Comment sécuriser une ligne de production legacy contre les rançongiciels sans remplacer les automates programmables (plc)

Les usines que j’ai visitées ces dernières années montrent une réalité : beaucoup de lignes de production fonctionnent encore avec des automates programmables (PLC) robustes mais vieillissants. Remplacer ces équipements par des automates modernes peut être coûteux et disruptif. Pourtant la menace des rançongiciels ne tolère pas l’immobilisme. Voici comment je sécurise — ou recommande de sécuriser — une ligne de production legacy contre les rançongiciels, sans remplacer les PLC.

Comprendre d’abord le terrain

Avant toute action, je commence par cartographier. Connaître précisément le parc d’automates, les HMI, les serveurs SCADA, les interfaces OPC, les consoles d’ingénierie et les points d’accès réseau est indispensable. Sans une cartographie détaillée, on tire à l’aveugle.

Je réalise :

Un inventaire des équipements (marque, modèle, firmware).

La topologie réseau (vlan, switches, routeurs, VPNs).

Les flux d’information (qui parle à qui, quels ports/protocoles : Modbus, OPC, Profinet…).

Les points d’accès distants (télémaintenance, accès fournisseurs).

Appliquer la segmentation réseau et le principe de moindre privilège

La segmentation réseau est la première barrière que je mets en place. Il faut séparer l’IT (bureaux, ERP) de l’OT (PLC, SCADA). Mais il faut aussi segmenter l’OT : zone de contrôle, zone de supervision, DMZ pour les services externes. Un VLAN ou, mieux, un pare-feu industriel (p. ex. Palo Alto, Fortinet, ou des appliances dédiées OT) permet de filtrer strictement les flux.

Règles simples : seuls les ports et protocoles nécessaires sont autorisés entre zones.

Mise en place de listes de contrôle d’accès (ACL) pour bloquer les connexions inutiles vers les PLC.

Accepter la réalité : les PLC restent inchangés, sécuriser autour

Modifier le firmware des PLC legacy ou remplacer des blocs fonctionnels n’est pas toujours possible. Dans ce cas, je rends l’environnement autour des PLC plus sécurisé :

Utiliser des passerelles/proxies OPC sécurisés (OPC UA gateways) pour imposer l’authentification et le chiffrement entre SCADA et PLC.

Installer des dispositifs « read-only » pour la supervision quand c’est possible, afin de limiter l’écriture non autorisée.

Mettre en place des firewalls industriels en frontale des racks d’automates (micro-segmentation physique ou virtuelle).

Contrôler et sécuriser les accès distants

Beaucoup d’incidents proviennent d’un accès distant mal contrôlé (VPN permanent, mots de passe partagés, sessions RDP ouvertes). J’applique toujours ces bonnes pratiques :

Remplacer les VPN permanents par des solutions de jump server bastion avec authentification forte (MFA/2FA) et enregistrement des sessions (audit, vidéo si besoin).

Restreindre l’accès fournisseur à des fenêtres temporelles et à des IPs précises.

Utiliser des solutions de remote access industrielles sécurisées (p. ex. TeamViewer Tensor pour industrie, Cisco Duo avec MFA, ou des produits spécialisés comme TDi Technologies Secure Remote).

Surveillance et détection : ne pas se reposer sur la prévention seule

Les rançongiciels évoluent vite ; la détection précoce fait souvent la différence. J’implémente une supervision dédiée OT :

Collecte des logs réseau (NetFlow, sFlow) et des journaux système SCADA.

Déploiement d’un système de détection d’intrusion spécialisé OT (IDS/IPS) — Nozomi Networks, Claroty ou Dragos sont des acteurs solides — pour repérer comportements anormaux (scans, commandes écrites sur des PLC, changements de firmware).

Corréler événements OT et IT via un SIEM pour une vue globale.

Gestion des correctifs et des configurations

Patch management sur PLC legacy est souvent impossible. À la place, je mets en place :

Patchs pour les systèmes d’exploitation et les serveurs de supervision (Windows Server, HMI, base SCADA).

Contrôle strict des postes d’ingénierie : postes dédiés, isolés, image système verrouillée, whitelist des applications (Application Control / AppLocker).

Inventaire et sauvegarde régulière des configurations PLC et des programmes (fichiers .L5X, .ADF selon les fabricants).

Sauvegardes, plans de continuité et tests réguliers

Les rançongiciels chiffrent ou suppriment des données. Avoir des sauvegardes fiables et testées est non négociable.

Sauvegardes automatiques des programmes PLC et des configurations HMI, stockées de façon immuable et air-gapped (hors réseau et hors portée des attaquants).

Plan de reprise (DRP) spécifique OT, incluant procédure de restauration des automates et séquences d’arrêt/démarrage sûres.

Exercices réguliers (table-top et simulations) pour vérifier les procédures et la coordination entre exploitation, IT, maintenance et la direction.

Renforcer les contrôles endpoints et la sécurité physique

Les postes HMI et les stations d’ingénierie sont souvent vecteurs d’infection. J’impose :

EDR (Endpoint Detection & Response) sur les stations non critiques — solutions adaptées à l’OT comme SentinelOne, CrowdStrike, ou versions adaptées pour environnements industriels.

Politique stricte d’utilisation de clés USB : blocage ou usage contrôlé via stations de quarantaine et scanners antivirus à jour.

Contrôle d’accès physique aux armoire PLC (badges, verrous) et vidéosurveillance.

Politiques, formation et gouvernance

La technologie ne suffit pas si les équipes ne sont pas préparées. J’investis du temps dans :

Formations régulières pour opérateurs et maintenance sur les risques liés aux rançongiciels et les bonnes pratiques (phishing, hygiène des mots de passe, procédures d’accès).

Mise en place d’une gouvernance claire : qui peut déclencher un arrêt d’urgence, qui restaure une sauvegarde, qui valide une mise à jour.

Procédures documentées de gestion d’incident OT, intégrées au plan global de gestion de crise de l’entreprise.

Outils et fournisseurs à connaître

Je m’appuie souvent sur un mix d’outils IT/OT certifiés :

Fonction	Exemples
IDS/Monitoring OT	Nozomi Networks, Claroty, Dragos
Remote Secure Access	TeamViewer Tensor (industriel), TDi Secure Remote, OpenVPN + MFA
EDR/Endpoint	SentinelOne, CrowdStrike (adaptation OT)
Firewalls / segmentation	Fortinet, Palo Alto, Cisco Industrial Firewalls

Chaque usine a ses contraintes ; ces solutions ne sont pas universelles mais donnent des pistes. J’ai notamment vu une ligne protégée efficacement en combinant une DMZ OPC UA, des jump servers enregistrant toutes les sessions et des sauvegardes air-gapped : l’impact opérationnel a été minimal.

Enfin, je répète toujours : il ne s’agit pas d’un projet ponctuel, mais d’un processus continu. Menacer la surface d’attaque, surveiller en continu, tester et former — voilà la recette pour protéger des PLC legacy contre les rançongiciels sans entrer dans une coûteuse et risquée opération de remplacement massif d’automates.