Le remplacement d’un pare-feu industriel en fin de vie est une décision qui doit être prise en fonction du modèle de déploiement, de la couverture des protocoles, de la méthode de création des politiques, des certifications et des conditions de licence, et non pas uniquement en fonction de la marque. Ces cinq facteurs déterminent si le remplacement permet de préserver l’architecture réseau déjà en place, de protéger les équipements industriels spécifiques utilisés et de répondre aux exigences de conformité et au budget de l’environnement. Le modèle de remplacement proposé par un fournisseur constitue un point de départ raisonnable pour vos recherches, mais ne remplace en aucun cas l’examen minutieux de cette liste de contrôle.
Principaux enseignements
- Le modèle de déploiement détermine l'étendue de la refonte du réseau nécessaire. Un pare-feu transparent en ligne, sans adresse IP, préserve l'adressage existant ; un pare-feu routé le modifie.
- La prise en charge des protocoles doit correspondre à votre environnement, et non à la liste générale d'un fournisseur. Certains fournisseurs soumettent des familles de protocoles spécifiques à des niveaux de licence distincts et mutuellement exclusifs ; veillez donc à vérifier précisément quelle référence (SKU) est mentionnée dans le devis.
- La manière dont les règles sont élaborées est tout aussi importante que ce que le pare-feu bloque. Un pare-feu capable d'observer le trafic en temps réel et d'élaborer un ensemble de règles de base à l'aide de l'apprentissage automatique évite ainsi l'erreur courante consistant à rédiger des règles sur la base d'un schéma de réseau obsolète.
- Les certifications varient en fonction du modèle spécifique, et pas seulement du fabricant. Les certifications phares d'un fabricant, telles que la norme CEI 61850-3 pour les postes électriques, ne s'appliquent pas automatiquement à tous les modèles de matériel de sa gamme.
- « Prend en charge la conformité » et « est certifié » sont deux affirmations différentes. La plupart des pare-feu industriels ne sont pas certifiés de manière indépendante en tant que périphériques selon des référentiels tels que la norme CEI 62443 ou le NERC CIP ; ils prennent toutefois en charge la segmentation et la journalisation exigées par ces référentiels. Considérez toute affirmation relative à la certification d’un périphérique selon l’un ou l’autre de ces référentiels comme un signal d’alerte qu’il convient de vérifier directement.
Commencez par le modèle de déploiement, et non par le nom de la marque
Un pare-feu industriel peut être déployé de deux manières différentes, et ce choix a une incidence sur l'ampleur des modifications à apporter au réseau existant. Un dispositif transparent, placé en ligne, s'intègre dans le flux de trafic sans disposer d'une adresse IP propre, ce qui permet de conserver l'adressage et le routage déjà en place. Un dispositif routé dispose de sa propre adresse IP et intervient directement au niveau de la couche réseau, ce qui peut apporter des fonctionnalités supplémentaires mais nécessite également des travaux de refonte.
Aucun des deux modèles n'est systématiquement meilleur que l'autre. Un déploiement transparent réduit au minimum l'impact de la migration, ce qui est particulièrement important lors du remplacement d'un pare-feu en service depuis des années, tel que le Tofino Xenon de Belden. Un déploiement routé peut offrir davantage de flexibilité dans les environnements nouvellement créés, où le réseau est conçu en fonction du pare-feu, et non l'inverse.
Adaptez la couverture du protocole à votre environnement réel
L'inspection approfondie des paquets pour les protocoles industriels, tels que Modbus, DNP3, EtherNet/IP et CEI 61850, est ce qui distingue un pare-feu industriel d'un pare-feu réseau générique déployé sur un réseau OT. La question essentielle n'est pas de savoir combien de protocoles un fournisseur répertorie, mais si les protocoles spécifiques utilisés dans l'environnement sont pris en charge par la référence proposée.
- Demandez la liste des protocoles par référence (SKU), et non par famille de produits. Certains fournisseurs proposent des licences pour des familles de protocoles — par exemple, un ensemble à usage général par opposition à un ensemble spécifique à un fournisseur, comme les protocoles GE — sous forme d'options distinctes et mutuellement exclusives, mises en œuvre au niveau du micrologiciel.
- Vérifiez si l'inspection s'étend aux tunnels chiffrés. Si l'environnement utilise IPsec ou OpenVPN pour l'accès des fournisseurs ou la connectivité multisite, demandez expressément si l'inspection des protocoles s'applique à l'intérieur de ces tunnels ou uniquement au trafic non chiffré. Obtenez cette confirmation par écrit plutôt que de vous contenter de la déduire d'une liste de fonctionnalités.
Évaluer comment la politique de sécurité est élaborée et mise à jour
La raison la plus courante pour laquelle les pare-feu industriels se retrouvent indéfiniment en mode « surveillance seule » est que personne ne dispose d'une vision claire et actualisée de ce à quoi ressemble le trafic légitime. Deux approches permettent de résoudre ce problème de manière différente.
- La création manuelle de politiques nécessite qu'une personne rédige des règles de pare-feu en se basant sur un schéma de réseau, qui est exact le jour où il est établi mais qui, par la suite, ne correspond plus à la réalité.
- Les modes « apprentissage » ou « référence comportementale » analysent le trafic en temps réel sur une période définie et élaborent une politique à partir des données observées, puis signalent les écarts par rapport à cette référence à l'avenir. Cela permet de raccourcir le délai entre l'installation et la mise en œuvre effective de la politique.
Vérifiez que les certifications correspondent à votre secteur d'activité et à votre modèle
Les certifications sont attribuées par modèle de matériel et ne s'appliquent pas à l'ensemble de la gamme d'un fabricant. Il peut arriver que le modèle haut de gamme d'un fabricant soit certifié, par exemple selon les normes CEI 61850-3 ou IEEE 1613 pour les sous-stations et les réseaux électriques, alors qu'un modèle plus petit ou doté d'un nombre de ports inférieur, appartenant à la même gamme, ne le soit pas. Vérifiez toujours la fiche technique du modèle précis qui vous intéresse.
Secteur d'activité / Exigences | Certification à confirmer | Pourquoi c'est important |
Postes de transformation électriques | IEC 61850-3, IEEE 1613 | Régit la compatibilité électromagnétique et la résistance aux conditions environnementales des équipements de sous-station |
Lieux dangereux ou classés | C1D2 | Obligatoire pour une mise en service dans des environnements présentant un risque lié à la présence de gaz inflammables ou de poussières |
Certifications générales en matière de matériel informatique | CE, FCC | Exigences de base en matière de fiabilité pour les environnements industriels non contrôlés |
Industrial Cybersécurité | IEC 62443-4-2 (SL2, SL3) | Vérifie de manière indépendante les capacités de sécurité du pare-feu et le processus de développement sécurisé du fournisseur, plutôt que de se fier à une simple déclaration de ce dernier |
« Favorise la conformité » n'est pas la même affirmation que « est certifié »
Les référentiels tels que la norme CEI 62443 et la norme NERC CIP régissent les programmes organisationnels et l’architecture des systèmes, et non un périmètre isolé ; c’est pourquoi la plupart des pare-feu industriels ne sont pas certifiés de manière indépendante au titre de l’un ou l’autre de ces référentiels en tant que produit autonome. Un pare-feu peut prendre en charge la segmentation, le contrôle d’accès et la journalisation d’audit exigés par ces référentiels sans être lui-même « certifié CEI 62443 » ou « certifié NERC CIP ». Si un fournisseur revendique cette certification spécifique pour le dispositif lui-même, demandez-lui quel organisme l’a délivrée et pour quel périmètre.
Comprendre le modèle de licence et de propriété
Industrial Les pare-feu sont proposés selon plusieurs modèles de licence : appareils à licence perpétuelle (coût matériel unique), abonnements renouvelables (frais récurrents), licences basées sur les fonctionnalités (modules complémentaires de protocoles ou de capacités), licences basées sur le débit (niveaux de bande passante), licences basées sur les protocoles (licences par protocole) et licences de gestion centralisée (plateformes de visibilité multisites). Chaque modèle a une incidence différente sur le coût total de possession tout au long de la durée de vie de l’appareil. Le passage d’une licence perpétuelle à un abonnement, ou l’ajout de licences liées aux fonctionnalités, au débit ou à la gestion, entraîne des obligations budgétaires récurrentes qu’il convient de bien cerner lors de l’évaluation, plutôt que de les découvrir au moment de la mise en œuvre ou du renouvellement.
Plan de gestion centralisée sur plusieurs sites
Une solution de remplacement qui nécessite de se connecter individuellement à chaque appareil ne peut pas s'étendre au-delà d'une poignée de sites. Une gestion centralisée, qu'elle soit hébergée sur site ou dans le cloud, doit permettre de déployer des politiques, de collecter des informations d'état et de générer des rapports pour l'ensemble des appareils déployés, le tout à partir d'un seul et même endroit.
Demandez un projet pilote à échelle restreinte avant de vous engager à l'échelle de l'ensemble du domaine
Un projet pilote à zone unique, mené en mode de surveillance avant sa mise en œuvre définitive, avec des critères de réussite clairement définis et convenus à l'avance, réduit le risque qu'un changement d'architecture entraîne des temps d'arrêt imprévus. Le remplacement à l'échelle de l'ensemble du parc informatique est une question à aborder en second lieu, et non en premier lieu.
Liste de contrôle pour l'évaluation d'un remplacement
- Modèle de déploiement : transparent/en ligne ou routé, et lequel préserve votre architecture réseau existante
- Couverture des protocoles : vérifiée par rapport à votre environnement réel et à la référence spécifique faisant l'objet du devis, et non par rapport à une liste générale de la gamme de produits
- Méthode d'élaboration des règles : rédaction manuelle des règles ou référence d'apprentissage/comportementale
- Certifications : vérifiées pour le modèle précis considéré, et non déduites à partir du produit phare du fabricant
- Formulation relative à la conformité : « prend en charge » les exigences d'un référentiel par opposition à une allégation de certification d'un dispositif non vérifiée
- Modèle de licence : licence perpétuelle ou abonnement, et coût total de possession associé à chacun d'entre eux
- Gestion centralisée : diffusion des politiques et génération de rapports pour l'ensemble des sites à partir d'un seul et même endroit
- Portée du projet pilote : une démonstration de faisabilité en mode surveillance, portant sur une seule zone et assortie de critères de réussite convenus, avant toute décision concernant l'ensemble du parc immobilier
En quoi les principes « MetaDefender », «Industrial » et «Firewall » s'appliquent-ils à cette liste de contrôle ?
MetaDefender Industrial Firewall™ est le pare-feu industriel d'OPSWAT destiné aux réseaux OT, spécialement conçu pour les technologies opérationnelles et les systèmes cyber-physiques, et non pas une simple adaptation d'un produit informatique. Au regard de la liste de contrôle ci-dessus : il prend en charge à la fois le déploiement transparent en ligne et le déploiement routé ; son mode d’apprentissage élabore une politique de sécurité à partir du trafic observé plutôt que d’exiger un ensemble de règles défini manuellement ; il est disponible en version matérielle à quatre et huit ports, le modèle à huit ports prenant en charge les normes CEI 61850-3 et IEEE 1613 pour une utilisation dans les sous-stations et les réseaux électriques ; et il s’intègre à la plateforme OPSWAT™ d’ My Central Management pour la gestion des politiques et le reporting sur plusieurs sites. Il prend en charge la segmentation du réseau conformément aux exigences des normes CEI 62443 et NERC CIP, en accord avec la distinction de conformité mentionnée ci-dessus : il s’agit d’une déclaration de prise en charge, et non d’une déclaration de certification de l’appareil. Il est également certifié C1D2 pour les environnements difficiles.
Effectuez votre propre évaluation de remplacement à l'aide de cette liste de contrôle, puis vérifiez dans quelle mesure MetaDefender ,Industrial etFirewall y correspondent dans votre environnement spécifique.
Questions fréquemment posées
Quelle est la différence entre un déploiement de pare-feu industriel en mode « transparent » et un déploiement en mode « routé » ?
Un pare-feu transparent en ligne est essentiellement un pont de couche 2 qui ne dispose pas d'adresse IP et qui est placé directement sur le chemin du trafic, ce qui permet de conserver l'adressage réseau existant. Un pare-feu routé fonctionne comme un périphérique de couche 3. Il dispose de sa propre adresse IP et intervient au niveau de la couche réseau, ce qui peut offrir des fonctionnalités supplémentaires mais nécessite une refonte plus importante du réseau pour son déploiement.
Un pare-feu industriel doit-il être certifié selon la norme CEI 62443 ou la norme NERC CIP ?
La plupart des pare-feu industriels ne font pas l'objet d'une certification indépendante au titre de l'un ou l'autre de ces référentiels en tant que périphérique autonome, car ces deux référentiels régissent les programmes organisationnels et l'architecture des systèmes plutôt qu'un produit isolé. Recherchez un pare-feu qui réponde aux exigences de segmentation et d'audit imposées par ces référentiels, et considérez toute allégation de certification de périphérique non qualifiée comme un élément à vérifier directement.
En quoi la manière dont un pare-feu industriel élabore sa politique de sécurité est-elle importante ?
Un pare-feu qui nécessite la rédaction manuelle de règles à partir d'un schéma de réseau n'est aussi précis que ce schéma, qui a tendance à devenir obsolète. Un pare-feu capable d'observer le trafic en temps réel et d'élaborer une base de référence pour les règles raccourcit le délai entre l'installation et la mise en œuvre effective, et reflète fidèlement l'état réel du réseau.
Pourquoi les certifications varient-elles d'un modèle à l'autre chez un même fabricant ?
Les certifications telles que la norme CEI 61850-3 ou IEEE 1613 sont obtenues et publiées pour chaque modèle de matériel, et ne s'appliquent pas à l'ensemble d'une gamme de produits. Il peut arriver que le modèle haut de gamme d'un fabricant dispose d'une certification dont ne bénéficie pas un modèle plus petit ou doté d'un nombre de ports inférieur au sein de la même gamme ; il est donc nécessaire de vérifier les caractéristiques du modèle concerné en se référant à sa propre fiche technique.
Combien de temps un déploiement pilote doit-il durer avant un déploiement à grande échelle ?
Suffisamment longtemps pour observer un éventail représentatif d'opérations normales, en mode surveillance avec des critères de réussite définis et convenus à l'avance, et limité à une seule zone. L'objectif est de s'assurer de la fiabilité de la politique de référence avant sa mise en application, et non d'atteindre un nombre fixe de jours.
Le modèle de licence a-t-il une incidence sur le coût total de possession ?
Oui. Un appareil à vie correspond à un coût matériel ponctuel, avec des renouvellements d'assistance facultatifs, tandis qu'un modèle d'abonnement intègre les licences dans des paiements récurrents. Aucune de ces deux options n'est intrinsèquement moins chère ; pour faire une comparaison pertinente, il faut tenir compte de la durée de vie prévue de l'appareil et de la manière dont l'entreprise répartit son budget entre les dépenses d'investissement et les dépenses courantes.
