Fiche de révision : Cybersécurité industrielle OT

📋 Plan du Cours

1. Importance vitale des systèmes OT
2. Évolution et gouvernance de la cybersécurité OT
3. Sécurité, cybersécurité et contraintes IT/OT
4. Sécurité des projets, systèmes et produits
5. Visibilité, zones et conduits OT
6. Cartographie et classification industrielles
7. Vulnérabilités et référentiels de sécurité
8. Menaces et risques OT
9. Attaques et incidents industriels
10. Détection passive et surveillance OT
11. Détection comportementale et SOC OT
12. Tests de cybersécurité en milieu OT

📅 Repères chronologiques

1. 2010Stuxnet a combiné la propagation via des supports amovibles et l’exploitation de failles Windows avec une attaque contre les systèmes SCADA WinCC et PCS7, en s’appuyant sur quatre vulnérabilités zero-day.
2. 2017Triton a permis la reprogrammation d’automates de sécurité Triconex après la prise en main de leur console de programmation et la modification de la mémoire applicative.
3. 31 août 2025L’attaque contre Jaguar Land Rover a débuté.

📖 1. Importance vitale des systèmes OT

★ À maîtriser

📌 L’article 22 de la loi de programmation militaire (LPM, loi n° 2013-1168 du 18 décembre 2013) impose aux opérateurs d’importance vitale de renforcer la sécurité de leurs systèmes.

Compléments

• Les activités d’importance vitale relèvent de quatre domaines : (SGDSN) :
  • Humaine
  • Régalienne
  • Économique
  • Technologique

📖 2. Évolution et gouvernance de la cybersécurité OT

★ À maîtriser

• L’intégration de l’IIoT et de systèmes de collecte de données, l’interconnexion IT/OT et les connexions à Internet augmentent la surface d’attaque des systèmes industriels.

• La gouvernance cyber OT couvre notamment l’analyse de risques, l’inventaire et la cartographie, la gestion des accès et des tiers, le durcissement, les correctifs, la supervision, la réponse aux incidents, la chaîne d’approvisionnement, la formation et l’audit.

Compléments

• Les systèmes OT peuvent être exposés par des connexions Internet, des réseaux mobiles 4G/5G, des modems ou xDSL, ainsi que par les interventions de nombreux opérateurs, prestataires, fournisseurs et mainteneurs.

• La visibilité des actifs, des flux, des vulnérabilités et des comportements est présentée comme la base de la cybersécurité industrielle.

💡 Astuce mémo

Connectivité croissante → surface d’attaque accrue

📖 3. Sécurité, cybersécurité et contraintes IT/OT

★ À maîtriser

📌 La sécurité traite les actes non volontaires et adopte une approche quantitative, tandis que la cybersécurité traite les causes intentionnelles et adopte une approche qualitative. - Firesmith, D., Common concepts underlying safety, security, and survivability engineering, 2003

📌 Les systèmes OT pilotent des installations physiques et des procédés en temps réel, avec des exigences fortes de sûreté de fonctionnement et de disponibilité, tandis que les systèmes IT répondent notamment à des contraintes de confidentialité.

Compléments

• Les risques de sécurité et de cybersécurité peuvent produire les mêmes impacts ; le cours recommande donc de les traiter par une équipe commune malgré des méthodologies distinctes.

• Les systèmes OT ont souvent une durée de vie supérieure à 10 ans, parfois de 30 ou 40 ans, contre environ 5 ans pour les systèmes IT.

💡 Astuce mémo

Safety : actes non volontaires ; cybersécurité : causes intentionnelles

📖 4. Sécurité des projets, systèmes et produits

★ À maîtriser

📌 La sécurité des projets intègre les pratiques cyber dès la conception et durant le cycle du projet, la sécurité des systèmes protège les installations et réseaux déployés, et la sécurité des produits vise des équipements conçus pour être sûrs et résilients.

📌 Le cours affirme que sans sécurité intégrée aux projets, il n’y a ni sécurité système ni sécurité produit.

Compléments

• La sécurité produit comprend notamment le développement sécurisé, les tests de robustesse, la gestion des secrets et des mises à jour, la SBOM et une politique PSIRT.

💡 Astuce mémo

Projet → système → produit

📖 5. Visibilité, zones et conduits OT

🔑 Notions clés & Définitions

• Zone : Ensemble cohérent d’actifs sur les plans physique et fonctionnel, ou dont les actifs ont des exigences de sécurité similaires ; elle marque la frontière entre actifs fiables et non fiables.
• Conduit : ISA - Ensemble de canaux de communication reliant des zones et soumis aux mêmes exigences de sécurité que la zone la plus critique qu’il relie.

★ À maîtriser

📌 La segmentation OT doit notamment isoler le réseau d’entreprise du réseau industriel, le réseau de production du réseau de sûreté, les équipements sans fil et de maintenance, et les différentes chaînes de production.

Compléments

• Le niveau de sécurité d’une zone se détermine notamment selon sa criticité fonctionnelle, son exposition réseau, les conséquences d’un incident, la valeur du savoir-faire et les menaces identifiées. - ISA

💡 Astuce mémo

Sans visibilité, pas de maîtrise ni de protection

📖 6. Cartographie et classification industrielles

🔑 Notions clés & Définitions

• Cartographie industrielle : ANSSI, Cartographie du système d’information - Vision complète, hiérarchisée et à jour des actifs, des flux et des dépendances d’un système industriel.

★ À maîtriser

• La cartographie comprend six vues : (ANSSI) :

  • Vue de l’écosystème
  • Vue métier
  • Vue des applications
  • Vue de l’administration
  • Vue des infrastructures logiques
  • Vue des infrastructures physiques

• 🔄 La classification simplifiée s’effectue en trois étapes :

  1. Définir le périmètre industriel à analyser
  2. Identifier et cartographier les fonctions critiques
  3. Évaluer les impacts potentiels selon la disponibilité et l’intégrité

Compléments

• La classification comporte quatre classes : la classe 1 correspond à un impact mineur limité, la classe 2 à un impact significatif, la classe 3 à un impact majeur et la classe 4 à un impact catastrophique.

📖 7. Vulnérabilités et référentiels de sécurité

🔑 Notions clés & Définitions

• CVE : Vulnérabilité publique recensée dans une liste supervisée par le MITRE et subventionnée par la CISA ; son identifiant suit le format CVE-YYYY-NNNNNNNN.
• CVSS : FIRST (Forum of Incident Response and Security Team) - Système créé par le FIRST pour calculer, comparer et comprendre la gravité des failles de sécurité.

★ À maîtriser

• Les vulnérabilités OT citées comprennent une cartographie insuffisante, des terminaux nomades non gérés, une gestion inexistante des correctifs, des configurations non maîtrisées, un contrôle d’accès insuffisant et une maîtrise insuffisante des fournisseurs et prestataires.

Compléments

• Les CERT centralisent les demandes d’assistance liées aux incidents, traitent les alertes et contribuent à l’établissement de bases de vulnérabilités ; ils peuvent aussi être appelés CSIRT.

• Les huit cibles potentielles sont :
  • Programmes
  • Firmwares
  • Systèmes d’exploitation embarqués
  • Middlewares
  • Systèmes d’exploitation des postes de maintenance
  • Logiciels de maintenance
  • Périphériques amovibles
  • Passerelles ou convertisseurs

📖 8. Menaces et risques OT

🔑 Notions clés & Définitions

• Risque selon EBIOS : Scénario qui combine un événement redouté et un ou plusieurs scénarios de menaces.
• Menace persistante avancée : Attaque de longue durée durant laquelle l’attaquant maintient une présence non détectée sur un réseau afin d’extraire ou de manipuler des données sensibles.

★ À maîtriser

📌 Une attaque dirigée OT vise intentionnellement à compromettre l’OT et à perturber un processus physique, tandis qu’une attaque non dirigée OT poursuit un objectif IT classique et affecte l’OT indirectement ou accidentellement.

Compléments

• Les quatre catégories générales d’attaque sont :
  • Cyberespionnage
  • Cybercriminalité à des fins financières
  • Cyberactivisme
  • Destruction

💡 Astuce mémo

Attaque dirigée : vise le procédé ; non dirigée : l’impacte indirectement

📖 9. Attaques et incidents industriels

📝 Points essentiels

• Le cours rapporte pour l’attaque de Jaguar Land Rover une perte déclarée de 485 millions au trimestre courant, 196 millions de coûts liés à l’attaque et un impact estimé à 1,9 milliard sur l’économie britannique.

📖 10. Détection passive et surveillance OT

★ À maîtriser

📌 La détection passive analyse le trafic OT sans générer de paquets sur le réseau de production, ce qui permet d’observer les actifs, les flux et les anomalies sans intervenir sur les équipements.

📌 Le port mirroring SPAN duplique le trafic d’un ou plusieurs ports ou VLAN d’un switch vers une sonde, tandis qu’un TAP copie directement les paquets circulant dans un câble réseau.

Compléments

• En OT, la détection s’appuie notamment sur l’inspection passive des protocoles industriels, la surveillance des journaux système et la détection d’anomalies du procédé.

💡 Astuce mémo

SPAN duplique via le switch ; TAP copie directement le trafic du câble

📖 11. Détection comportementale et SOC OT

★ À maîtriser

• La détection comportementale compare le comportement observé aux références normales du réseau, des machines et automates, du procédé physique et des utilisateurs.

• Un SOC OT surveille les réseaux et systèmes industriels, analyse et priorise les alertes, coordonne la réponse aux incidents avec les équipes IT et OT, et documente l’amélioration continue.

📌 Le SOC OT priorise la disponibilité, puis l’intégrité, la traçabilité et la confidentialité, et adapte sa réponse aux contraintes du procédé industriel.

Compléments

• Les journaux OT doivent être conservés selon une durée documentée, utiliser une source de temps cohérente et inclure notamment l’adresse IP, les ports, les protocoles, la date, l’heure, l’utilisateur et la méthode d’accès.

• Le cours recommande de conserver les journaux pendant 6 à 12 mois, de synchroniser les horloges avec un NTP sécurisé et d’empêcher la modification ou la suppression des logs.

📖 12. Tests de cybersécurité en milieu OT

★ À maîtriser

📌 Les tests OT doivent être contrôlés, planifiés et non perturbateurs ; les scans agressifs, le fuzzing en temps réel sur automate et les tests directs sur une chaîne active sont à éviter en production.

• 🔄 La démarche de test comprend les étapes suivantes :
  1. Définir le périmètre
  2. Analyser les risques
  3. Créer un environnement de test
  4. Réaliser les tests passifs
  5. Tester les composants critiques sur banc
  6. Documenter les vulnérabilités, preuves et recommandations
  7. Valider en comité OT/Production

Compléments

• Les tests autorisés comprennent l’analyse passive, les essais sur banc ou environnement miroir, ainsi que les revues documentaires d’architecture, de configuration, de SBOM et de vulnérabilités.

💡 Astuce mémo

Cadrer → analyser → tester hors production → documenter → valider

📊 Tableaux de synthèse

Comparaison des attaques OT