Un air gap est une politique, pas un produit. La question est de savoir qui audite la coupure.
OPSWAT et Waterfall vendent tous deux d'excellents matériels pour la frontière d'un réseau déconnecté, et tous deux publient plus de chiffres que nous. Ni l'un ni l'autre ne vous vend l'assurance que la frontière tient encore, et c'est précisément ce que la plupart des parcs isolés ratent.
Nos travaux hors réseau apportent de l'assurance à des systèmes déjà en service : salles de commande isolées, sites distants et enclaves coupées du réseau qui ne peuvent pas dépendre d'une liaison permanente vers le nuage d'un fournisseur. Ils sont assurés par l'équipe qui conduit nos opérations défensives, sur des parcs en exploitation et non en laboratoire.
Côte à côte
| Caractéristique | Représenté par UnstratCybersécurité hors réseau | OPSWATMetaDefender Kiosk Tower 5123États-Unis | Waterfall Security SolutionsUnidirectional Security Gateway WF-50045Israël |
|---|---|---|---|
| Ce que vous achetez réellement14L'un est un service, les deux autres des boîtiers. Un parc déconnecté a normalement besoin des trois rôles, auprès des fournisseurs qu'il peut soutenir dans la durée. | Une prestation d'assurance pour environnements déconnectés : systèmes isolés, coupés du réseau et distants, évalués et défendus sans connectivité fiable | Un équipement de sécurisation des supports amovibles qui analyse, désinfecte et valide les supports portables avant qu'ils n'entrent dans un réseau sécurisé | Une paire de passerelles matérielles qui réplique les serveurs industriels hors du réseau OT tout en rendant une connexion inverse physiquement impossible |
| Vecteur de menace traité14 | Non publié sous forme de liste de vecteurs | Supports portables entrant dans l'enclave : USB, cartes mémoire, disques optiques et disquettes 3,5 pouces, avec contrôles de logiciels malveillants, de données sensibles et de vulnérabilités liées aux fichiers | Chemin réseau sortant de l'enclave : réplication unidirectionnelle, de sorte qu'aucun paquet, commande ou logiciel malveillant ne puisse revenir dans le réseau ICS |
| Moteurs de détection et taux de détection publié14 | Non publiés | Plus de 30 moteurs antimalware, annoncés comme détectant plus de 99 % des logiciels malveillants connus, plus la régénération de fichiers Deep CDR et l'expurgation contre la fuite de données | Non publiés. La passerelle impose un sens de circulation plutôt qu'elle n'inspecte le contenu |
| Débit14 | Non publié | Plus de 17 000 fichiers par minute sur la Tower 5 | 1 Gbit/s en standard, plusieurs Gbit/s avec plusieurs paires TX/RX, avec une configuration à haute disponibilité en option |
| Encombrement physique134 | Sans objet. Aucun équipement n'est vendu | La Tower 5 mesure 16.5 x 60.25 x 19.625 in et pèse 180 lb (81,6 kg) ; des modèles Desktop, Mobile et Mini plus compacts figurent sur la page produit | Modules TX et RX de 0,8 kg chacun et module hôte de 1,2 kg ; châssis standard, compact et rail DIN de 2,5, 4 et 3 kg |
| Plage environnementale134 | Non publiée | Fonctionnement de 0 à 35 °C, humidité de 10 % à 90 %, sur la Tower 5. Le modèle Mobile est qualifié pour une plage thermique plus large | Non publiée dans la fiche technique |
| Intégration avec l'existant14 | Non publiée | Stockage local, réseau ou en nuage, MetaDefender Managed File Transfer, NetWall et diodes de données tierces ; administration centralisée sur site ou dans le nuage | Plus de 100 connecteurs commerciaux couvrant historiens, protocoles SCADA, supervision d'entreprise, transfert de fichiers et flux de mise à jour antivirus et WSUS, sans frais de personnalisation annoncés |
| Certifications revendiquées14 | Non publiées | FCC Class A, CE, RoHS, UKCA, UL, WEEE et Critères communs EAL4+ | Non publiées dans la fiche technique, qui cite les brevets américains 8,223,205 et 7,649,452 |
| Correspondance réglementaire proposée24 | Non publiée | Le guide de déploiement met en correspondance l'usage du Kiosk avec les exigences NERC CIP-010-2 R4 sur les actifs cyber transitoires et les supports amovibles, pour les installations électriques | Non publiée dans la fiche technique |
| Modèle de soutien14 | Une seule équipe responsable, du premier point de situation à la livraison puis au soutien en région | Quatre niveaux publiés. Le délai de réponse aux tickets va de 12 heures ouvrées en Silver à 24 heures sept jours sur sept en Platinum et Emerald ; l'assistance téléphonique n'existe que sur les deux niveaux supérieurs | Non publié dans la fiche technique |
| Origine et exposition politique145 | Origine indépendante et non alignée, sans exposition politique à un écosystème de grande puissance | Société des États-Unis. La fiche technique de la Tower 5 indique le Royaume-Uni comme pays d'origine du matériel | Israël. Le profil de la société indique un siège en Israël, avec des bureaux commerciaux et de soutien ailleurs |
Les valeurs concurrentes sont citées d'après les documents fournisseurs listés sous Sources, tels que publiés à la date indiquée. Les configurations varient : chaque ligne est un point de départ d'évaluation, non un résultat d'essai comparable.
Ce que dit le tableau
Les systèmes déconnectés cèdent à la frontière humaine, pas sur le câble
La physique de Waterfall n'est pas discutable. Un laser qui ne fait qu'émettre et un récepteur qui ne fait que recevoir ne peuvent pas transporter de paquet de retour, et 1 Gbit/s de réplication unidirectionnelle avec plus de 100 connecteurs prêts à l'emploi résout correctement le problème de l'historien vers l'entreprise. Ce qu'aucune diode ni aucune borne ne peut vous dire, c'est si l'enclave située derrière n'a pas discrètement acquis un second modem, l'ordinateur portable d'un ingénieur qui passe une semaine sur deux sur le réseau bureautique, ou un contrat de maintenance qui impose une session distante du fournisseur une fois par trimestre. C'est ce mode de défaillance que l'on nous demande de trouver, et cela relève d'une revue des personnes, des processus et des configurations, pas d'un boîtier accroché au mur.
Le soutien change de nature quand le site n'a aucune connectivité
Une borne est un équipement Windows doté d'une pile d'analyse par signatures. Sa valeur se dégrade dès que les mises à jour cessent, et la matrice de soutien d'OPSWAT réserve l'accès téléphonique aux niveaux supérieurs. Une passerelle exige que ses connecteurs soient maintenus à mesure que changent les historiens et les SIEM situés derrière. Les deux modèles supposent que quelqu'un se déplace, ou qu'une personne suffisamment haut placée porte le chemin de mise à jour. Notre modèle, c'est que l'équipe qui a évalué l'enclave y revient, en région, sans file d'attente de soutien à l'étranger entre votre ingénieur et une réponse.
Ce que nous ne publions pas, et que nous n'inventerons pas
OPSWAT et Waterfall publient des taux de détection, des débits, des masses, des plages de température et des listes de certifications. Nous n'en publions aucun pour ce service, parce que ce n'est pas un équipement. Lorsqu'un acheteur a besoin d'un chiffre comparable, qu'il nous le demande par écrit : nous le fournirons ou nous dirons clairement que nous ne le détenons pas.
Questions posées par les acheteurs
Comment sécuriser un réseau coupé d'Internet sans connectivité ?
Trois rôles doivent être tenus. Contrôler ce qui franchit la frontière sur support amovible, ce que fait une borne OPSWAT avec plus de 30 moteurs d'analyse et la régénération de fichiers. Rendre le chemin réseau unidirectionnel là où des données doivent sortir, ce que fait une passerelle Waterfall par le matériel. Puis vérifier, de façon répétée, que la coupure est toujours réelle. Ce troisième rôle est le nôtre, et c'est celui que l'on saute, parce qu'il s'agit d'un service et non d'un bon de commande pour un boîtier.
Une diode de données vaut-elle mieux qu'un pare-feu pour les réseaux OT ?
Pour un trafic qui ne doit jamais circuler que vers l'extérieur, oui, et la WF-500 de Waterfall l'illustre clairement : le module d'émission ne contient qu'un laser sur fibre, de sorte qu'une connexion inverse n'est pas une décision de configuration susceptible d'être mal réglée. Un pare-feu est un jeu de règles, et les jeux de règles dérivent. La limite honnête, c'est qu'une diode ne résout pas les besoins bidirectionnels, n'inspecte pas le contenu et ne vous dit pas ce qui se passe à l'intérieur du réseau protégé.
Quelle alternative à OPSWAT MetaDefender Kiosk pour un État qui ne peut pas recourir à un fournisseur américain ?
Nous ne sommes pas un produit de remplacement à l'identique, et nous ne prétendrons pas l'être. OPSWAT livre un équipement certifié, avec des cadences d'analyse publiées et les Critères communs EAL4+ ; nous livrons de l'assurance pour parcs déconnectés. Si la contrainte est d'ordre contractuel plutôt que fonctionnel, la voie pratique consiste à associer le matériel de contrôle des supports que vos règles autorisent à un partenaire d'assurance indépendant et non aligné, sans lien de subordination envers un gouvernement étranger.
À quelle fréquence un système coupé du réseau doit-il être réévalué ?
Plus souvent que ne le font la plupart des exploitants, car la coupure est érodée par le travail ordinaire plutôt que par une attaque : un portable de fournisseur, une liaison temporaire pour une fenêtre de mise en service, un nouveau contrat de télésurveillance. Nous ne publions pas de cadence fixe. Fixez-la en fonction de la fréquence à laquelle votre site accueille des intervenants extérieurs, et traitez chaque visite de maintenance comme un événement de frontière.
Sources
- 1. OPSWAT, MetaDefender Kiosk Tower 5: Removable Media Security Kiosk (datasheet, Rev. 2026-01) (copie conservée sur ce site)Récupéré le: 2026-07-31 · Hardware, scanning-performance, media-port, certification and support-tier tables for the largest Kiosk model.
- 2. OPSWAT, MetaDefender Kiosk Deployment Guide (copie conservée sur ce site)Récupéré le: 2026-07-31 · Recommended deployment for power plants, including the NERC CIP-010-2 R4 requirements the Kiosk is positioned against.
- 3. OPSWAT, MetaDefender Kiosk (product page)Récupéré le: 2026-07-31 · HTML only. Lists the Kiosk range (Tower, Desktop, Mobile, Mini, Stand, App) and per-model scanning rates.
- 4. Waterfall Security Solutions, Unidirectional Security Gateway WF-500 (datasheet) (copie conservée sur ce site)Récupéré le: 2026-07-31 · TX/RX architecture, throughput, connector catalogue and per-module dimensions and weights.
- 5. Waterfall Security Solutions, The Story of Waterfall Security & Unidirectional Gateway Technology (company profile) (copie conservée sur ce site)Récupéré le: 2026-07-31 · States that the company's headquarters are in Israel, with sales and support offices elsewhere.