Sécurité OT / ICS
ACTION REQUISE (À EXÉCUTER IMMÉDIATEMENT APRÈS LECTURE)
MAINTENANT: Lire../field-journal/precedent-pentest.md— Une erreur de manipulation en environnement industriel peut causer des dommages physiquesMAINTENANT: L'autorisation écrite doit préciser : site, sous-réseau, autorisation de scan actif / écriture de registreMAINTENANT: case-init ; par défaut passive-first ; avantready_for_act, interdiction d'écrire sur les PLCSUIVANT: tool-index ; la plupart des outils ICS doivent être utilisés manuellement sur un réseau de test isoléACTION: Identification des actifs et découpage en zones → surface d'attaque → validation en lecture seule
Cas d'utilisation
- Évaluation de sécurité des systèmes ICS/SCADA/DCS (autorisée)
- Découpage en zones du modèle Purdue et canaux inter-zones
- Exposition des protocoles Modbus/DNP3/S7/EtherNet/IP, etc.
- Postes d'ingénierie, IHM, historiens, serveurs de rebond
- Frontière IT/OT (règles de pare-feu, passerelles unidirectionnelles)
Règles de sécurité absolues (DOIT)
NE DOIT PAS, sans autorisation explicite :
- Écrire sur des bobines/registres de PLC
- Scanner à haute vitesse l'ensemble du réseau OT de production
- Interrompre les chemins liés aux systèmes instrumentés de sécurité (SIS)
Priorité : identification en lecture seule, mirroring de trafic, analyse hors ligne des firmwares/configurations
Workflow
Phase 1 — Découpage en zones et actifs
□ Esquisse Purdue L0–L5 : équipements de terrain → contrôle → supervision → DMZ site → entreprise
□ Inventaire des actifs : PLC/RTU/IHM/postes d'ingénierie/historiens/serveurs de rebond
□ Ligne de base des protocoles et ports (sous-réseaux autorisés uniquement)
Phase 2 — Passif et lecture seule
□ SPAN/miroir PCAP → protocol-reverse / analyseurs ICS Wireshark
□ Audit hors ligne des configurations et fichiers de projet (exportations TIA/RSLogix, etc.)
□ Mots de passe par défaut et protocoles en clair (Modbus sans authentification) enregistrés comme Finding, sans modification
Phase 3 — Actif limité (uniquement sur autorisation)
□ Identification à faible vitesse, fenêtre de maintenance
□ Priorité aux codes fonction en lecture seule
□ Chaque étape avec preuve ; arrêt immédiat et notification en cas d'anomalie
Phase 4 — Surface des firmwares/mises à jour
□ Version du firmware du contrôleur → correspondance CVE (ne pas flasher le firmware à l'aveugle)
□ Analyse d'image hors ligne en collaboration avec firmware-pentest
Chaîne d'outils
| Outil | Utilisation | Remarque |
|---|---|---|
| Dissecteurs ICS Wireshark | Analyse passive | Trafic miroir |
| Nmap NSE (limité) | Identification | Vitesse et fenêtre temporelle |
| Claroty/Nozomi, etc. | Découverte d'actifs | Commercial/sur site |
| Logiciels d'ingénierie des fournisseurs PLC | Audit de configuration | Hors ligne de préférence |
| binwalk / Ghidra | Firmware | Hors ligne |
Références
references/ot-safe-assessment.md../firmware-pentest/../protocol-reverse/../networkvia pentest-tools
Contexte de routage
Amont : MASTER R28
Aval : Analyse approfondie du firmware firmware-pentest ; protocole protocol-reverse ; transversal IT windows-ad/attack-chain
Pair : Ne pas utiliser un scanner Web classique avec les paramètres par défaut sur l'OT
Auto-vérification des tâches
- Le mode passif/lecture seule par défaut est-il utilisé et les limites de l'autorisation sont-elles enregistrées ?
- Avez-vous évité les opérations d'écriture sur les boucles de contrôle (sauf autorisation explicite) ?
- Les Findings incluent-ils une description de l'impact physique/processus ?
- Checklist / journal ?