur la boucle de contrôle. Les E/S implicites sur l'UDP 2222 sont les données temps réel cycliques qui font tourner la machine et restent hors du proxy. La messagerie explicite sur le 44818 correspond à la configuration et à la programmation : c'est cela que l'on arbitre. |
| DNP3 | 20000 | Fréquent dans les postes déportés de l'eau et de l'électricité. Sa Secure Authentication est rarement activée. La conscience des protocoles consiste à arbitrer les commandes de contrôle différemment des interrogations (polls), sur des liaisons souvent lentes ou intermittentes. |
| OPC UA | 4840 | Fondé sur des sessions et capable d'une vraie sécurité, mais souvent déployé sur le terrain avec la politique de sécurité None. Le proxy applique ses règles au niveau de la session et du nœud plutôt que de se fier à la configuration laissée sur le serveur. |
| IEC 60870-5-104 | 2404 | Téléconduite pour les réseaux électriques. Le proxy distingue les commandes de contrôle du trafic de supervision et rattache chacune à une identité que le protocole lui-même ne sait pas transporter. |
| MQTT | 1883 · TLS 8883 | Télémétrie en publication/abonnement, de plus en plus le chemin montant depuis l'atelier. La conscience du protocole permet un contrôle au niveau des topics et de distinguer une publication d'un abonnement, au lieu d'ouvrir un port de broker à tout le monde. |
| BACnet/IP | UDP 47808 | Automatisation et gestion technique du bâtiment. Le proxy peut autoriser la lecture d'un objet capteur (present-value) tout en refusant l'écriture d'une consigne ou la neutralisation d'un point de sécurité des personnes. |
| Profinet | L2 (no TCP port) | Le cas le plus clair du trafic qui reste sur l'underlay. Le canal temps réel cyclique (RT/IRT) n'est jamais arbitré et ne doit pas traverser l'enforcement ; c'est le trafic acyclique de configuration et de gestion des équipements (DCP) que le proxy gouverne. |
Pour la couche d'accès humaine et pour l'IT vieillissant, la même rupture s'applique au RDP, VNC, SSH et HTTPS : atteindre un serveur Windows ou applicatif est arbitré, délimité et enregistré exactement comme l'accès à un automate.
La règle qui sous-tend tout cela : arbitrer les accès humains, prestataires et d'administration à l'équipement, et laisser le trafic de contrôle cyclique et de sécurité sur son propre chemin. L'analyse en profondeur des paquets ajoute de la latence, et une boucle de contrôle n'en tolère aucune. Le proxy a sa place dans le chemin d'accès, pas dans la boucle qui maintient le procédé en marche.
Là où un proxy industriel gagne sa place
La plupart des accès OT ne sont pas le fait d'une personne devant un HMI d'usine. C'est quelqu'un venu de l'extérieur de la salle de contrôle qui doit atteindre une machine, pour une raison précise, pour un court instant. C'est ce trafic qu'un proxy industriel est bâti pour arbitrer. Six cas en couvrent l'essentiel.
Accès prestataire à un automate pour une tâche
Un OEM doit régler un variateur ou récupérer un journal de défauts sur un seul PLC. L'ancienne réponse était un VPN vers la cellule ou un modem cellulaire laissé sur place. Le proxy remplace les deux : un équipement, un protocole, limité dans le temps, enregistré, et rien d'autre à portée.
Maintenance d'équipements coûteux sous contrat
Un centre d'usinage cinq axes ou une ligne de conditionnement est livré avec un contrat de service qui suppose un diagnostic à distance. Plutôt que de laisser le constructeur installer une connexion hors bande que vous ne maîtrisez pas, vous placez le proxy devant la machine et accordez un accès délimité et journalisé à cet équipement, et à rien d'adjacent.
Accès d'urgence (break-glass) pendant un incident
À 2 h du matin, il faut un accès rapide, et « rapide » signifiait généralement « non journalisé » dans l'ancien modèle. Le proxy offre aux opérateurs un chemin d'urgence documenté, toujours rattaché à une personne nommée et toujours enregistré : la seule fois où vous avez le plus besoin de la trace, vous l'avez.
Mise en service et démarrage
Les intégrateurs ont besoin d'un large accès pendant quelques semaines, puis plus du tout. Ouvrez un accès étendu pour la fenêtre de mise en service, délimitez-le à la cellule en construction, enregistrez-le et révoquez-le proprement à la réception, au lieu de laisser derrière vous des comptes intégrateurs permanents.
Changements de firmware et de logique
Un téléchargement de programme est l'action aux plus lourdes conséquences sur un automate. L'arbitrer via le proxy signifie que la seule action qui change ce que la machine fait physiquement est authentifiée, autorisée et enregistrée comme un événement distinct, et non noyée dans une session indifférenciée.
IT vieillissant et serveurs applicatifs
Un vieux serveur Windows exécutant une application métier ou SCADA sur mesure et non maintenue ne peut être ni corrigé ni remplacé à court terme. Le proxy se place devant lui en RDP, VNC, SSH ou HTTPS : l'accès au logiciel dont vous dépendez et que vous ne pouvez pas moderniser reste lié à l'identité et enregistré.
Comment il se compare aux outils que vous avez déjà
Une équipe qui se renseigne sur le proxy industriel cherche en réalité à savoir en quoi il diffère des outils déjà en baie. Un firewall filtre le trafic entre les zones. Un VPN donne un accès au réseau. Un jump host impose un point de passage obligé. Un data diode impose un flux à sens unique. Aucun d'eux n'authentifie une personne nommée pour une commande précise sur un équipement précis, ni ne l'enregistre. C'est cet écart que comble le proxy.
| Tool | Lié à l'identité | Par commande | Conscient des protocoles OT | Enregistre la session | Sans agent sur l'équipement | Accès interactif |
|---|---|---|---|---|---|---|
| Proxy industriel | Oui | Oui | Oui | Oui | Oui | Oui |
| Firewall / NGFW | Non | Non | Partiel | Non | Oui | n/a |
| VPN | Non | Non | Non | Non | Client requis | Oui |
| Jump host / bastion | Souvent partagé | Non | Rarement | Partiel | Oui | Oui |
| Data diode | Non | Non | n/a | n/a | Oui | Sens unique |
- Firewall, même applicatif : filtre le trafic par règle entre les zones. Il n'authentifie pas une personne, ne rattache pas la session à son identité et n'enregistre pas ce qu'elle a fait à l'intérieur d'un flux autorisé. Complémentaire, pas équivalent.
- VPN : donne un accès au réseau. Une fois connecté, l'utilisateur est sur le réseau et peut atteindre tout ce que le routage permet, sans aucune notion d'équipement ou de commande précis. Un VPN répond à la question de savoir si un appareil peut rejoindre le réseau. Un proxy répond à la question de savoir si une identité peut réaliser une opération. Voir l'accès distant sécurisé aux systèmes OT.
- Jump host / bastion : meilleur qu'un simple VPN car il impose un point de passage obligé, mais il repose encore souvent sur des identifiants partagés, offre un point d'appui plutôt qu'un contrôle par commande, et analyse rarement les protocoles OT. Un proxy industriel est l'évolution du jump host : conscient de l'OT, lié à l'identité et enregistré.
- Data diode : flux à sens unique imposé par le matériel, excellent pour exporter de la télémétrie hors d'une zone avec une certitude physique. Par conception, il ne peut pas arbitrer une session de maintenance interactive : il ne résout donc pas l'accès des prestataires. Un autre outil pour un autre besoin.
Un VPN étend votre réseau à une personne. Un proxy industriel étend une action autorisée à un équipement, et rien d'autre.
Forward, reverse, et la place du proxy industriel
Un forward proxy se place devant les clients et arbitre leurs requêtes sortantes, pour du filtrage web ou de la journalisation en sortie. Un reverse proxy se place devant les serveurs et arbitre les requêtes entrantes qui leur sont destinées, pour de la répartition de charge ou de la terminaison TLS. Un proxy industriel est, sur le plan de l'architecture, un reverse proxy, ou proxy d'intermédiation : il se place devant l'équipement protégé et met fin à la session des deux côtés, si bien que rien de ce que le client envoie n'atteint l'automate sans être examiné. L'étiquette qui compte n'est ni forward ni reverse. C'est que ce proxy est conscient des protocoles OT, lié à l'identité, sans agent sur l'équipement et conçu pour la disponibilité.
Un proxy industriel est un reverse proxy doté d'un mandat de sécurité : il se place devant l'équipement, met fin à la session et ne transmet que l'opération exacte que la politique autorise.
Ce qui se passe quand le proxy tombe en panne
Les exploitants ne demandent pas si un équipement placé sur le chemin est sécurisé. Ils demandent ce qui casse quand il meurt. Répondre franchement à cette question, c'est ce qui rend un proxy industriel sûr à déployer sur une usine en marche.
Le procédé continue de tourner.
Parce que le proxy gouverne le chemin d'accès et non la boucle de contrôle locale, un proxy hors service arrête les nouvelles sessions d'accès, pas le procédé. La ligne continue de tourner sur ses propres automates et HMI. Vous perdez la possibilité d'accéder depuis l'extérieur jusqu'à son rétablissement. Vous ne perdez pas l'usine.
Fail-open ou fail-closed est une décision délibérée, prise par équipement.
Le fail-closed protège l'équipement mais peut bloquer un opérateur légitime en plein incident. Le fail-open préserve l'accès mais supprime l'application des règles. En OT, ce choix se fait par équipement et se journalise, jamais laissé à une valeur par défaut. La réponse résiliente consiste à supprimer le dilemme quand c'est possible avec une paire en haute disponibilité, pour qu'une seule défaillance ne l'impose jamais.
L'accès d'urgence (break-glass) est disponible et enregistré.
Le chemin d'urgence est lui-même authentifié et journalisé, de sorte que la voie vers laquelle vous vous tournez en cas de crise ne devient pas une porte dérobée non auditée.
La continuité de l'historian et des interrogations est préservée.
La collecte continue reste sur un chemin conçu pour elle : l'application des règles sur les accès humains et prestataires ne crée jamais de trous dans l'historique sur lequel l'usine fonde ses décisions.
Le sans-agent est une décision d'exploitation, pas seulement de sécurité.
La plupart des automates ne peuvent pas héberger d'agent, et les HMI et stations qui le peuvent se trouvent souvent dans des configurations validées ou supportées par le fournisseur que vous ne pouvez pas modifier sans perdre le support. Rien sur l'équipement, cela signifie rien de nouveau à corriger, rien à recertifier, et rien qui puisse faire planter l'appareil que vous ne pouvez pas vous permettre de redémarrer.
Dès qu'un proxy entre dans le chemin d'accès, son mode de défaillance devient une décision de sûreté. Fail-open, fail-closed et break-glass se choisissent par équipement et se journalisent, jamais laissés à une valeur par défaut.
Les preuves que produit un proxy industriel
Un contrôle incapable de produire une trace est un espoir, pas un contrôle. Pour chaque équipement situé derrière lui, un proxy industriel devrait permettre à un exploitant d'exporter les éléments suivants, à la demande.
- L'identité nommée derrière chaque session, pas une IP ni un compte partagé.
- Le périmètre par équipement et par commande accordé à cette identité.
- Une trace au niveau de la commande indiquant quelles opérations de protocole et écritures de registre ont atteint l'équipement, et lesquelles ont été bloquées.
- Des journaux infalsifiables et horodatés de façon synchronisée, avec une durée de conservation annoncée.
- Une couverture rattachée à l'inventaire des équipements : quels équipements se trouvent derrière l'application des règles.
- La preuve que le contrôle ne peut pas être contourné : application en coupure, avec break-glass journalisé.
Avec Access Gate, ces preuves restent sur site (on-premise), pas dans le cloud d'un fournisseur, ce qui compte pour la souveraineté et pour les régulateurs qui demandent où résident les données d'audit.
Un contrôle incapable de produire une trace attribuée à une identité et détaillée au niveau de la commande n'est pas un contrôle d'accès. Un proxy industriel existe pour produire cette trace.
Comment il s'aligne sur les normes auxquelles vous répondez
Un proxy industriel est le point d'application que les référentiels décrivent déjà. Nommer cette correspondance est le moyen le plus rapide de le situer dans un programme de conformité existant.
| Framework | What the proxy provides |
|---|---|
| NIST SP 800-207 (Zero Trust) | Le proxy est le Policy Enforcement Point dans le chemin de données, agissant sur les décisions d'autorisation ou de refus émises par un point de décision (policy decision point). C'est la correspondance la plus nette en une ligne. |
| IEC 62443 | Un point d'application de type conduit entre les zones (62443-3-2). Il fournit des exigences fondamentales qu'un équipement ancien ne peut pas assurer : FR1 identification et authentification, FR2 contrôle d'usage, FR3 intégrité du système, FR5 flux de données restreint, FR6 réponse rapide aux événements. Voir le pilier sécurité des PLC pour la correspondance complète. |
| NIST SP 800-82 Rev 3 | S'aligne sur ses recommandations en matière d'accès distant, de moindre privilège et de supervision pour les ICS. |
| NERC CIP-005 | Peut jouer le rôle du Système intermédiaire (Intermediate System) par lequel l'accès distant interactif (Interactive Remote Access) doit transiter, et peut identifier puis couper une session prestataire active. Voir la conformité NERC CIP. |
En termes de Zero Trust, un proxy industriel est le Policy Enforcement Point de l'OT : l'endroit où « ne jamais faire confiance, toujours vérifier » cesse d'être un slogan pour devenir une session qui a été contrôlée et enregistrée.
Vous ne pouvez pas moderniser chaque équipement. Vous pouvez placer un proxy moderne devant lui.
La plupart des protocoles OT n'ont ni authentification ni chiffrement natifs, et la plupart des automates ne peuvent pas être corrigés pour les ajouter. Il en va de même des serveurs IT vieillissants qui font tourner des logiciels que personne ne réécrira. Les remplacer est un programme qui s'étale sur plusieurs décennies. Un proxy industriel insère identité, autorisation, chiffrement et audit modernes devant l'équipement existant, sans le modifier et sans interruption de service. C'est le moyen pragmatique d'apporter le Zero Trust à une usine que l'on ne peut pas reconstruire.
Les questions à poser avant d'en acheter un
Chaque point ci-dessous est un vrai critère de différenciation. Exigez les réponses lors d'une démonstration, pas dans une fiche technique.
- 01Quels protocoles OT analyse-t-il, et peut-il appliquer ses règles au niveau du code de fonction / du registre, pas seulement du port ?
- 02Est-il vraiment sans agent sur l'automate, le HMI, le serveur SCADA et le serveur applicatif vieillissant ?
- 03Fonctionne-t-il en haute disponibilité avec bascule automatique, et quel est son comportement fail-open / fail-closed documenté ?
- 04Le chemin d'accès d'urgence (break-glass) est-il journalisé ?
- 05Rattache-t-il les sessions à votre fournisseur d'identité (Active Directory, Entra ID, SAML, RADIUS) avec du MFA au niveau réseau ?
- 06Enregistre-t-il les sessions au niveau de la commande, et pouvez-vous exporter les preuves sur site avec une durée de conservation annoncée ?
- 07Son déploiement exige-t-il un ré-adressage IP, un recâblage ou une refonte des VLAN ? Il ne devrait pas.
- 08Peut-il être placé en coupure ou hors bande, pour que vous choisissiez l'équilibre entre sécurité et performance site par site ?
- 09Peut-il identifier et couper une session active à la demande ?
- 10Une partie quelconque de son fonctionnement dépend-elle d'un cloud fournisseur ?
Si un proxy ne sait pas distinguer une lecture d'une écriture, c'est un firewall avec des étapes en plus. Demandez l'application au niveau du code de fonction pendant la démonstration, pas dans la fiche technique.
Le proxy industriel, en réponses
Un proxy industriel est un proxy de sécurité spécialement conçu pour les technologies opérationnelles (OT). Il se place dans le chemin d'accès, devant un PLC, un HMI, un serveur SCADA ou un serveur applicatif vieillissant, met fin à chaque session, authentifie l'utilisateur, autorise la commande précise selon la politique, l'enregistre et ne transmet que ce qui est permis. Contrairement à un proxy web générique, il comprend les protocoles OT comme Modbus, DNP3 et S7comm, et il est bâti pour la résilience, avec bascule automatique et un accès d'urgence (break-glass). Access Gate de Trout Software est un proxy industriel.
Un forward proxy se place devant les clients et arbitre leurs requêtes sortantes. Un reverse proxy se place devant les serveurs et arbitre les requêtes entrantes qui leur sont destinées. Un proxy industriel est un proxy d'intermédiation dans le chemin d'accès : il met fin à la session des deux côtés et joue le rôle de bastion entre la personne qui demande l'accès et l'équipement OT. La différence qui compte n'est pas forward ou reverse, c'est que le proxy industriel est conscient des protocoles OT, sans agent sur l'équipement et conçu pour la disponibilité.
Un VPN donne un accès au réseau : une fois connecté, l'utilisateur est sur le réseau et peut atteindre tout ce que le routage et les règles de firewall permettent. Un proxy industriel accorde une action autorisée sur un équipement et l'enregistre. Pour l'accès distant et prestataire en OT, le proxy est le modèle le plus sûr car il délimite l'accès à un équipement, un protocole et une commande précis plutôt que de céder le réseau.
C'est l'évolution du jump host : conscient de l'OT, lié à l'identité et enregistré. Un jump host classique impose un point de passage obligé mais repose souvent sur des identifiants partagés, offre un point d'appui sur le réseau plutôt qu'un contrôle par commande, et analyse rarement les protocoles OT ou produit rarement un audit au niveau de la commande. Un proxy industriel corrige ces trois points.
Un data diode impose un flux à sens unique par le matériel, ce qui est excellent pour exporter de la télémétrie hors d'une zone avec une certitude physique. Par conception, il ne peut pas arbitrer une session de maintenance interactive et bidirectionnelle : il ne résout donc pas le problème d'accès distant et prestataire que rencontrent réellement la plupart des exploitants. Les deux sont complémentaires, pas des alternatives.
Non. Un firewall, même applicatif, inspecte et filtre le trafic entre les zones. Il n'authentifie pas une personne, ne rattache pas la session à son identité et n'enregistre pas ce qu'elle a fait. Un proxy industriel décide si cet utilisateur précis, dans cette session précise, peut envoyer cette commande précise à cet équipement précis, à cet instant, et en conserve la trace complète. Un firewall filtre. Un proxy arbitre et attribue.
Non, car il gouverne le chemin d'accès, pas la boucle de contrôle temps réel. Les E/S cycliques et le trafic de sécurité (safety) sont maintenus en dehors du chemin d'application. Lorsque le proxy est placé en coupure sur un segment qui transporte aussi du trafic de contrôle, il est conçu pour rester transparent vis-à-vis de ces contraintes de temps.
Avec une paire en haute disponibilité et une boucle de contrôle maintenue hors du proxy, une panne du proxy arrête les nouvelles sessions d'accès, pas le procédé en marche. La ligne continue de tourner sur ses propres automates et HMI. Un accès d'urgence (break-glass) est disponible et journalisé. Le choix fail-open ou fail-closed se fait par équipement, pas laissé à une valeur par défaut.
Les deux sont possibles et c'est un choix de déploiement. Le placement en coupure est un point d'application transparent impossible à contourner. Le placement hors bande route les sessions vers le proxy et n'ajoute aucun risque au procédé en marche. La bonne option est un équilibre entre sécurité et performance propre à chaque site.
Oui. Le même schéma qui arbitre le Modbus vers un PLC arbitre le RDP, le VNC, le SSH ou le HTTPS vers un serveur Windows ou applicatif vieillissant exécutant un logiciel spécifique et non maintenu. Tout équipement que vous ne pouvez pas sécuriser au niveau de l'équipement lui-même, automate ou serveur, peut se voir doté en amont d'un accès lié à l'identité, enregistré et à moindre privilège.
À la frontière de zone que vous protégez, généralement le niveau 3 ou 3.5 qui descend vers les niveaux 2 et 1, comme la porte d'entrée unique et arbitrée de la zone. Il gouverne les sessions d'accès nord-sud et reste en dehors de la boucle de contrôle temps réel est-ouest.
Le PLC n'installe rien. Le proxy se tient devant lui : l'opérateur ou le prestataire se connecte au proxy, qui l'authentifie, vérifie la requête Modbus ou DNP3 précise selon la politique, enregistre la session et ne transmet que le trafic autorisé. Un PLC vieux de vingt ans, incapable d'exécuter un agent, obtient un accès lié à l'identité, une autorisation et un audit qu'il n'aurait jamais pu héberger lui-même.
Access Gate sécurise d'abord vos actifs, puis expose les services simples que vos équipes et prestataires veulent vraiment, pour qu'ils passent par le chemin approuvé, et non autour.
L'OT passe par vous, pas autour de vous.