La segmentation des réseaux figure parmi les mesures les plus efficaces pour limiter les conséquences d'une attaque en environnement industriel. De nombreux réseaux industriels au Maroc fonctionnent pourtant encore en structure plate, où bureautique, production et parfois accès à internet cohabitent sur un même segment. Voici comment procéder et ce qu'il faut éviter.

Principe fondamental : la segmentation consiste à diviser le réseau en zones dotées chacune de son propre niveau de sécurité. Les communications entre zones ne transitent que par des conduits contrôlés, c'est-à-dire des chemins définis à l'avance.

Le modèle Purdue comme référence

Le modèle Purdue constitue la référence usuelle pour structurer un réseau industriel. Il distingue des niveaux allant du procédé physique jusqu'au réseau d'entreprise :

N0

Processus physique
(capteurs, actionneurs)

N1

Contrôle
(automates, RTU)

N2

Supervision
(pupitres, SCADA)

N3

Opérations
(MES, historians)

DMZ

Frontière IT/OT
(pare-feu, mandataires)

N4-5

IT entreprise
(ERP, messagerie, internet)

L'intérêt du modèle ne réside pas dans le découpage lui-même, mais dans la question qu'il impose : quel trafic doit réellement passer d'un niveau à l'autre, et pour quel motif ?

Zones et conduits selon l'IEC 62443

La partie 3-2 de l'IEC 62443 définit les notions de zone et de conduit :

  • Zone : regroupement logique d'actifs partageant un même niveau de sécurité requis. Les automates d'une même ligne de production constituent par exemple une zone.
  • Conduit : chemin de communication défini entre deux zones, contrôlé par des pare-feu, des listes de contrôle d'accès ou des diodes de données.

L'objectif est de contenir les conséquences d'une compromission à une seule zone et d'empêcher les déplacements latéraux.

Mise en œuvre en 5 étapes

  1. Inventorier les actifs et les flux. Segmenter sans connaître les échanges existants conduit immanquablement à interrompre un flux nécessaire.
  2. Définir les zones en regroupant les actifs par fonction, par localisation et par niveau de sécurité requis.
  3. Déterminer le niveau de sécurité de chaque zone, du SL-1, protection contre les atteintes fortuites, au SL-4, protection contre des acteurs disposant de moyens étendus.
  4. Concevoir les conduits en établissant les communications nécessaires entre zones et en fermant tout le reste.
  5. Mettre en œuvre et surveiller, au moyen de pare-feu, de VLAN, de diodes de données et d'une détection sur le trafic.

Erreurs fréquentes

  • Se limiter à un pare-feu entre bureautique et production. Le réseau industriel doit également être segmenté en interne, faute de quoi la frontière est déplacée sans que la propagation soit contenue.
  • Créer des VLAN sans listes de contrôle d'accès. Le trafic est alors séparé sur le plan de l'organisation, mais non dans les faits.
  • Accorder un accès direct aux fournisseurs. La maintenance à distance doit transiter par un serveur de rebond situé dans la zone démilitarisée.
  • Traiter la segmentation comme un projet ponctuel. Les réseaux évoluent continuellement ; sans entretien, le découpage se dégrade en quelques années.

Attention : dans une installation existante, une analyse d'impact approfondie est indispensable avant toute modification. Une règle de pare-feu mal établie peut interrompre un procédé, et le risque est maximal sur les flux dont personne ne soupçonnait l'existence.

Besoin d'aide pour la segmentation réseau ?

Resotech conçoit et déploie des architectures de segmentation conformes à l'IEC 62443 pour les environnements industriels marocains, par phases et en fonction de vos fenêtres de maintenance.

Nous contacter   Scan OT gratuit