Règles de pare-feu d'une passerelle TRS : ce que l'IT doit exiger

À retenir

• Placez la passerelle au niveau 3 ou en DMZ, jamais sur le réseau bureautique.
• Vers le bas, lecture seule : uniquement les automates listés, uniquement sur leur propre protocole.
• Vers le haut, sortie seule : chiffrée, vers des hôtes nommés.
• Aucune règle entrante depuis internet vers le réseau OT.
• Journalisez chaque connexion, et revoyez les règles quand une ligne change.

Donnez à une passerelle TRS (OEE) le strict minimum. Elle doit lire les machines d'un côté et envoyer les données de l'autre. Elle n'a jamais besoin d'une connexion entrante depuis internet, et elle n'a jamais besoin d'écrire dans un automate.

Fabrico, logiciel de TRS et de light MES avec caméras IA, décrit cette architecture dans son propre article sur la connectivité automates. Il s'agit d'une passerelle en lecture seule, placée en DMZ, qui envoie les données en sortie uniquement, en HTTPS. Les règles exactes pour votre usine sont validées avec l'équipe technique de Fabrico. Voici une liste de contrôle que vos responsables IT et OT peuvent utiliser avec n'importe quel fournisseur.

Où placer une passerelle TRS sur le réseau de l'usine ?

La plupart des usines décrivent leur réseau avec le modèle Purdue. Il empile les systèmes en niveaux :

• Niveaux 0 à 2 : capteurs, machines et leurs automates.
• Niveau 3 : opérations du site, là où vivent les systèmes MES et TRS.
• Niveau 3.5 : la DMZ industrielle, avec pare-feu, proxys, copies d'historien et serveurs de rebond.
• Niveau 4 : l'IT de gestion, sans connexion directe au niveau 2 ou en dessous.

La DMZ est la zone tampon entre les deux. Le CERT national espagnol, l'INCIBE, explique que la DMZ « empêche ou du moins rend difficile » le passage des attaques entre IT et OT.

Une passerelle TRS a sa place au niveau 3 ou dans cette DMZ. De là, elle atteint les automates qu'elle lit, et elle envoie les données par un seul chemin maîtrisé.

De quelles règles de pare-feu une passerelle TRS a-t-elle besoin ?

Peu, et toutes initiées par la passerelle elle-même.

1. Vers chaque automate listé : autoriser la passerelle sur le protocole de cet automate, avec un compte en lecture seule. Refuser tout autre équipement.
2. Vers les serveurs du fournisseur : autoriser la sortie seule, chiffrée, vers des noms d'hôtes nommés. HTTPS ou MQTT sur TLS sont les choix habituels.
3. Heure et noms : autoriser le serveur de temps et le DNS de l'usine. Les heures d'arrêt ne valent que ce que vaut l'horloge.
4. Accès support : si le fournisseur en a besoin, faites-le passer par votre serveur de rebond, activé session par session et journalisé.
5. Tout le reste : refuser, et journaliser ce qui est refusé.

Exemple concret : un jeu de règles type pour une ligne

Ligne exemple (chiffres illustratifs, pas un client). La ligne 4 compte trois machines. La passerelle TRS se trouve dans la zone « Line 4 OT ». Les ports ci-dessous sont les valeurs par défaut habituelles ; confirmez-les pour chaque équipement et avec votre fournisseur.

Cela fait 6 règles d'autorisation, chacune étant une connexion ouverte par la passerelle. Le pare-feu nécessite 0 règle d'autorisation entrante. Si un fournisseur en demande une, demandez pourquoi, par écrit.

Le même schéma se déploie facilement. Une deuxième ligne ajoute ses propres règles automates. La règle vers le haut reste la même.

Que doit demander l'IT à un fournisseur de TRS en matière de sécurité ?

Le risque est réel. Dans une enquête menée auprès de 1 560 décideurs industriels dans 17 pays, 46% avaient subi un incident cyber au cours de l'année écoulée. La sécurité et la conformité arrivaient en deuxième position de leurs besoins d'achat MES, citées par 43%.

• Quelles parties de l'IEC 62443 suivez-vous ? Un éditeur de logiciel est jugé sur la partie 4-1, le processus de développement sécurisé, et la partie 4-2, les exigences applicables aux composants.
• Chaque connexion automate est-elle en lecture seule ? Notre automaticien peut-il voir la liste complète des variables ?
• Quels hôtes et quels ports la passerelle appelle-t-elle ? Obtenez la liste avant l'installation, pas après.
• Comment les mots de passe et les certificats sont-ils stockés et renouvelés ?
• Comment les mises à jour arrivent-elles sur la passerelle, et qui les valide ?
• Qui peut accéder à la passerelle pour le support, et où est-ce journalisé ?
• Que deviennent les données quand la liaison est coupée ?

Notre guide sur les zones et conduits IEC 62443 explique comment regrouper les équipements en zones. Le guide d'achat d'un MES cloud pour l'IT ajoute des questions sur la disponibilité et la propriété des données.

Quelles erreurs ouvrent le réseau OT ?

1. Une passerelle sur le réseau bureautique avec un chemin jusqu'aux automates.
2. Une redirection de port entrante laissée ouverte « pour le support ».
3. Une règle « tout vers tout » héritée de la mise en service.
4. Des droits d'écriture sur le compte automate de la passerelle.
5. Un mot de passe administrateur unique sur la passerelle de chaque site.
6. Pas de synchronisation horaire, si bien que les journaux du pare-feu et les relevés d'arrêts ne concordent pas.

Quelle est la place de Fabrico ?

Fabrico est une plateforme de performance industrielle dotée de vision par ordinateur. Le TRS et le MES léger passent en premier. Fabrico lit le signal machine, enregistre chaque arrêt et le chiffre.

• Enregistrement automatique des arrêts à partir des variables automates, de capteurs IoT ou de caméras.
• TRS en direct par ligne et par poste, avec chaque perte chiffrée en argent.
• Une séquence vidéo comme preuve d'un arrêt, là où une caméra surveille.
• Un pilote sur une ligne, qui donne à l'IT un périmètre réduit et clair à examiner d'abord.

L'article de Fabrico sur la connectivité automates pour le TRS décrit sa passerelle en lecture seule en DMZ, avec un HTTPS en sortie seule. L'architecture de votre usine est confirmée avec l'équipe technique de Fabrico avant l'installation. Découvrez le produit sur la page TRS par vision par ordinateur, et d'autres questions IT dans le logiciel TRS pour les responsables IT.

Il n'y a pas d'offre gratuite ni de paliers : chaque usine reçoit un devis.

Questions fréquentes

Un système TRS a-t-il besoin de règles de pare-feu entrantes ?

Il ne devrait pas. La passerelle ouvre elle-même chaque connexion : vers le bas, vers les automates qu'elle lit, et vers l'extérieur, vers les serveurs du fournisseur. Rien ne doit entrer depuis internet dans le réseau OT. Si un fournisseur demande une règle entrante, exigez la raison et une alternative par écrit.

La passerelle TRS doit-elle être en DMZ ?

Le niveau 3 ou la DMZ industrielle au niveau 3.5 sont les emplacements habituels. Les deux tiennent la passerelle à l'écart du réseau bureautique tout en lui laissant l'accès aux automates qu'elle lit. Votre responsable sécurité OT choisit la zone adaptée à votre usine, selon la segmentation existante du réseau.

Une passerelle TRS peut-elle écrire dans l'automate ?

Elle ne devrait pas pouvoir. Donnez à son compte des droits en lecture seule sur l'automate ou le serveur OPC UA, et vérifiez-le dans le contrôleur. Le TRS a besoin d'états, de compteurs et de codes défaut. Rien de tout cela n'exige de réécrire une seule valeur dans la machine.

Quels ports une passerelle TRS utilise-t-elle ?

Cela dépend des protocoles automates de vos lignes et de la façon dont le fournisseur envoie les données. Demandez la liste complète des hôtes et des ports avant l'installation. Le jeu de règles type ci-dessus montre une forme classique : quelques règles en lecture seule vers le bas, une règle chiffrée vers l'extérieur.

Un système TRS cloud est-il sûr pour un réseau OT ?

Il peut l'être, quand la passerelle est placée dans la bonne zone, ne fait que lire et n'envoie les données qu'en sortie, sur une liaison chiffrée. Vérifiez le processus de développement du fournisseur au regard des parties 4-1 et 4-2 de l'IEC 62443, et commencez par une ligne pour que l'IT examine un périmètre réduit.

Venez avec vos questions réseau à une démo

Apportez le schéma de votre réseau OT. Nous vous montrerons où se place la passerelle et ce que coûtent par poste les arrêts d'une ligne.

Demander une démo · Nous contacter