61 équipements oubliés sur le réseau d’une PME industrielle — la méthode en 7 étapes qui a réduit la surface d’attaque de 74 %

Une PME industrielle de 140 personnes nous demande un audit sur son informatique de gestion. Nous commençons, comme toujours, par écouter le réseau pendant quelques jours avant de toucher à quoi que ce soit.

Nous trouvons 61 équipements dont personne dans l’entreprise ne connaît l’existence. Pas des postes de travail : des caméras, des imprimantes, des automates d’atelier, des capteurs de température, un système de contrôle d’accès et une centrale de climatisation. Neuf d’entre eux étaient joignables directement depuis Internet. Six utilisaient encore leurs identifiants d’usine.

Aucun de ces équipements n’était dans le périmètre de l’audit demandé. Tous auraient servi de point d’entrée.

Voici la méthode en 7 étapes que nous appliquons désormais systématiquement. Elle demande 9 jours pour un site industriel de cette taille, ne nécessite aucun achat de licence dans la plupart des cas, et a réduit la surface d’attaque exposée de 74 % chez ce client.

Pourquoi les méthodes d’inventaire classiques échouent ici

Un inventaire informatique traditionnel repose sur un agent installé sur chaque machine. Cela fonctionne très bien pour les postes et les serveurs, et absolument pas pour l’IoT et l’OT, où l’on ne peut rien installer du tout.

Pire : le réflexe suivant — lancer un scan actif du réseau — est dangereux en environnement industriel. Nous avons vu un scan tout à fait standard mettre en défaut un automate ancien qui n’a pas apprécié de recevoir des paquets malformés, et arrêter une ligne pendant quarante minutes. Le coût de cet incident a dépassé celui de l’audit.

D’où l’ordre des étapes ci-dessous, qui commence volontairement par une phase passive.

Étape 1 : écouter le réseau avant de le scanner

Placez une sonde en écoute sur les points de concentration du réseau — typiquement un port miroir sur les commutateurs principaux — et laissez tourner 48 à 72 heures minimum, en incluant impérativement un week-end ou une nuit complète.

La durée n’est pas négociable, pour une raison contre-intuitive : beaucoup d’équipements industriels ne se manifestent qu’à intervalle long. Une centrale de climatisation qui remonte une mesure toutes les six heures est invisible sur une capture d’une heure. Chez notre client, 11 des 61 équipements ne sont apparus qu’après la quarante-huitième heure.

Ne cherchez pas encore à comprendre ce que vous voyez. À ce stade vous constituez une liste d’adresses actives, rien de plus.

Étape 2 : identifier par le comportement, pas par la bannière

L’erreur classique consiste à se fier à ce que l’équipement déclare de lui-même. Les identifiants constructeur sont souvent faux, réutilisés d’un modèle à l’autre, ou renseignés par un intégrateur qui a copié une configuration.

Identifiez par le comportement réseau, qui ne ment pas :

• Quel protocole parle-t-il ? Un protocole industriel sur un réseau bureautique est en soi une anomalie qui mérite une explication.
• À qui parle-t-il, et à quelle fréquence ? Un équipement qui contacte régulièrement une adresse extérieure fait remonter des données quelque part — il faut savoir où.
• Quel volume, dans quel sens ? Une caméra qui émet beaucoup est normale. Une sonde de température qui émet beaucoup ne l’est pas.

Chez notre client, c’est cette étape qui a révélé le cas le plus gênant : quatre caméras remontaient un flux vers un hébergeur étranger, au titre d’un service de visualisation à distance activé par l’installateur en 2019 et jamais mentionné à personne.

Étape 3 : trouver le propriétaire métier de chaque équipement

L’étape la plus longue, la moins technique, et celle qui décide de la réussite du reste.

Pour chaque équipement identifié, il faut trouver une personne dans l’entreprise qui en dépend. Pas la personne qui l’a installé — souvent un prestataire parti depuis longtemps — mais celle dont le travail s’arrête si l’équipement s’arrête.

Cette recherche se fait à pied, en atelier, en posant la question à des gens qui n’attendaient pas votre visite. Comptez deux jours pleins, et acceptez que ce ne soit pas optimisable.

Le résultat en vaut la peine : chez notre client, 17 des 61 équipements n’avaient plus aucun propriétaire. Personne ne les utilisait, personne ne les regardait, et personne ne se serait aperçu de leur arrêt. Ce sont autant de points d’entrée que l’on peut simplement débrancher — la seule mesure de sécurité qui soit gratuite et définitive.

Étape 4 : classer en trois catégories, pas davantage

La tentation est de produire une classification fine avec des niveaux de criticité. Nous avons essayé, et personne ne s’en sert. Trois catégories suffisent et se décident vite :

1. Indispensable — la production ou la sécurité des personnes en dépend. On ne touche à rien sans validation métier, et on protège par le réseau autour.
2. Toléré — utile, remplaçable, non critique. On applique les mesures standard : changement des identifiants, mise à jour si elle existe, restriction des flux.
3. À débrancher — plus de propriétaire, plus d’usage. On débranche, après un préavis écrit de quinze jours.

Le préavis écrit est important. Il arrive qu’un équipement jugé abandonné se révèle utilisé une fois par trimestre par une personne en congé. Sur les 17 candidats au débranchement, 2 ont été réclamés pendant le préavis. Les 15 autres sont débranchés depuis, sans qu’aucun incident soit remonté.

Étape 5 : couper l’accès sortant avant tout le reste

C’est le gain le plus rapide de tout le chantier, et il se mesure en heures de travail.

La quasi-totalité de ces équipements n’a aucune raison légitime de contacter Internet. Une imprimante, un automate, une sonde ou un lecteur de badge fonctionnent parfaitement sans accès sortant. Les exceptions réelles — télémaintenance contractuelle, remontée de mesures vers un service du constructeur — existent, mais elles sont peu nombreuses et elles se justifient par écrit.

Bloquez donc le sortant par défaut pour toute cette population et ouvrez au cas par cas. Chez notre client, cette seule mesure a supprimé la moitié de l’exposition mesurée, pour une journée de travail et aucune interruption de service.

Traitez ensuite l’entrant : les 9 équipements joignables depuis Internet l’étaient tous par des redirections de ports mises en place au fil des années pour du dépannage, et jamais retirées. Aucune n’était documentée.

Étape 6 : segmenter par usage, pas par type d’équipement

La segmentation classique regroupe par famille : un réseau pour les caméras, un pour les imprimantes, un pour l’atelier. C’est simple à expliquer et cela ne protège pas grand-chose, parce que la compromission d’une caméra donne alors accès à toutes les autres.

Segmentez plutôt par usage, en partant de la question : qui doit légitimement parler à qui ?

• Le poste du responsable de production doit joindre les automates de sa ligne — et seulement ceux-là.
• Le poste de l’agent d’accueil doit joindre l’enregistreur vidéo — et rien d’autre dans l’atelier.
• Aucun équipement de la catégorie 1 ne doit être joignable depuis le réseau bureautique général.

Cela produit davantage de règles qu’une segmentation par type, et c’est le prix à payer. En contrepartie, la compromission d’un poste bureautique ne donne plus accès à la ligne de production, ce qui est exactement le scénario que l’on cherche à empêcher. Cette logique rejoint celle que nous détaillons pour les accès utilisateurs dans notre méthode de durcissement de l’Active Directory.

Étape 7 : alerter sur tout nouvel équipement

Sans cette dernière étape, tout le travail précédent se périme en quelques mois. Un nouvel équipement arrive à chaque installation, chaque remplacement, chaque intervention de prestataire.

Mettez en place une alerte simple sur l’apparition d’une adresse matérielle inconnue sur les segments concernés. Ce n’est pas une détection d’intrusion sophistiquée : c’est une notification qui dit « quelque chose de nouveau est apparu », à charge pour vous de l’inscrire à l’inventaire ou de le retirer.

Chez notre client, cette alerte a remonté 4 équipements dans les six mois suivants, dont deux installés par un prestataire sans en informer personne. C’est exactement le scénario qui avait produit les 61 initiaux.

Un équipement sans propriétaire n’est pas un équipement : c’est une porte que personne ne surveille. La bonne nouvelle, c’est que la fermer ne coûte rien — encore faut-il savoir qu’elle existe. — Julien Beaumont, WebGuard Agency

Ce que nous ferions différemment

Deux choses. D’abord, commencer par l’étape 5 sur les équipements déjà connus, sans attendre la fin de la cartographie. Couper l’accès sortant des imprimantes et des caméras que vous avez déjà inventées est faisable en une demi-journée et ne dépend d’aucune étape préalable.

Ensuite, associer l’assurance de l’entreprise plus tôt. Plusieurs contrats cyber contiennent des exigences sur l’inventaire et la segmentation dont personne, côté technique, n’avait connaissance. Notre client a découvert après coup que le travail réalisé couvrait une clause qu’il ne respectait pas.

Sur la question voisine de la maîtrise des dépendances logicielles embarquées dans ces équipements — qui les maintient, et jusqu’à quand — les analyses publiées par d-open.org sont directement transposables au firmware industriel. Et sur l’exploitation des données remontées par ces capteurs une fois le réseau assaini, les retours de Plug-Tech sur les pipelines de données industrielles complètent le sujet côté valorisation.

FAQ

Peut-on scanner un réseau industriel sans risque ?

Pas sans précaution. Un scan actif standard peut mettre en défaut des automates anciens qui gèrent mal les paquets inattendus — nous avons vu une ligne arrêtée quarante minutes de cette manière. La règle est de commencer par une écoute passive de 48 à 72 heures, puis de ne scanner activement que les segments purement bureautiques, et jamais en horaire de production.

Combien coûte ce type de chantier pour une PME ?

Neuf jours de travail pour un site industriel de 100 à 200 personnes, soit généralement entre 6 000 et 11 000 EUR si vous le confiez à un prestataire. La part la plus coûteuse est la recherche des propriétaires métier, qui n’est pas automatisable. En interne, le chantier est faisable si vous disposez d’un profil réseau et d’un accès facile aux équipes de production.

Faut-il un outil spécialisé pour la cartographie IoT/OT ?

Pas pour une première itération. Une capture passive et un analyseur de trafic courant suffisent à produire la liste des équipements actifs et leurs flux. Les outils spécialisés deviennent intéressants à partir de plusieurs centaines d’équipements ou de plusieurs sites, quand la mise à jour continue de l’inventaire devient le vrai sujet. Commencer par un outil est le meilleur moyen de ne jamais commencer.

Que faire des équipements qu’on ne peut ni mettre à jour ni remplacer ?

C’est la situation la plus fréquente en milieu industriel, et elle est gérable. Un automate de 2011 sans correctif disponible ne se sécurise pas par lui-même : il se protège par ce qui l’entoure. Isolez-le dans un segment dédié, interdisez tout accès sortant, restreignez l’entrant aux seules machines qui en ont l’usage, et surveillez ce segment. L’équipement reste vulnérable, mais il devient très difficile à atteindre.