Séparez l'IT de l'OT sans modifier votre réseau.
Trout Access Gate est une appliance sur site qui crée une DMZ industrielle entre le réseau bureautique et l'atelier. Seul le trafic autorisé franchit la frontière IT/OT. Un poste compromis ne peut donc pas atteindre la production.
Dernière mise à jour :
Le problème aujourd'hui
Dans un réseau plat, un seul poste compromis peut atteindre directement les automates. Avec le temps, une DMZ industrielle accumule des exceptions jusqu'à ne plus séparer l'IT de l'OT. Contrôlez quelles zones peuvent communiquer entre elles, avec un utilisateur identifié derrière chaque session.
Pourquoi les réseaux OT plats échouent à la frontière IT/OT.
Dans un réseau d'usine plat ou faiblement segmenté, l'historian, la station d'ingénierie, le serveur SCADA et les automates partagent le même réseau. Ces réseaux ont été conçus pour la fiabilité, et la connectivité y a été ajoutée au fil des années.
Une DMZ industrielle devrait se situer entre l'IT d'entreprise et l'OT, au niveau 3.5. Elle ne relaie que les rares flux qui doivent passer : le flux de l'historian, la distribution des correctifs et l'accès distant. Avec le temps, elle accumule services et exceptions et devient une zone de confiance de plus.
Les attaquants exploitent cette faille. Les incidents OT commencent souvent sur un poste piégé par hameçonnage ou sur une connexion fournisseur aux droits trop larges. De là, les attaquants descendent vers le réseau de contrôle.
Les zones et conduits IEC 62443 dans l'iDMZ.
L'IEC 62443 donne à la DMZ des règles applicables. Une zone est un groupe de machines qui partagent un même niveau de sécurité. Un conduit est le chemin contrôlé entre deux zones. Il définit quel trafic peut passer. Une DMZ industrielle est le conduit entre la zone entreprise et les zones OT.
Construire les conduits sur un réseau en production est la partie difficile. Cela implique en général une refonte des VLAN. Les équipements changent d'adresse, les commutateurs sont reconfigurés et la production s'arrête pour la bascule. À cause de cet arrêt, beaucoup de réseaux restent plats et l'iDMZ reste un schéma.
Déployer une DMZ industrielle en deux phases.
Déployer à côté du réseau existant.
Access Gate se connecte au réseau existant à la frontière de niveau 3.5. Il crée un overlay DMZ entre les zones, et le trafic entre zones passe par ses proxys authentifiés. Vos VLAN ne changent pas. Rien n'est installé sur les automates ni sur les autres machines OT, et la production continue. La visibilité et le contrôle d'accès basé sur l'identité sont opérationnels en une journée.
Consolider derrière la passerelle.
L'overlay devient la couche d'application des règles. Les systèmes passent derrière la passerelle via son proxy, et les commutateurs restent en place. Access Gate joue alors le rôle d'iDMZ. Il inspecte les protocoles industriels paquet par paquet et applique des règles par utilisateur, appareil et protocole. Il tient un journal de session chaîné par hachage. Cette consolidation prend quelques jours. Un projet classique prend des mois.
L'iDMZ face à l'article 21 de NIS2 et à l'IEC 62443.
La DMZ à base de proxy couvre les mesures techniques de l'article 21 de NIS2. Pour la segmentation réseau, elle crée zones et conduits sans recâblage. Pour le contrôle d'accès, elle vérifie l'identité et impose la MFA au niveau du proxy. Chaque utilisateur n'atteint que les machines et protocoles dont il a besoin. Pour la journalisation, elle enregistre chaque session entre zones avec l'utilisateur, l'horodatage et le protocole. Ce journal est chaîné par hachage, et toute altération est détectable.
Les zones et conduits de l'IEC 62443 sont la mise en œuvre technique reconnue de ces obligations. L'ANSSI et les recommandations nationales équivalentes s'appuient sur ce modèle pour démontrer la segmentation. Access Gate produit cette preuve dès la première session. Vous ne la reconstituez pas la semaine avant un audit.
Où les usines utilisent l'iDMZ.
Une usine sans fenêtre de maintenance.
Ce site repousse la segmentation depuis des années. Elle impliquait une refonte des pare-feux et un arrêt de production. L'overlay met la frontière IT/OT sous contrôle en une journée, sans toucher au réseau physique. Les systèmes passent ensuite derrière la passerelle au cours des jours suivants.
En savoir plusDes machines de nombreux fournisseurs.
Un groupe exploite du Siemens dans une usine, du Rockwell dans la suivante et du Schneider dans une troisième. Il ne peut pas se standardiser sur l'outillage d'un seul fournisseur. L'overlay DMZ fonctionne avec tous les fournisseurs. Il applique zones et conduits au-dessus des automates et protocoles de chaque site, avec une politique centrale pour tous.
En savoir plusUn accès fournisseur sûr vers l'OT.
Les fournisseurs franchissent souvent la frontière pour la maintenance à distance. L'iDMZ fait passer chaque session fournisseur par un proxy authentifié. Chaque session est limitée à une machine et un protocole, et elle est entièrement enregistrée. Une session fournisseur n'ouvre jamais de chemin vers le réseau plat.
En savoir plusUne frontière claire entre l'IT et l'OT.
Vous mettez en place une DMZ industrielle sans refondre le réseau. La production continue, et votre propre équipe peut s'en charger.
Votre LAN reste tel quel.
Les contrôles DMZ s'ajoutent au réseau que vous avez déjà.
Chaque passage traverse un proxy.
Le trafic entre zones passe par un proxy authentifié. Les machines restent invisibles aux utilisateurs non autorisés.
Le trafic industriel est inspecté.
Access Gate vérifie les protocoles industriels paquet par paquet.
Les anciennes machines sont couvertes.
Automates, IHM, SCADA et DCS sont protégés sans rien modifier sur les équipements.
Chaque flux est défini.
Vous définissez chaque chemin, à sens unique si besoin. Chaque chemin est journalisé.
Vous décidez qui accède à quoi.
Définissez l'accès par utilisateur, appareil et protocole à chaque frontière de zone.
Télécharger la Fiche Produit Access Gate.
Obtenez la présentation complète du produit avec les capacités techniques, le modèle de déploiement, l'alignement conformité et les références clients.
Contenu
Architecture produit, modèle de déploiement, capacités clés (application proxy, micro-DMZ, accès par identité), alignement conformité et déploiements clients réels.
Le produit en conditions réelles
Demandez une démo en direct pour voir comment l'Access Gate se déploie sur votre réseau sans recâblage ni temps d'arrêt.
Questions sur la DMZ industrielle.
Modification réseau requise : une route sur votre routeur existant. Access Gate trace les frontières au niveau applicatif. Vos VLAN et votre câblage restent tels quels.
Non. Access Gate crée une segmentation logique au niveau applicatif, par-dessus votre réseau existant. Vous ajoutez une route sur votre routeur existant. Vos VLAN restent tels quels. La production continue pendant que vous appliquez les frontières de zone.
Les pare-feux traditionnels segmentent au niveau réseau et exigent des changements de topologie. Access Gate segmente au niveau applicatif. Il applique des règles par utilisateur, par appareil et par protocole. Votre architecture réseau physique et logique ne change pas, ce qui convient aux sites existants.
Oui. Access Gate protège les équipements sans rien installer dessus. Automates, IHM, systèmes SCADA et contrôleurs DCS sont protégés par des bastions proxy qui gèrent tous les accès. Les équipements n'ont pas besoin de prendre en charge des protocoles de sécurité modernes.
Un bastion proxy est une passerelle authentifiée par laquelle passe tout le trafic qui franchit une frontière de zone. Les utilisateurs et les appareils s'authentifient avant que le trafic soit transmis. Le bastion inspecte aussi les protocoles industriels paquet par paquet. Il enregistre des journaux de session complets pour l'audit.
Oui. Access Gate fonctionne entièrement sur site, sans dépendance au cloud. Il est conçu pour les environnements air-gapped, hybrides et classifiés, où les données ne peuvent pas sortir du périmètre réseau.
La DMZ à base de proxy assure la segmentation réseau, le contrôle d'accès et la journalisation exigés par l'article 21 de NIS2. Elle met aussi en œuvre le modèle de zones et conduits de l'IEC 62443. Chaque session entre zones est liée à l'identité d'un utilisateur. Chaque session est enregistrée dans un journal chaîné par hachage, où toute altération est détectable. Les preuves d'audit s'accumulent dès la première session, et vous n'avez pas à les reconstituer avant une inspection.
Une DMZ OT, aussi appelée DMZ industrielle ou IDMZ, est la zone tampon entre le réseau IT de l'entreprise et le réseau OT. Elle se situe au niveau 3.5 du modèle de Purdue. Seuls des flux relayés la traversent, comme le flux de l'historian, la distribution des correctifs et l'accès distant. Aucun trafic ne passe directement de l'IT au réseau de contrôle. L'IEC 62443 la traite comme un conduit entre zones.
Une DMZ IT expose des services à Internet, comme un serveur web ou de messagerie. Une DMZ industrielle se situe à l'intérieur de l'entreprise, entre l'IT et l'OT. Elle protège le réseau de contrôle du réseau bureautique. Ses règles sont plus strictes. Aucune session ne va directement de l'IT vers l'OT. Chaque passage est relayé et journalisé, et rien n'est installé sur les automates qu'elle protège.
L’Access Gate est le premier service que vous déployez, pas le dernier.
Voir en action
Planifiez une démo en direct. Voyez Access Gate segmenter le réseau d'une usine pendant que la production tourne.