Énergie & Infrastructure critique · Opérateur d'infrastructure critique — systèmes de contrôle SCADA, uptime 24/7 requis

Sécurité qui ne suppose rien — Zero-Trust pour les systèmes de contrôle critiques

Comment nous avons conçu une architecture de sécurité qui vérifie chaque requête — sans jamais supposer que le réseau interne est sûr — réduisant les faux positifs de 68 % tout en maintenant 0 incident critique.

9 min read

Problem

Les systèmes de contrôle industriel (SCADA) du client fonctionnaient avec une sécurité conçue il y a 15 ans — où l'hypothèse était "à l'intérieur du réseau = de confiance." Aujourd'hui, avec l'expansion du télétravail et la convergence IT/OT, cette hypothèse était devenue une vulnérabilité. De plus, l'équipe de sécurité se noyait dans des milliers d'alertes quotidiennes — 73 % étaient des faux positifs — faisant que les vraies alertes se perdaient dans le bruit. Le défi : implémenter le Zero-Trust sans compromettre la disponibilité des systèmes de contrôle critiques — car l'indisponibilité n'était pas une option.

What we built

Nous avons commencé par une modélisation des menaces complète — pas en installant des outils, mais en comprenant : qu'essaie d'atteindre l'attaquant, et quel est le chemin de moindre résistance ? À partir de là, nous avons conçu une architecture Zero-Trust par phases : en commençant par l'Identité (authentification multi-facteurs + RBAC strict), puis le Réseau (micro-segmentation isolant chaque système SCADA), puis la Charge de travail (vérification de chaque processus). Pour le problème des alertes, nous avons construit une couche SOAR personnalisée classifiant automatiquement les alertes et les corrélant avec la threat intelligence — transformant l'équipe du "combat d'incendies" à la "chasse aux menaces."

Outcome

Après 12 semaines : réduction d'environ 68 % des alertes critiques fausses, détection des menaces réelles en moins de 4 minutes, et programme de formation SOC maintenant la vigilance après la passation.

Architectural decisions

Déploiement progressif plutôt qu'implémentation Big Bang
Dans les systèmes de contrôle critiques, tout changement soudain peut être catastrophique. Nous avons divisé l'implémentation en 4 phases sur 8 mois avec un plan de retour arrière pour chaque phase.
Analytique comportementale plutôt que détection basée sur les signatures
Les attaques avancées ne laissent aucune signature connue. Nous avons construit des modèles de référence comportementaux — et chaque déviation déclenche une enquête automatique.

Technical challenges

Les équipements SCADA legacy ne supportant pas les protocoles d'authentification modernes
Nous avons déployé un Authentication Proxy qui gère l'authentification moderne pour le compte des équipements legacy — sans aucune modification du firmware.
La micro-segmentation pouvant casser des communications OT cachées entre les systèmes
Nous avons exécuté une phase de découverte de 30 jours surveillant toutes les communications actuelles et construisant une cartographie complète — puis conçu la segmentation sur la réalité, pas sur des hypothèses.

Architecture

HashiCorp VaultIstioWazuhTheHiveCortexMITRE ATT&CKZeekElastic SIEMPythonAnsibleKubernetes

Results

−68%

Faux positifs réduits

< 4h

Temps de confinement des incidents

Incidents de sécurité critiques post-implémentation

8 months

Durée du déploiement progressif

“Je leur ai demandé de sécuriser notre réseau. Ce que je n'attendais pas, c'est qu'ils enseigneraient à notre équipe à penser différemment sur la sécurité. Les outils s'oublient — la façon de penser reste.”

Representative quote for discussion — composite scenario, not a named client endorsement unless stated otherwise.

These case studies are illustrative summaries for discussion. They are not guarantees of results for your organization unless confirmed in a separate agreement.