Mémo CERTitude

Bureautique, Systèmes industriels, Criticité, Risques, Configuration, Administration, Détection, Analyse, Qualification, Fuite d’information, APT, Cyber-attaques, Protection, Unidirectionnel, IDS, IPS, Rupture protocolaire, Diode, Pare-feu, Passerelle, Sécurité numérique, ...

Sécurité des interconnexions de systèmes numériques
Définition Cas d’usage Recommandations Diode Passerelle Pare-feu Synthèse

Définition

• L’interconnexion numérique de deux systèmes d’information ou réseaux, consiste à les connecter de manière permanente, afin qu’ils puissent échanger des données, dans un sens (unidirectionnel) ou les deux sens (bi-directionnel). Les systèmes interconnectés peuvent être de criticité, de fonctionnalité, de technologie différentes et être opérés par des équipes différentes.
• Les interconnexions numériques, ou interconnexions réseaux, constituent régulièrement des points de vulnérabilité et des vecteurs d’attaque sur vos systèmes numériques.

Cas d’usage

• Connexion de deux systèmes de criticités différentes
• Connexion pour des accès distant avec d’autres sites
• Connexion pour des accès nomades et des besoins de télémaintenance
• Connexion d’un systèmes industriel à un système de gestion, système bureautique
• ...

Recommandations

• Suivant le niveau de risque évalué, suivant les contraintes métiers et contraintes technologiques, plusieurs solutions de protection sont envisageables pour renforcer la sécurité de l’interconnexion de deux systèmes :
• DIODE
• PARE-FEUX
• PASSERELLE de rupture protocolaire
• Aucun, surveillance seulement
• Ces dispositifs de protection, dits « en coupure » peuvent être combinés entre eux et complétés par des moyens de détection.
• Préférez l’usage de produits qualifiés par l’ANSSI afin de disposer d’un niveau de sécurité et de confiance dans les dispositifs de protection et détection déployés.
• Définissez les limites de responsabilité et qui opère le ou les équipements utilisés pour sécuriser l’interconnexion et qui en assure le MCO et MCS.
• Assurez vous de disposer d’une cartographie à jour des flux de communication de vos systèmes et bien identifier ceux qu’il faut filtrer.
• Identifiez les impacts potentiels sur la disponibilité et l’intégrité des flux.

DIODE

• Principe : dispositif garantissant physiquement le caractère unidirectionnel des flux.
  La diode s’accompagne de « guichets » haut et bas assurant les communications avec les systèmes auxquels elle est connectée.
• Cas d’usage principaux :
• connexion d’un système critique vers un système moins critique (ex : report d’information d’un système de sûreté/safety vers un système de production )
• "remontée" d’informations (log, alertes, etc) vers un SIEM pour la supervision de la sécurité des systèmes
• Télédiagnostic

PASSERELLE de rupture protocolaire

• Principe : dispositif assurant une rupture des flux transitant entre les systèmes ainsi qu’un filtrage, potentiel, des données applicatives à transmettre.
• Cas d’usage principaux :
• Interconnexion de systèmes de criticité différentes
• Télédiagnostic
• Lecture seule de données, depuis un système bureautique vers un système industriel, pour une application d'"historian" ou de reporting par exemple

PARE-FEU

• Principe : dispositif filtrant les flux le traversant.
  Le filtrage peut porter sur les adresses (Mac et IP), les ports, et le contenu des données (filtrage applicatif).
• Cas d’usage principaux :
• le pare-feu peut être déployé pour tous les cas d’usage, pour filtrer des flux entre un réseau bureautique et un système industriel, pour filtrer des flux entre le système d'information de l'entreprise et les réseaux externes, etc.

Synthèse

Le tableau ci-dessous est une estimation de la comparaison entre les trois solutions pour renforcer la sécurité d'interconnexions entre des systèmes.

Diode	Passerelle	Pare-feu

Août 2018

Les Mémos CERTitude NUMERIQUE abordent en quelques mots des thèmes de la sécurité numérique.
Ils ne remplacent en aucune manière les textes réglementaires, guides et référentiels publiés par les autorités nationales et européennes.
N’hésitez pas à faire part de vos commentaires en nous contactant.