Data Diode au Maroc : sécuriser les flux OT vers IT sans ouvrir de chemin retour
Historian, SIEM, monitoring, données de production et infrastructures critiques : découvrez comment une passerelle unidirectionnelle peut permettre de sortir des données d'un réseau industriel tout en empêchant les communications réseau dans le sens inverse.
Une entreprise souhaite envoyer les données de production de son SCADA vers le réseau IT, son SIEM ou une plateforme d'analyse. Mais faut-il pour autant créer une connexion réseau permettant également à l'IT de communiquer vers l'OT ?
Dans certaines infrastructures très critiques, la réponse peut être non.
Une Data Diode, également appelée passerelle unidirectionnelle, est conçue pour autoriser les données dans une seule direction.
IT → OT ne dispose pas du même chemin de communication.
Cette différence fondamentale distingue une Data Diode d'un firewall traditionnel.
1. Qu'est-ce qu'une Data Diode ?
Une Data Diode est un équipement ou une architecture de sécurité réseau permettant le transfert des informations dans un seul sens.
Dans un environnement industriel, le cas d'usage classique est :
Cela permet par exemple de transférer certaines informations d'exploitation vers des systèmes de niveau supérieur sans créer une connexion bidirectionnelle classique.
2. Data Diode ou firewall : quelle différence ?
Les deux technologies répondent à des besoins différents.
Firewall
Le firewall contrôle les communications entre réseaux selon une politique de sécurité. L'architecture reste généralement capable de supporter des communications dans plusieurs directions lorsque les règles les autorisent.
Data Diode
La communication au travers de la frontière est conçue pour fonctionner dans un seul sens, ce qui supprime le chemin réseau inverse sur cette liaison.
Le firewall convient aux communications qui doivent rester bidirectionnelles.
La Data Diode devient intéressante lorsque l'architecture peut réellement fonctionner avec un flux à sens unique.
3. Pourquoi cette technologie est intéressante pour l'OT ?
Les systèmes industriels peuvent piloter des procédés physiques critiques.
Les conséquences d'une compromission peuvent dépasser la simple perte de données :
- arrêt de production ;
- perte de contrôle du procédé ;
- modification de consignes ;
- indisponibilité d'un SCADA ;
- perturbation d'une infrastructure électrique ;
- impact sur la sûreté ;
- dommages aux équipements ;
- impact environnemental.
Pour certains flux, l'entreprise a seulement besoin de faire sortir les informations de l'environnement industriel.
Dans ce scénario, créer une communication bidirectionnelle peut introduire un risque inutile.
4. Cas d'usage n°1 : Historian OT vers IT
C'est probablement l'un des cas d'usage les plus intéressants.
Le réseau IT a besoin des données de production pour le reporting, la performance ou l'analyse.
Une mauvaise architecture pourrait être :
Les utilisateurs ou applications IT disposent alors potentiellement d'un chemin vers un système directement connecté au réseau OT.
Une autre architecture consiste à répliquer les données :
Ils n'ont pas besoin d'interroger directement l'historian OT.
5. Cas d'usage n°2 : envoyer les logs OT vers le SIEM
Un SOC central peut avoir besoin de recevoir les événements provenant des infrastructures OT.
Le SOC reçoit les informations nécessaires à l'analyse, tandis que le chemin utilisé pour les logs ne permet pas de créer une connexion retour vers le réseau industriel.
6. Cas d'usage n°3 : monitoring OT et détection des menaces
Une architecture peut également transférer vers l'extérieur des informations provenant de solutions de monitoring :
- inventaire des actifs ;
- alertes IDS / NDR OT ;
- événements réseau ;
- logs de sécurité ;
- données de monitoring ;
- informations destinées au SOC.
NIST a documenté ce type d'architecture pour les utilities électriques, avec des données de monitoring envoyées depuis les opérations vers les fonctions d'analyse du réseau Enterprise.
7. Cas d'usage n°4 : données de production vers MES, BI ou Cloud
La transformation digitale augmente la demande de données OT.
Les entreprises souhaitent exploiter :
- production ;
- énergie ;
- maintenance ;
- qualité ;
- états des équipements ;
- performance des lignes ;
- données destinées au Data Lake ;
- analytics ou applications Cloud.
Une architecture unidirectionnelle peut permettre de publier certaines données vers des plateformes externes sans ouvrir automatiquement un chemin de commande vers le système industriel.
ne signifie pas automatiquement :
« Nous avons besoin d'une connexion réseau bidirectionnelle vers votre OT ».
8. Comment fonctionne TCP avec une Data Diode ?
C'est une question technique importante.
De nombreux protocoles informatiques utilisent TCP, qui repose normalement sur des échanges bidirectionnels.
Une architecture de passerelle unidirectionnelle peut donc utiliser des composants logiciels de part et d'autre de la diode.
Les communications applicatives peuvent ainsi être terminées et reconstruites de chaque côté selon la technologie utilisée.
La compatibilité avec les protocoles et applications doit être étudiée avant le projet.
9. Quels protocoles faut-il analyser ?
La sélection d'une solution doit commencer par les applications réellement nécessaires.
| Usage | Exemple | Point à vérifier |
|---|---|---|
| Historian | Réplication de données process | Connecteur / réplication supportée |
| SIEM | Syslog / événements | Transport et garantie de livraison |
| Fichiers | Export de rapports | Mécanisme de transfert |
| Base de données | Réplication | Compatibilité applicative |
| OPC | Données industrielles | Version et architecture supportées |
| MQTT | Publication IIoT | Broker et mode de réplication |
| Monitoring | Alertes OT | Format et destination |
10. La Data Diode remplace-t-elle la DMZ industrielle ?
Pas nécessairement.
Les deux concepts peuvent être utilisés ensemble.
La DMZ continue de jouer un rôle d'intermédiation entre environnements.
La Data Diode apporte une propriété supplémentaire : l'absence de chemin retour au travers de cette liaison.
11. La Data Diode remplace-t-elle l'Air Gap ?
Il faut éviter de confondre ces deux notions.
Air Gap
L'objectif est une séparation physique ou logique très forte sans connexion réseau permanente entre les environnements concernés.
Data Diode
Il existe bien une communication entre les environnements, mais elle est conçue pour fonctionner dans un seul sens.
La Data Diode permet donc de conserver une capacité de transfert automatisée tout en réduisant fortement l'exposition liée au chemin retour.
12. Peut-on utiliser une Data Diode pour envoyer des patches vers l'OT ?
Si la diode est configurée dans le sens :
elle ne permet évidemment pas d'utiliser cette même liaison pour envoyer un patch depuis l'IT vers l'OT.
Il faut alors concevoir un autre processus contrôlé pour les flux entrants :
- transfert manuel contrôlé ;
- media sécurisé ;
- plateforme dédiée ;
- autre conduit spécifiquement protégé ;
- procédure de validation et scanning.
13. Data Diode et IEC 62443
IEC 62443 repose notamment sur la séparation du système en zones et conduits à partir de l'analyse de risques.
La Data Diode peut devenir un mécanisme de protection d'un conduit lorsqu'un flux unidirectionnel est compatible avec le besoin métier.
L'utilisation de la diode ne suffit cependant pas à rendre une architecture conforme IEC 62443.
Les autres exigences de cybersécurité doivent également être traitées.
14. Dans quels environnements utiliser une Data Diode ?
Son intérêt augmente lorsque les conséquences d'une compromission OT sont importantes et que les besoins de communication sont principalement sortants.
Énergie
Centrales, postes électriques et infrastructures de contrôle critiques.
Eau
Télégestion, traitement, pompage et réseaux critiques.
Process industriel
Chimie, mines, ciment et production continue.
Infrastructures critiques
Environnements nécessitant une séparation réseau particulièrement forte.
15. Data Diode dans le contexte industriel marocain
Au Maroc, la technologie peut être pertinente pour des secteurs possédant des infrastructures OT à haute criticité :
- énergie et production électrique ;
- postes et réseaux électriques ;
- mines et phosphates ;
- industrie chimique ;
- cimenteries ;
- eau et assainissement ;
- oil & gas ;
- transport ;
- infrastructures critiques ;
- grands systèmes industriels multisites.
Pour les infrastructures soumises à des exigences élevées de cybersécurité, une architecture unidirectionnelle peut constituer une mesure de défense en profondeur à évaluer pendant l'analyse de risques.
Les exigences applicables doivent être déterminées selon l'organisation, son secteur, son statut et la criticité de ses systèmes.
16. Exemple pratique : usine avec SOC central
Prenons une usine disposant de :
- un SCADA ;
- un historian OT ;
- plusieurs PLC ;
- un réseau de switches OT ;
- un IDS industriel ;
- un SIEM central dans le datacenter ;
- des utilisateurs BI souhaitant accéder aux données process.
L'objectif est double :
- envoyer les logs au SOC ;
- publier les données de production vers l'IT.
Mais aucun flux entrant depuis l'IT n'est nécessaire pour ces deux usages.
17. Comment sélectionner une solution Data Diode ?
La sélection ne doit pas commencer par la marque.
Checklist avant un projet Data Diode
Points à valider
Les erreurs les plus fréquentes
- acheter une Data Diode avant d'identifier les flux ;
- supposer que tous les protocoles sont automatiquement compatibles ;
- oublier que certaines applications nécessitent des communications retour ;
- confondre Data Diode et firewall ;
- confondre Data Diode et Air Gap ;
- ne pas prévoir le transfert des patches vers l'OT ;
- ne pas prévoir la maintenance des systèmes OT ;
- ajouter ensuite un bypass permanent et non contrôlé ;
- négliger la haute disponibilité ;
- ne pas tester la réplication des applications ;
- considérer qu'une Data Diode rend automatiquement l'architecture conforme IEC 62443.
Intégrer une Data Diode dans une architecture OT
Digital Ignite accompagne les industriels dans l'étude et la conception d'architectures de cybersécurité OT/ICS à haute criticité.
Notre approche commence par l'analyse des risques, des zones, des conduits et des flux nécessaires avant de sélectionner la technologie appropriée.
Selon le besoin, l'architecture peut intégrer Data Diode, Industrial DMZ, firewalls OT, réplication Historian, transfert de logs vers SIEM, supervision OT et mesures de sécurité alignées sur les principes IEC 62443.
Conclusion
La Data Diode répond à une question très spécifique :
comment transmettre les données nécessaires sans créer simultanément un chemin réseau de retour vers le système industriel ?
Pour certaines infrastructures OT critiques, cette propriété peut apporter une séparation beaucoup plus forte qu'un simple filtrage réseau.
Une Data Diode est pertinente lorsqu'un flux doit réellement être unidirectionnel.
Elle n'a pas vocation à être installée partout simplement parce que le réseau est OT.
Votre réseau OT nécessite une séparation forte IT/OT ?
Digital Ignite accompagne les industriels au Maroc dans l'analyse des flux, la segmentation des architectures et l'étude de solutions de communication unidirectionnelle pour les environnements OT/ICS critiques.
Étudier mon architecture Data Diode →Questions fréquentes sur les Data Diodes
Qu'est-ce qu'une Data Diode ?
Une Data Diode, ou passerelle unidirectionnelle, est un équipement permettant le transfert de données dans une seule direction entre deux environnements réseau.
Quelle différence entre une Data Diode et un firewall ?
Un firewall contrôle les communications selon des règles de sécurité. Une Data Diode est conçue pour empêcher le trafic réseau de revenir dans la direction opposée au travers de la même liaison.
Peut-on envoyer les données SCADA vers l'IT avec une Data Diode ?
Oui, lorsqu'une solution compatible avec l'application et les protocoles utilisés permet de transférer ou répliquer les informations nécessaires vers l'environnement IT.
Peut-on envoyer les logs OT vers un SIEM ?
Oui. Le transfert unidirectionnel de logs et événements OT vers des plateformes SIEM ou SOC constitue un cas d'usage particulièrement intéressant.
Une Data Diode remplace-t-elle une DMZ ?
Pas nécessairement. Une Data Diode peut être intégrée dans une architecture utilisant également une Industrial DMZ, des firewalls et d'autres mécanismes de sécurité.
Une Data Diode est-elle identique à un Air Gap ?
Non. Une Data Diode maintient une communication dans un sens, tandis qu'un véritable Air Gap vise une séparation sans connexion réseau permanente entre les environnements.
Une Data Diode est-elle obligatoire selon IEC 62443 ?
Non. IEC 62443 repose sur une approche basée sur le risque. Une Data Diode peut constituer une mesure appropriée pour certains conduits, mais elle n'est pas une exigence universelle pour tous les réseaux OT.
Dans quels secteurs une Data Diode peut-elle être utile au Maroc ?
Elle peut être étudiée pour les environnements OT critiques tels que l'énergie, les mines, les phosphates, l'eau, les industries de process et certaines infrastructures critiques, lorsque les exigences de séparation et les flux applicatifs justifient une architecture unidirectionnelle.