Cybersécurité d'une supervision industrielle : durcissement Windows, segmentation réseau, gestion des comptes et audit des flux applicatifs

Cybersécurité OT/SCADA : sécuriser sans dégrader l'exploitation

Pourquoi la supervision est un actif critique

Une supervision industrielle (SCADA/HMI) agrège des fonctions indispensables au pilotage et au maintien en conditions opérationnelles : visualisation opérateur, gestion des alarmes, historisation, téléconduite, communication avec automates/RTU/IED, et passerelles vers le SI (MES, ERP, GMAO, bases SQL, API, data platforms).

Cette position de nud technique en fait une cible privilégiée : rebond depuis l'IT vers l'OT, compromission d'identités d'exploitation, vulnérabilités Windows non maîtrisées, segmentation insuffisante, flux applicatifs peu documentés, ou accès à distance non gouvernés.

Dans une architecture multi-sites (24/7, hétérogénéité d'OS et de protocoles, contraintes de maintenance), l'enjeu est de construire une démarche vérifiable et industrializable autour de quatre axes : durcissement Windows, segmentation réseau, gestion des comptes et audit des flux applicatifs.

Constats terrain : Windows, réseau plat et flux implicites

Une surface d'attaque amplifiée par la convergence

Dans de nombreux sites industriels, la sécurité de la supervision repose encore sur un socle incomplet : antivirus en configuration standard, VLAN OT unique, comptes partagés, et documentation partielle des flux entre serveurs SCADA, clients, stations d'ingénierie, automates et systèmes tiers.

Or, la supervision combine des protocoles industriels (par exemple Modbus, OPC UA/DA, IEC 60870-5-104, DNP3, BACnet) avec des services Windows et IT (RPC, SMB, WMI, RDP, DNS, NTP, SQL, HTTP(S)). Sans règles strictes, la combinaison de ces briques augmente significativement l'exposition.

Durcissement Windows : l'écart entre « supporté » et « sécurisé »

Un OS à jour et supporté ne garantit pas un niveau de sécurité suffisant. Les écarts fréquents concernent : services non requis laissés actifs, droits locaux trop larges, absence de contrôle d'exécution (AppLocker ou WDAC), pare-feu permissif, journalisation incomplète, partages administratifs ou outils de télémaintenance déployés sans validation ni traçabilité.

En OT, la contrainte de continuité de service conduit parfois à des exceptions durables (désactivation UAC, comptes administrateur permanents, exclusions antivirus étendues). Sans gouvernance, ces exceptions deviennent des vulnérabilités structurelles.

Segmentation : un VLAN ne suffit pas

Un réseau OT plat (ou segmenté uniquement en VLAN) facilite les mouvements latéraux : compromission d'un poste opérateur, puis propagation vers serveurs SCADA, stations d'ingénierie, et potentiellement équipements terrain. Une segmentation robuste s'appuie sur le modèle zones et conduits de la série IEC 62443, qui formalise les périmètres et les flux autorisés.

Sans DMZ industrielle, les échanges IT/OT (reporting, historisation, transferts, sauvegardes, accès distants) sont trop souvent directs, augmentant le risque de rebond et rendant l'analyse d'incident plus complexe.

Comptes et privilèges : traçabilité et séparation des rôles

Les comptes partagés (opérateur/maintenance), l'usage de comptes locaux, l'absence de séparation des rôles (opération vs administration) et une traçabilité insuffisante restent courants. La révocation des accès prestataires, la rotation des secrets, l'alignement sur un annuaire et l'activation du MFA sont rarement traités de bout en bout en environnement multi-sites.

Flux applicatifs : le non-dit qui bloque la sécurité

Sans cartographie précise (source/destination/port/protocole/sens/justification), les pare-feu sont configurés au fil de l'eau, conduisant à des ouvertures larges « par précaution ». Les référentiels sont connus mais souvent appliqués partiellement : NIST SP 800-82 et les guides OT de l'ANSSI (cybersécurité des systèmes industriels) fournissent pourtant des bases méthodologiques exploitables en ingénierie.

Mesures techniques : durcir, cloisonner, tracer, vérifier

Une démarche outillée et reproductible

Une stratégie réaliste combine un socle standardisé et des règles d'exploitation compatibles avec les contraintes OT (fenêtres de maintenance, préproduction, retour arrière). Chez ARC INFORMATIQUE, l'approche se structure en quatre volets, alignés sur une architecture cible « zones et conduits » et des jeux de règles réplicables entre sites.

1) Durcissement Windows orienté SCADA

Baselines et politiques. L'objectif est d'appliquer une base de référence (CIS ou Microsoft) puis de gérer des exceptions tracées et revues :

• GPO : désactivation des services non requis, durcissement SMB (signature, désactivation de SMBv1 si applicable), restrictions d'administration à distance (RDP), paramètres TLS (versions et suites cryptographiques autorisées).
• Pare-feu Windows : stratégie « deny-by-default » sur les profils pertinents, ouvertures exclusivement fondées sur la matrice de flux, journalisation ciblée des paquets bloqués sur serveurs critiques.
• Contrôle d'exécution : AppLocker ou WDAC, déploiement en mode audit puis bascule progressive en enforcement après qualification.
• Correctifs : processus de qualification en préproduction OT, fenêtres de déploiement, et exceptions limitées dans le temps avec responsable identifié.

Références utiles. Pour cadrer la démarche de durcissement et de journalisation, s'appuyer sur les publications de l'ANSSI, notamment les recommandations sur l'architecture d'un système de journalisation et les recommandations pour l'administration sécurisée d'Active Directory.

Points OT à ne pas négliger. Tester l'impact sur redondance, historisation, drivers, accès automates, et prévoir un plan de retour arrière. En OT, un durcissement efficace est d'abord compatible production.

2) Segmentation OT/IT avec IEC 62443

Principe. La segmentation s'appuie sur le modèle zones et conduits (IEC 62443) : regrouper les actifs ayant des exigences de sécurité similaires en zones, puis contrôler les communications via des conduits (pare-feu) configurés en allowlist. IEC 62443 (overview)

• Zone Supervision : serveurs SCADA, historisation, services applicatifs.
• Zone Opérations : postes opérateur.
• Zone Ingénierie/Maintenance : stations d'administration, outils d'ingénierie.
• Zones Terrain : automates, RTU, IED.
• DMZ industrielle : relais IT/OT (transferts, proxy, relais d'historisation, bastion/jump server).

Contrôle et visibilité. Combiner filtrage L4 (ports) et, lorsque nécessaire, inspection applicative (L7/DPI) sur protocoles industriels. Interdire autant que possible les accès directs IT vers OT : passage par bastion en DMZ, sessions enregistrées, comptes nominaux et MFA.

3) Comptes et identités : moindre privilège et preuves d'audit

Structurer l'authentification.

• Annuaire : intégrer à AD lorsque pertinent (cycle de vie des comptes, révocation, politiques), tout en limitant l'exposition de l'annuaire aux zones nécessaires.
• Comptes de service : comptes dédiés, droits minimaux, interdiction d'ouverture de session interactive si non requise.
• Séparation des rôles : comptes d'exploitation distincts des comptes d'administration (principe de moindre privilège).
• MFA : renforcer a minima les accès distants et l'administration (bastion, consoles d'admin). Pour le cadrage réglementaire et terminologique en France, voir le Référentiel général de sécurité (RGS) et les recommandations publiques de cybersécurité sur l'authentification multifacteur (par exemple côté CNIL : MFA).

Traçabilité. Journaliser les événements Windows (authentification, élévations, changements de politiques) et les actions SCADA critiques (acquittements, commandes, changements de paramètres). Centraliser les journaux selon une architecture robuste (collecte, horodatage, intégrité), conformément aux recommandations ANSSI sur la journalisation.

4) Audit des flux applicatifs : de l'inventaire à la règle

Matrice de flux. Formaliser une matrice exploitable par l'ingénierie et l'exploitation :

• Source/destination (IP, FQDN), rôle (serveur SCADA, client, passerelle, automate).
• Port/protocole, sens, fréquence, criticité, et justification fonctionnelle.
• Dépendances transverses : DNS, NTP, PKI, SQL, sauvegardes, partages.

Validation terrain. Réaliser des captures (SPAN/TAP) sur des périodes représentatives, corréler avec la matrice, puis déployer les règles pare-feu progressivement (log, ajustement, blocage). Versionner la documentation pour sécuriser les évolutions et faciliter les audits multi-sites.

Résultats attendus : gains, limites et vigilance OT

Bénéfices opérationnels mesurables

• Réduction de surface d'attaque : moins de services exposés, exécution contrôlée, élévations mieux maîtrisées.
• Confinement : une segmentation zones/conduits limite l'impact d'une compromission et accélère l'analyse (chemins réseau explicités).
• Traçabilité : meilleure capacité de preuve (qui a fait quoi, quand), utile pour audits internes, clients et exigences sectorielles.
• Évolutivité : une matrice de flux maintenue permet d'ajouter un site, un protocole ou un connecteur SI sans rouvrir « large ».

Compromis et points de contrôle

• Disponibilité vs sécurité : WDAC/AppLocker, durcissement SMB/RPC et patching doivent être testés en préproduction avec plan de retour arrière.
• Legacy : certains protocoles terrain ne chiffrent pas et n'authentifient pas nativement ; le risque se traite principalement par cloisonnement, filtrage strict et passerelles adaptées.
• Secrets applicatifs : la rotation des mots de passe et la réduction des droits sur comptes de service exigent une excellente connaissance des dépendances (historisation, redondance, drivers).

Ouverture

Les exigences de cybersécurité OT continuent de se renforcer (référentiels, audits clients, conformité), ce qui pousse les projets vers une sécurité « by design » reposant sur des déploiements reproductibles, une gouvernance des identités et une maîtrise fine des flux.

À retenir : une supervision durcie et auditée

Synthèse des actions prioritaires

Une supervision industrielle robuste ne se résume ni à un antivirus, ni à un VLAN OT. Les leviers les plus efficaces combinent : durcissement Windows (baseline, contrôle d'exécution, pare-feu, journalisation), segmentation réseau (IEC 62443, DMZ industrielle, allowlist), gestion stricte des comptes (moindre privilège, séparation des rôles, traçabilité, MFA) et audit continu des flux applicatifs (matrice, validation terrain, documentation versionnée).

Pour mettre en uvre ces principes dans des projets de supervision multi-sites, les déploiements peuvent s'appuyer sur une plateforme SCADA modulaire telle que PcVue, avec une cybersécurité intégrée dès la conception.

Conclusion et demande de devis

En structurant le durcissement Windows, la segmentation IT/OT, la gouvernance des identités et l'audit des flux, vous obtenez une supervision plus résiliente, plus auditable et plus maîtrisée sur la durée, y compris en contexte multi-sites. Pour cadrer une architecture cible, établir une matrice de flux et déployer des mesures compatibles 24/7, contactez ARC INFORMATIQUE afin de demander un devis adapté à votre site et à vos contraintes d'exploitation.