Isolation OT réseau et USB : protéger efficacement les actifs critiques

Cartographier, c’est indispensable. Mais connaître ses actifs et détecter des menaces ne suffit pas à les protéger. Une fois les systèmes vitaux identifiés, l’étape suivante est de les isoler. Pas logiquement ou par configuration logicielle. Mais physiquement, par des mécanismes matériels qui rendent les phases de découverte et les mouvements latéraux structurellement impossibles. Dans cet article, nous aborderons  les enjeux de l’isolation en environnement OT et comment les adresser avec Seclab Xchange, Seclab Xport et Seclab Xlocker (produit bientôt disponible).

À retenir

• L’isolation physique est fondamentalement différente de la segmentation logique : un firewall filtre les flux, un air gap électronique supprime toute connectivité réseau directe entre les deux côtés.
• Le coeur électronique de Seclab Xchange est immunisé par design face aux zero-days et aux vulnérabilités logicielles : il n’y a pas de pile logicielle à attaquer.
• Même si un côté du boîtier est compromis, l’autre reste inatteignable : aucune couche de transport ne peut être exploitée pour un mouvement latéral.
• Les vecteurs USB sont responsables d’une part significative des incidents OT : Xport et Xlocker adressent ce vecteur par des mécanismes matériels, sans aucune installation sur l’équipement.
• Les cas d’usage couvrent l’ensemble du périmètre industriel : isolation OT, lignes de production, systèmes legacy, interconnexions avec des tiers, sauvegardes cyber-résilientes, et supervision SOC pour OIV.

Rappel : la démarche de sécurisation OT en cinq étapes

Face à la montée des menaces sur les environnements OT, les réglementations et les retours terrain convergent vers la même séquence :

• inventorier les actifs et les flux,
• réduire la surface d’attaque en supprimant ce qui est inutile,
• identifier les systèmes vitaux et les isoler physiquement,
• mettre l’infrastructure sous surveillance continue,
• sécuriser les sauvegardes avec une isolation physique.

Le premier article de cette série était consacré à l’inventaire et à la cartographie avec Seclab Xplore. On aborde ici la troisième étape : l’isolation.

Pourquoi la segmentation logique ne suffit plus

L’isolation est l’une des armes de défense les plus efficaces contre les cyberattaques en environnement OT. Mais toutes les formes d’isolation ne se valent pas. La segmentation logique par firewall ou VLAN repose sur du logiciel. Et qui dit logiciel, dit vulnérabilités et dit cycles de patch chronophages.

Dans le contexte actuel, où l’IA réduit la fenêtre entre publication d’une vulnérabilité et son exploitation à quelques heures, compter sur une solution logicielle pour protéger les actifs les plus critiques revient à accepter une exposition résiduelle permanente et une course continue au patch management. Fortinet, Palo Alto, Cisco figurent déjà parmi les éditeurs présentant le plus de vulnérabilités exploitées selon l’ENISA. Les équipements de segmentation eux-mêmes sont devenus des vecteurs de risque.

La réponse à cette équation ne peut pas être uniquement logicielle. L’isolation physique, basée sur des mécanismes matériels, offre une garantie structurelle que le logiciel seul ne peut pas apporter. C’est le principe fondateur de la technologie Electronic AirGap de Seclab. Déployé à l’origine dans les environnements les plus critiques (centrales nucléaires, défense,…), ce mécanisme est devenu essentiel pour assurer la protection des systèmes opérationnels et industriels.

Seclab Xchange : l’air gap appliqué par l’électronique

Seclab Xchange est un équipement d’isolation réseau basé sur un concept unique et une technologie brevetée. Le concept d’air gap électronique est une invention Seclab : il n’existe aucun réseau entre les deux côtés du boîtier. Des mécanismes électroniques permettent de faire transiter les données applicatives d’un réseau à l’autre, mais sans qu’aucune couche réseau ne relie physiquement les deux extrémités.

Xchange est bidirectionnel par nature, ce qui le différencie des diodes réseaux. Il accepte les communications en mode connecté, comme le TCP, qui peuvent être initiées de part et d’autre du boîtier sans contrainte.

Une architecture en trois cartes électroniques indépendantes
Le boîtier se décompose en trois parties distinctes :

– Une terminaison réseau côté IT

– Un coeur électronique central, pont infranchissable entre les deux extrémités

– Une terminaison réseau côté OT

Seules les données des flux explicitement autorisés peuvent transiter par ce coeur. Le principe de rupture protocolaire rend les réseaux de chaque côté invisibles pour leur opposé : toutes les phases de reconnaissance réseau, typiquement exploitées lors des phases préliminaires d’une attaque, deviennent inopérantes.

La conséquence directe de cette architecture est forte : même si un côté du boîtier venait à être compromis, l’autre côté resterait inatteignable. Le coeur électronique est inattaquable, ce qui rend tout mouvement latéral ou phase de reconnaissance impossible. Et en l’absence de réseau, il n’existe aucune couche de transport que l’attaquant pourrait exploiter.

Au-delà de l’isolation, Xchange embarque des capacités de filtrage avancées : filtrage de fichiers, inspection des couches applicatives, et DPI (analyse profonde des paquets). Il est notamment possible d’échanger des fichiers entre deux réseaux non connectés tout en appliquant un contrôle précis sur les contenus en transit.

Enfin, le boîtier requiert une double administration : pour autoriser un flux ou un fichier à traverser, un acte d’administration distinct doit être réalisé sur chacun des deux côtés du boîtier, de manière indépendante. Tant que ces deux actes n’ont pas été effectués, rien ne passe. Si un administrateur se révélait être malveillant, il ne pourrait pas ouvrir de flux.

Le MCO et le MCS (maintien en conditions opérationnelles et de sécurité) sont réduits au minimum. Seclab publie environ deux mises à jour par an, principalement fonctionnelles, sans impact sur le niveau de sécurité du boîtier. C’est un avantage opérationnel considérable dans des environnements où chaque intervention est planifiée, coûteuse, et potentiellement source d’indisponibilité.

Les cas d’usage couverts par Xchange

La technologie Xchange couvre l’ensemble des situations d’isolation rencontrées en environnement industriel :

• Isolation IT/OT : le cas d’usage historique, correspondant à la DMZ ICS du modèle Purdue (couche 3,5). Déployé notamment à la SNCF pour isoler leur réseau industriel homologué, qui contient la signalisation du trafic et la gestion de l’énergie, de leur SI central.
• Isolation des systèmes opérationnels : protection des composants de lignes de production (PLC, automates, actionneurs). Un exemple concret : dans un groupe pharmaceutique, une ligne de production ne pouvant pas atteindre le niveau de sécurité requis par le groupe a été rendue totalement invisible du reste du SI grâce au déploiement d’un boîtier Xchange en tête de ligne.
• Administration et supervision du SI industriel : sécurisation des échanges entre automates de safety et automates de process, pour garantir que la compromission de l’un ne puisse pas entraîner celle de l’autre. Déployé avec Schneider Electric et Yokogawa.
• Systèmes legacy : genèse de la technologie Xchange. Le monde industriel compte de nombreux systèmes qui ne peuvent être ni patchés, ni mis à jour, ni équipés d’outils de sécurité. EDF l’utilise dans ses centrales nucléaires pour deux usages distincts : isolation du command and control du reste du SI, et protection des automates lors de leurs mises à jour par média USB.
• Interconnexion avec des réseaux tiers : sécurisation des échanges entre réseaux industriels et réseaux de mainteneurs ou partenaires externes. Exemple : TotalEnergies et Natran, pour les échanges entre automates de compression dans des installations de gaz naturel liquéfié.
• Sauvegarde et cyber-résilience : Seclab travaille avec Dell sur une offre visant à sanctuariser le dernier tiers de sauvegarde. Xchange y est utilisé sur l’administration du coffre-fort de sauvegarde et sur les échanges de données entre les centres de production et ce coffre-fort.
• Interconnexion SOC pour OIV : pour les organisations soumises à l’exploitation d’un SOC PDIS, Xchange permet d’interconnecter des systèmes d’importance vitale (SIV) géographiquement distribués à un SOC PDIS centralisé, avec remontée contrôlée de logs, alertes et informations nécessaires à l’analyste.

Seclab Xport et Xlocker : l’isolation étendue aux vecteurs USB

Le réseau n’est pas le seul vecteur d’introduction de menaces dans les environnements industriels. Les ports USB, omniprésents sur les équipements OT, constituent un point d’entrée majeur et souvent insuffisamment contrôlé. Seclab adresse ce vecteur avec deux produits complémentaires : Xport et Xlocker.

Xport est un boîtier de la taille d’un disque dur externe qui s’intercale entre le port USB d’un équipement et le média USB. Son rôle est de protéger physiquement le port, et donc la machine, via la technologie air gap électronique. Il bloque deux catégories d’attaques :

• Les attaques de type USB Killer, qui exploitent une surcharge électrique pour détruire physiquement la machine.
• Les attaques logicielles par périphériques USB camouflés de type HID (Bash USB, Bash Bunny), qui simulent un clavier ou exécutent un script malveillant dès la connexion.

Xport intègre également un mécanisme de contrôle d’intégrité basé sur la signature électronique des fichiers. Si un élément non signé ou malveillant se présente au boîtier, il est absorbé et supprimé. Si un fichier légitime accompagné de sa signature est présenté, il est transmis à l’équipement. Xport est un rempart universel contre tout média USB non maîtrisé.

Xlocker (produit bientôt disponible) répond à un besoin différent : gérer une flotte d’équipements comportant de nombreux ports USB, de façon simple et traçable. Né d’un besoin exprimé par un client dans le secteur de la défense, il remplace les processus d’interdiction par défaut avec dérogations au cas par cas, qui génèrent une charge administrative importante.

Le boîtier se connecte sur le port USB et en bloque l’accès de manière électronique. Un utilisateur muni d’un badge peut en débloquer l’accès et utiliser le port normalement. Cela apporte une traçabilité précise sur qui accède au port et dans quel contexte. L’ensemble de la flotte et les droits d’accès aux ports USB sont administrables de manière centralisée. Le boîtier est également équipé d’un mécanisme de détection d’arrachement : dès qu’un bouchon est retiré sans autorisation, une alarme sonore est émise et une alerte remonte à la console d’administration. Le tout fonctionne sans fil.

Pour découvrir Seclab Xchange, Seclab Xport et Seclab Xlocker, visionnez cet extrait du replay de notre webinar de Juin 2026 

En savoir plus sur l’Electronic AirGap

Découvrez notre livre blanc sur l’isolation par Electronic AirGap.

Et maintenant ?

L’isolation physique des actifs vitaux est l’étape qui change structurellement le niveau de risque d’un environnement OT. Elle ne supprime pas la nécessité de surveiller et de détecter, mais elle réduit radicalement la surface atteignable par un attaquant qui aurait pénétré le réseau IT.

Seclab Xchange, Seclab Xport et Seclab Xlocker sont les briques d’isolation de la plateforme Seclab Xcore. Dans le prochain article de cette série, nous aborderons l’étape suivante : la détection des comportements anormaux sur le réseau industriel.