Garder les lumières allumées quand un adversaire s'en prend à vos systèmes de contrôle
Durcissement des infrastructures
Aperçu
Évaluation et durcissement des systèmes de contrôle derrière l'énergie, la finance et les infrastructures nationales. Une défense native OT conçue pour les systèmes SCADA et de contrôle industriel qui ne peuvent pas être redémarrés, réduisant la surface d'attaque des infrastructures dont dépendent les nations.
Évaluation et durcissement natifs OT pour les systèmes SCADA et de contrôle industriel derrière l'énergie, l'eau et les transports, réduisant la surface d'attaque d'infrastructures qui ne peuvent être simplement redémarrées ni corrigées selon un calendrier informatique, pour les ministères et exploitants qui doivent maintenir les services essentiels, livrés par une équipe indépendante qui garde la carte de votre parc de contrôle à l'intérieur de vos frontières.
Capacités clés
- Évaluation et durcissement natifs OT des systèmes SCADA et de contrôle industriel, plutôt que des schémas de sécurité informatique mal appliqués aux réseaux de contrôle.
- Réduction hiérarchisée de l'exposition à travers le parc de contrôle, séquencée pour refermer d'abord le risque aux conséquences les plus lourdes.
- Segmentation entre réseaux de contrôle et bureautiques pour empêcher une brèche de transiter du côté bureau vers l'installation.
- Évaluation taillée pour des parcs vieillissants et mal documentés, jamais bâtis pour un réseau hostile.
- Vérification que les correctifs tiennent, afin que le durcissement soit mesuré et non supposé.
- La carte du parc de contrôle conservée par l'acheteur, sans ligne de divulgation étrangère.
- Appliqué méthodiquement aux côtés des exploitants qui font tourner les systèmes, afin que l'installation reste en fonctionnement tout du long.
Enveloppe de performance
| Couverture des protocoles | Dépend de la configuration, adaptée au parc |
| Portée de l'évaluation du parc | Selon le profil de mission |
| Modèle de segmentation | Dépend de la configuration |
| Classes de secteurs | Plusieurs classes de secteurs disponibles |
| Approche de vérification | Éprouvée contre l'état durci |
| Surface d'intégration | Intégrée aux systèmes existants après évaluation |
| Connaissance du parc | Conservée par l'acheteur, sans ligne de divulgation étrangère |
| Méthodes détaillées | Disponibles sous briefing contrôlé, non publiées |
Enveloppe qualitative uniquement. Les chiffres exacts dépendent de la configuration et sont communiqués lors d'un briefing contrôlé selon votre besoin: jamais publiés.
En détail
Le durcissement d'infrastructure n'est pas un produit mais un programme méthodique exécuté aux côtés des exploitants qui font tourner les systèmes. Le travail est ingrat, évaluer le parc tel qu'il est réellement, réduire l'exposition par ordre de priorité, segmenter le contrôle du bureautique et vérifier que les correctifs tiennent, et c'est lui qui décide de la survie des services essentiels face à une attaque déterminée. Il est livré et soutenu par une seule équipe responsable.
Évaluation du parc
Un relevé structuré du parc de technologie opérationnelle tel qu'il est réellement, souvent vieillissant, mal documenté et jamais conçu pour un réseau hostile, établissant ce qui tourne effectivement avant que quoi que ce soit ne soit modifié.
Réduction de l'exposition
Durcissement hiérarchisé des systèmes de contrôle et des protocoles porteurs du plus grand risque, séquencé pour que l'exposition aux conséquences les plus lourdes soit refermée d'abord, sans perturber le procédé que fait tourner l'installation.
Segmentation
Séparation entre réseaux de contrôle et réseaux bureautiques afin qu'une compromission côté entreprise ne puisse pas transiter vers les systèmes qui exploitent la production, l'eau ou les transports.
Vérification
Confirmation que chaque correctif tient réellement à l'épreuve, afin que le programme rende compte d'une réduction mesurée de la surface d'attaque et non d'une supposition.
Exploitants
Les ingénieurs qui font tourner les systèmes participent au programme d'un bout à l'autre. Leur connaissance façonne l'évaluation, et la formation les laisse capables de soutenir l'état durci plutôt que de le voir s'éroder.
Intégrations
Interfaces avec les systèmes de contrôle, de surveillance et de sécurité de site déjà en place, afin que le durcissement fonctionne avec le parc installé au lieu d'imposer un remplacement complet d'une infrastructure qui ne peut être mise hors service.
Problèmes opérationnels traités
- Réduire la surface d'attaque des systèmes SCADA et de contrôle industriel derrière l'énergie, l'eau et les transports avant qu'un incident ne les expose.
- Segmenter les réseaux de contrôle des réseaux bureautiques afin qu'une brèche côté bureau ne puisse atteindre les systèmes qui font tourner l'installation.
- Évaluer un parc de technologie opérationnelle vieillissant, jamais conçu pour un réseau hostile et documenté, s'il l'est, seulement par les fournisseurs étrangers qui l'ont bâti.
- Durcir des systèmes de contrôle qui ne tolèrent aucune interruption, où un correctif imprudent peut être aussi perturbateur qu'une attaque.
- Ramener la connaissance de la carte du parc de contrôle d'une nation à l'intérieur de ses frontières plutôt que de la laisser aux fournisseurs étrangers.
- Vérifier que les correctifs tiennent, afin que le durcissement soit une réduction mesurée de l'exposition et non une supposition.
Configurations de déploiement
Pourquoi Unstrat: la différence
Unstrat est le représentant et distributeur mondial agréé de cette capacité. Elle est déjà en service, avec un palmarès derrière elle : vous achetez donc quelque chose qui a fait ses preuves ailleurs, non le financement d'une première tentative. Vous n'êtes pas le banc d'essai.
Face à des schémas de sécurité informatique appliqués à l'OT
Les systèmes de contrôle industriel ne peuvent être redémarrés ni corrigés selon un calendrier informatique, un correctif imprudent peut être aussi perturbateur qu'une attaque. Le durcissement ici est natif OT et méthodique, composant avec les contraintes des systèmes de contrôle en fonctionnement au lieu de les traiter comme de simples postes bureautiques.
Face à laisser la carte du parc aux fournisseurs étrangers
Quand la carte du parc de contrôle est chez les fournisseurs étrangers qui l'ont bâti, un plan de la vulnérabilité nationale l'est aussi. L'évaluation et le durcissement indépendants gardent cette connaissance chez l'acheteur, sans ligne de divulgation étrangère, afin que la compréhension de l'infrastructure reste souveraine.
Face à un audit ponctuel ou à une case de conformité
Un audit à un instant donné produit un rapport, non un parc durci. Il s'agit ici d'un programme : évaluation, réduction hiérarchisée de l'exposition, segmentation et vérification que les correctifs tiennent, soit une réduction mesurée de la surface d'attaque, et non une liste qui flatte l'état actuel.
Face à une plateforme fermée mono-fournisseur
Les plateformes de sécurité OT mono-fournisseur enferment l'acheteur dans un outillage figé et souvent dans le fournisseur qui a bâti la vulnérabilité. Composer avec le parc installé, et garder la connaissance du parc chez l'exploitant, évite un remplacement complet d'une infrastructure qui ne peut être mise hors service.
Face à attendre l'incident qui impose la question
Une grande part du parc installé n'a jamais été conçue pour un réseau hostile, et les attaques contre les services publics sont passées de la théorie au précédent. Le durcissement réduit la surface d'attaque avant l'incident qui l'exposerait, quand le coût est un programme et non une urgence nationale.
Comment elle vous parvient
Souveraineté et localisation
- Propriété par l'acheteur de l'évaluation du parc, de la carte du système de contrôle et de tous les constats produits par le programme.
- Contrôle local de la feuille de route de durcissement, de la politique de segmentation et de la configuration.
- Options d'exécution et d'intégration locales aux côtés des propres exploitants de l'acheteur.
- Maintenance et soutien dans la région concernée de l'état durci plutôt qu'une assistance à distance tributaire du fournisseur.
- Formation des opérateurs et programmes de formation des formateurs pour que l'équipe nationale soutienne le durcissement de façon indépendante.
- Transfert de technologie progressif et localisation des composants, dont la portée est définie par programme.
- Une voie vers un soutien indépendant afin que le parc reste durci longtemps après la livraison.
Intégration
- Systèmes SCADA et de contrôle industriel existants, durcis dans l'environnement concerné plutôt que remplacés.
- Systèmes de surveillance et de sécurité de site en service, renforçant la couverture actuelle du parc OT.
- Réseaux d'entreprise et bureautiques, par une segmentation maîtrisée entre systèmes de contrôle et systèmes d'affaires.
- Procédures d'exploitant et processus de gestion du changement existants, en gardant dans la boucle les exploitants qui font tourner l'installation.
- Bases de données gouvernementales et réglementaires là où un rapport sur la résilience des infrastructures critiques est requis.
- Infrastructure nationale et de site, énergie, implantation et contraintes de procédé, évaluée dans le cadre du programme.
Acquisition et livraison
- Les programmes débutent par une évaluation du parc et une feuille de route de durcissement hiérarchisée, exécutées avec les exploitants qui font tourner les systèmes.
- La position de contrôle des exportations et la chaîne du certificat d'utilisateur final sont confirmées avant toute représentation d'une configuration.
- Évaluation, durcissement, segmentation, vérification et réception suivent le parcours programme standard.
- Formation des opérateurs, soutien de l'état durci et assistance dans la région concernée font partie du même engagement responsable.
Durcissement des infrastructures: questions
Pouvez-vous durcir des systèmes de contrôle que nous ne pouvons mettre hors service ?
Oui, cette contrainte est le point de départ. Les systèmes de contrôle industriel ne peuvent être redémarrés ni corrigés selon un calendrier informatique ; le durcissement est donc natif OT et méthodique, séquencé avec les exploitants qui font tourner l'installation afin que le procédé reste en marche pendant que l'exposition est réduite. Un correctif imprudent peut être aussi perturbateur qu'une attaque, et le programme est bâti pour l'éviter précisément.
Notre parc OT est ancien et à peine documenté. Par où commencez-vous ?
Par une évaluation du parc tel qu'il est réellement. Une grande part du parc installé a des décennies, n'a jamais été conçue pour un réseau hostile et n'est documentée que par les fournisseurs étrangers qui l'ont bâtie, le premier travail est donc d'établir ce qui tourne vraiment avant tout changement, puis de réduire l'exposition par ordre de priorité.
Qui détient finalement la carte de nos systèmes de contrôle ?
Vous. Quand la carte du système de contrôle est chez des fournisseurs étrangers, un plan de la vulnérabilité nationale l'est aussi. L'évaluation et le durcissement indépendants gardent cette connaissance chez l'acheteur, sans ligne de divulgation étrangère, afin que la compréhension de votre infrastructure reste souveraine.
En quoi cela diffère-t-il de la sécurité informatique appliquée à notre installation ?
Des schémas informatiques mal appliqués aux systèmes de contrôle peuvent casser le procédé qu'ils sont censés protéger. Le durcissement ici est natif OT : évaluation, réduction hiérarchisée de l'exposition, segmentation entre réseaux de contrôle et bureautiques, et vérification, tout façonné par le comportement réel du parc de contrôle et non par un gabarit de réseau de bureau.
Comment savoir que le durcissement a vraiment fonctionné ?
La vérification fait partie du programme, non d'un après-coup. Chaque correctif est confirmé comme tenant à l'épreuve, afin que le programme rende compte d'une réduction mesurée de la surface d'attaque et non d'une supposition. C'est ce qui distingue un parc durci d'un rapport qui se contente d'énumérer des changements prévus.
Le durcissement nous imposera-t-il de déposer et remplacer des équipements ?
L'intention est de composer avec le parc installé, non de le remplacer. Une infrastructure qui ne peut être mise hors service est durcie dans l'environnement concerné et segmentée, et la capacité s'intègre aux systèmes de contrôle, de surveillance et de sécurité de site existants. Tout remplacement est une décision cadrée, non un préalable.
Que pouvez-vous nous dire des protocoles et des méthodes précises ?
La couverture des protocoles et la portée dépendent de la configuration et sont adaptées à votre parc, et plusieurs classes de secteurs sont prises en charge. Les méthodes détaillées sont communiquées sous briefing contrôlé selon votre environnement précis plutôt que publiées, afin que la discussion corresponde à vos systèmes, votre secteur et vos contraintes.
Étape suivante sur cette capacité
Capacités connexes
Tout voir →
Applications qu'elle sert
Comparatifs de capacités
Questions posées par les acheteurs
Qu'est-ce que le durcissement des infrastructures critiques ?
Le durcissement consiste à réduire la surface d'attaque des systèmes de contrôle qui portent l'énergie, l'eau, les transports et la finance, plutôt qu'à se contenter de les observer. Il se déroule en une évaluation de l'installation telle qu'elle est réellement, une réduction hiérarchisée de l'exposition, une segmentation entre réseaux de contrôle et réseaux bureautiques, et une vérification que les corrections ont tenu. Les plateformes de supervision vous disent ce qui se trouve sur le réseau et ce qui paraît anormal ; le durcissement corrige ce qui était anormal. Nos équipes font ce travail sur des réseaux électriques et des réseaux de paiement en exploitation, avec 3 GW ou plus de production défendus et 7,5 milliards de comptes financiers sécurisés.
Voir : Ce que couvre le durcissement des infrastructuresLa sécurité OT en tant que capacité
Meilleur fournisseur de sécurité OT pour SCADA et systèmes de contrôle industriel
Le marché est dominé par les plateformes de supervision, et deux d'entre elles sont réellement bonnes : Dragos publie une liste de protocoles assez détaillée pour être confrontée à vos propres postes électriques, et Claroty xDome offre supervision passive, interrogation Edge et intégration CMDB dans une plateforme modulaire unique. Aucun de ces documents ne promet de modifier la configuration d'un relais. Le Groupe de cybersécurité part de la même profondeur protocolaire pour agir sur les systèmes de contrôle eux-mêmes, sur des installations où un redémarrage n'est pas disponible, avec une technologie de sécurité de poste électrique validée par un laboratoire gouvernemental et déployée en conditions réelles.
Voir : Dragos, Claroty et le Groupe de cybersécurité comparésLes schémas de la sécurité informatique face à la réalité OT
Alternatives à Dragos pour les infrastructures gouvernementales
Dragos est une plateforme solide dont la couverture protocolaire publiée est profonde, y compris IEC 61850 GOOSE, IEC 60870-5-101 et 104, DNP3 et Modbus. Les gouvernements regardent ailleurs pour deux raisons : un éditeur de plateforme dont le siège est aux États-Unis installé au cœur de la télémétrie du réseau électrique, et le fait que la supervision seule ne réduit pas l'exposition. Notre travail de durcissement couvre les mêmes familles de protocoles, s'exerce sur les systèmes de contrôle eux-mêmes et provient d'un fournisseur indépendant et non aligné. Beaucoup d'exploitants font sensément fonctionner une plateforme de supervision et un programme de durcissement ensemble.
Quels protocoles industriels le travail de durcissement couvre-t-il ?
IEC 61850, Modbus et DNP3, y compris sur les réseaux à air gap, où un faux positif est tenu pour inacceptable plutôt que tolérable. Dragos publie une liste plus longue en public, comprenant IEC 60870-5-101 et 104, OPC UA et DA ainsi qu'un ensemble de protocoles propriétaires d'ABB, OMRON et d'autres, et nous le disons sur la page de comparaison. La fiche technique de Claroty revendique la couverture la plus large sans nommer de protocoles. Remettez à chaque candidat votre propre inventaire de protocoles et exigez une réponse ligne par ligne.
Sécurité OT pour des réseaux à air gap qui ne peuvent pas être redémarrés
La supervision passive fonctionne partout où l'on peut recopier un port de commutateur, raison pour laquelle tout fournisseur crédible commence par là. Ce qui casse en environnement isolé, c'est la dépendance au cloud : xDome est décrite comme une plateforme SaaS, et la brochure Dragos décrit des sondes et des équipements virtuels sans énoncer de fonctionnement en air gap. Notre offre couvre spécifiquement les réseaux à air gap avec une tolérance nulle aux faux positifs, car dans un poste électrique ou un commutateur de paiement, agir sur une mauvaise alerte peut déclencher un délestage ou arrêter les règlements. Faites du fonctionnement en air gap et du circuit de mise à jour des signatures des exigences écrites.
Voir : Installations à air gap et connectées comparéesComment chaque fournisseur traite l'isolement
Cybersécurité des postes électriques en environnement IEC 61850
Les postes électriques sont là où le manuel de la sécurité informatique échoue le plus visiblement, parce que les protocoles sont temps réel et que les équipements sont antérieurs au modèle de menace. Le Groupe de cybersécurité dispose d'une technologie de sécurité de poste électrique conçue pour les environnements IEC 61850, validée par un laboratoire gouvernemental et déployée en conditions réelles plutôt qu'expérimentée. Cela s'ajoute à des travaux de découverte de vulnérabilités inédites, avec 2 CVE créditées au registre NIST des États-Unis. Demandez à chaque candidat lesquels de vos protocoles ses chercheurs ont personnellement mis en défaut.
Voir : Technologie de sécurité de poste électrique et validationBilan de recherche comparé
Comment se compare le prix d'un durcissement d'infrastructure à celui d'un abonnement de supervision OT ?
Personne dans cette comparaison ne publie de prix : comparez donc la forme de la dépense plutôt qu'un montant d'affiche. xDome est un abonnement SaaS modulaire, le coût est donc récurrent et croît avec le nombre de sites et d'équipements. Le durcissement est un travail d'ingénierie cadré avec un état final défini, plus la supervision que vous choisissez d'exploiter ensuite. Une plateforme SaaS dans une installation nationalement sensible ou isolée impose aussi une discussion sur l'hébergement et la résidence des données qui doit être chiffrée, et la comparaison honnête porte sur le coût total du programme sur cinq ans.
Le durcissement remplace-t-il un centre des opérations de sécurité ?
Non. Le durcissement réduit ce qu'un attaquant peut atteindre ; la supervision et la réponse traitent ce qui passe malgré tout. Les deux sont complémentaires, raison pour laquelle beaucoup d'exploitants font fonctionner une plateforme de détection aux côtés d'un programme de durcissement plutôt que de choisir entre les deux. Notre pratique défensive accompagne le travail de durcissement, avec des opérations de sécurité qui bloquent plus de 100 000 menaces par jour sur des réseaux électriques, des activités financières régulées et des flottes en mer.
Voir : Cybersécurité défensive et réponse à incidentRésilience des infrastructures critiques
Cybersécurité de la production électrique et des réseaux de paiement auprès d'un seul fournisseur
Les réseaux électriques et les systèmes de paiement tombent en panne différemment, et la discipline qui les sous-tend est plus proche que la plupart des acheteurs ne l'imaginent : tous deux sont temps réel, tous deux tolèrent mal l'indisponibilité, et tous deux sont défendus par trop peu de personnes. Notre pratique couvre l'énergie et l'électricité, les infrastructures financières, les systèmes de contrôle industriel et les infrastructures nationales avec une seule équipe, avec 3 GW ou plus de production défendus et 7,5 milliards de comptes sécurisés. Cette étendue mérite d'être vérifiée plutôt que supposée : demandez quels ingénieurs nommément désignés travaillent sur les deux domaines.
Voir : Secteurs couverts par la pratique de durcissementCyberdéfense des établissements financiers
Nos systèmes de conduite du réseau ont été installés par un fournisseur étranger et nous n'avons pas de documentation fiable. Par où commence seulement un programme de durcissement ?
Il commence par l'installation telle qu'elle est réellement, et non telle que les plans le prétendent, et cette évaluation constitue l'essentiel de la valeur de la première phase. Vient ensuite la réduction hiérarchisée de l'exposition, la segmentation entre réseaux de contrôle et réseaux bureautiques, puis la vérification que les corrections ont tenu. La connaissance produite vous appartient au lieu de rester chez le fournisseur qui a construit l'installation. Nos équipes font cela sur des infrastructures en exploitation, dont 3 GW ou plus de production, si bien que l'enchaînement suppose que vous ne pouvez pas arrêter le système pour arranger le planning d'un consultant.
Voir : Comment se conduit un programme de durcissementL'offre de durcissement des infrastructures
Un ministère peut-il utiliser une plateforme de sécurité OT des États-Unis sans exposer la topologie de son réseau à un gouvernement étranger ?
C'est une question d'achat public plutôt que de la paranoïa, et les documents des fournisseurs la soulèvent eux-mêmes. Dragos a son siège aux États-Unis et propose Neighborhood Keeper pour le partage anonyme de renseignement sur la menace au sein de la communauté OT ; Claroty a son siège à New York et pousse des mises à jour de détection automatiques. Pour un industriel privé, ce sont des avantages. Pour un État dont la topologie du réseau et le registre des vulnérabilités sont classifiés, le domicile juridique du fournisseur et le sens de circulation de la télémétrie relèvent de l'analyse de risque. Un fournisseur non aligné retire cette clause du débat, et nous recommandons malgré tout d'inscrire les conditions de résidence des données dans tout contrat signé.
Quelle est la différence entre la sécurité OT et la sécurité informatique d'entreprise classique, et pourquoi ne pouvons-nous pas employer nos outils existants ?
Sur un réseau bureautique, une alerte bruyante coûte une heure à un analyste. Dans un poste électrique ou un commutateur de paiement, agir sur une mauvaise alerte peut déclencher un délestage ou arrêter les règlements, et en manquer une vraie peut faire pire. Les outils d'entreprise supposent aussi que l'on peut tout corriger, redémarrer et équiper d'agents, ce qui n'est vrai d'aucun système de contrôle mis en service avant l'apparition de la menace. C'est pourquoi notre travail est nativement OT et pourquoi la couverture des réseaux à air gap est énoncée avec une tolérance nulle aux faux positifs, au lieu de faire de l'étendue de détection l'objectif.
Voir : Sécurité informatique et sécurité OT comparéesLa sécurité OT en tant que capacité
Comment savoir si un fournisseur de cybersécurité sait réellement lire nos protocoles plutôt que de revendre les signatures d'un autre ?
Demandez des travaux de recherche originaux et vérifiez où ils ont été publiés. Claroty publie son groupe Team82, Dragos publie son propre renseignement sur la menace OT qui alimente la plateforme, et le Groupe de cybersécurité compte 2 CVE créditées au registre NIST des États-Unis ainsi qu'une technologie de sécurité de poste électrique validée par un laboratoire gouvernemental. Ce sont trois références réelles qui signifient des choses légèrement différentes : une entrée au registre prouve une découverte originale, un flux de renseignement prouve une couverture dans la durée. Demandez les deux, et demandez lesquels de vos protocoles chaque fournisseur a effectivement mis en défaut.
S'agit-il de travaux réels sur des infrastructures en exploitation ou d'un programme pilote habillé en études de cas ?
Ce sont des travaux réels sur des systèmes en exploitation : 3 GW ou plus de production défendus, 7,5 milliards de comptes financiers sécurisés, et une technologie de sécurité de poste électrique validée par un laboratoire gouvernemental et déployée en conditions réelles. Les équipes travaillent là où un faux positif a un coût opérationnel, ce qui détermine la façon dont les alertes sont réglées et qui porte le risque lorsque l'une d'elles est erronée. Demandez-nous, comme à tout autre candidat, à quoi ressemble le taux de faux positifs sur vos protocoles et qui répond lorsqu'une alerte arrête un procédé.
Voir : Échelle opérationnelle publiéeÉchelle et validation comparées
Nos propres ingénieurs peuvent-ils être formés à maintenir le durcissement après la fin du programme, plutôt que de renouveler un contrat indéfiniment ?
Cela devrait être l'état final énoncé de tout programme national, et c'est ainsi que le nôtre est cadré : une trajectoire vers une capacité souveraine d'opérations de sécurité plutôt qu'une externalisation perpétuelle. Le durcissement est exécuté avec les exploitants qui conduisent les systèmes, de sorte que la connaissance de l'installation reste chez vos agents au lieu de repartir avec un consultant. Des environnements d'entraînement en conditions réelles, dont un champ de tir cyber maritime construit autour des systèmes de passerelle, de navigation et OT, permettent aux défenseurs de s'exercer sur des répliques réalistes de ce qu'ils exploitent.
Voir : Champs de tir cyber et entraînement des défenseursLa trajectoire de capacité