Cas pratique - Anssi

QUARTIER MAINTENANCE (ou ADMININISTRATION : aucun flux entrant
flux LDAP, kerberos, WSUS et autre services d’infra en sortie vers QUARTIER INFRA
CORP ;
flux de programmation PLC en sortie vers QUARTIER PLC ;
flux de programmation SCADA en sortie vers QUARTIER SERVEURS SCADA ;
flux pour l’administration (HTTPS, SNMP, SSH) en sortie vers VLAN ADMIN RESEAU ;
flux pour l’administration des serveurs et des applications (RDP par exemple en sortie
vers QUARTIER SERVEURS SCADA.
QUARTIER SCADA CORP :
flux SysLog et SNMP en entrée depuis ZONE ICS ;
flux HTTPS en entrée depuis SITE Externe.
La majorité des applications SCADA fonctionnent avec un système d’exploitation Microsoft.
Il est possible d’utiliser les Group Policy Object (GPO) pour déployer et gérer une partie des
configurations systèmes ainsi que les outils Microsoft pour déployer les mises à jour. La gestion
centralisée sera plus efficace que la gestion actuelle.
Les postes opérateurs et serveurs ne sont pas en nombre suffisant pour créer et gérer un
domaine spécifique au SCADA. En revanche, regroupés avec les machines de la zone MES/
GPAO, il deviendrait intéressant de créer un domaine spécifique (domaine Production par
exemple) indépendant du domaine bureautique 5 . Cela suppose que les zones MES et
SCADA disposent du même niveau de confiance. La gestion d’un domaine nécessitant
des compétences spécifiques, elle sera opérée par l’IT.
Cette mutualisation facilitera l’administration et en particulier permettra une gestion
plus efficace des comptes utilisateur. Cela pourra permettre de résoudre par exemple les
problématiques de logins génériques.
5 La gestion des domaines peut se révéler complexe et être source de vulnérabilités importantes si elle est mal
maitrisée. L’annexe C fournit quelques explications complémentaires sur les architectures de domaines.
La cybersécurité des systèmes industriels - Cas pratique 29