Accès distant sécurisé pour l’OT, sans confiance implicite

Les prestataires gardent le VPN ou la liaison 4G qu’ils utilisent déjà, et cette liaison s’arrête à l’Access Gate. Ils ouvrent un navigateur et s’authentifient à la passerelle avec MFA. La passerelle relie leur session à la ressource cible au niveau applicatif. Ils n’obtiennent jamais d’adresse IP sur votre réseau et ne peuvent utiliser que la ressource et le protocole que vous avez autorisés.

L’Access Gate prend en charge HTTP/HTTPS, SSH, RDP, VNC, Modbus TCP et OPC-UA. Chaque protocole est inspecté au niveau applicatif.

Oui. Les règles d’accès peuvent inclure des contraintes horaires : vous pouvez n’autoriser un prestataire à se connecter que pendant une fenêtre de maintenance planifiée.

Chaque session distante est enregistrée au niveau protocole. Les sessions SSH capturent les E/S terminal, les sessions RDP capturent l’activité écran et les sessions HTTP journalisent toutes les requêtes.

Oui. L’Access Gate fonctionne entièrement sur site sans dépendance au cloud. Il est conçu pour les environnements ITAR, CMMC et air-gapped.

Un VPN ou un hôte de rebond seul place l’utilisateur distant sur votre réseau, avec une route vers tous les systèmes une fois connecté. L’Access Gate conserve cette connexion et ajoute une micro-segmentation du LAN et un bastion. L’utilisateur s’authentifie avec sa propre identité, atteint un seul actif autorisé via un seul protocole autorisé et n’obtient jamais d’adresse IP interne. La passerelle inspecte et enregistre la session, puis la ferme après une durée définie. L’utilisateur accède à un seul système au lieu du réseau entier.

L’accès distant OT permet aux prestataires, intégrateurs et ingénieurs hors site d’atteindre les systèmes industriels sans exposer le réseau de l’usine. Le VPN s’arrête à l’Access Gate, qui s’interpose sur chaque session via un proxy : identité vérifiée, périmètre limité à des actifs spécifiques, durée limitée et enregistrement complet. C’est une solution d’accès distant sécurisé conçue pour l’OT, sans agents sur les machines cibles.

L’accès distant des prestataires, c’est la connexion que vous ouvrez à un équipementier, un OEM ou un intégrateur pour qu’il intervienne sur une machine sans se déplacer. Le problème, c’est que les outils habituels donnent un accès au réseau là où le prestataire n’a besoin que d’un accès à la machine : un compte VPN place un poste tiers sur votre LAN, avec une route ouverte sur tout le reste, et il survit généralement à l’intervention. L’Access Gate procède autrement : il prend la session en charge. Le prestataire s’authentifie depuis un navigateur, auprès d’un fournisseur d’identité que vous maîtrisez, n’atteint que l’équipement autorisé, via le seul protocole autorisé, travaille dans une fenêtre qui se referme d’elle-même et laisse un enregistrement.

Quatre points, et l’ordre compte. Ancrez l’identité de votre côté plutôt que de faire confiance à l’annuaire du prestataire, et exigez la MFA sur la passerelle pour qu’un identifiant volé chez un sous-traitant ne suffise pas. Limitez chaque session à un seul équipement et un seul protocole, afin que la connexion ne puisse pas servir à explorer. Bornez-la à la fenêtre de maintenance et laissez-la expirer, plutôt que de compter sur quelqu’un pour la révoquer. Enregistrez la session au niveau protocolaire, pour que la réponse à « qui a fait quoi » soit un replay et non une reconstruction à partir de logs VPN. L’Access Gate couvre les quatre, depuis un proxy sur site, sans rien installer sur le PLC, le HMI ou l’historian.

Les recommandations de la CISA pour les infrastructures critiques sont constantes : une MFA résistante au phishing sur chaque connexion distante, aucun accès OT exposé sur Internet derrière un seul facteur, un accès au moindre privilège plutôt qu’un tunnel unique ouvrant sur tout le réseau, et une journalisation suffisante pour reconstituer une session après incident. La difficulté propre à l’OT, c’est que les équipements eux-mêmes ne peuvent pas prendre en charge la MFA : un PLC ou un RTU n’a aucun moyen de demander un second facteur. C’est en l’appliquant sur un proxy en coupure que l’on satisfait l’exigence sans toucher au matériel : le contrôle d’identité, le second facteur et l’enregistrement se font à la passerelle, et l’équipement communique exactement comme avant.