ABB 800xA (Système DCS)

Définition

ABB 800xA (Extended Automation System 800xA) est le système DCS (Distributed Control System) phare d'ABB, largement déployé dans les secteurs de l'énergie, de la pétrochimie, des pâtes et papiers, et de la chimie. ABB est l'un des trois grands fournisseurs mondiaux de DCS industriels avec Siemens (PCS 7/SIMATIC PCS neo) et Honeywell (Experion PKS). La cybersécurité du 800xA est critique car ce système supervise des processus continus où une compromission peut avoir des conséquences opérationnelles et sécuritaires majeures. L'architecture 800xA comprend plusieurs couches : les contrôleurs AC800M (processeurs de contrôle exécutant les fonctions de régulation et de séquencement du processus), les OPC servers et interfaces de communication vers les équipements de terrain (PROFIBUS DP, FOUNDATION Fieldbus, HART), les stations opérateurs (Aspect Server, Connectivity Server) hébergeant les applications SCADA et HMI sous Windows, et la couche de communication réseau (Control Network redondant pour les communications temps-réel entre contrôleurs et I/O). Les vulnérabilités de cybersécurité du 800xA incluent des CVE publiées régulièrement par ABB PSIRT : des vulnérabilités dans les composants Windows du serveur d'exploitation (Aspect Server), dans les interfaces de communication OPC DA/UA, et dans les services réseau des contrôleurs AC800M. ABB recommande l'application d'un "Security Update Package" (patches) selon un processus de test préalable obligatoire. La sécurisation du 800xA suit les recommandations ABB documentées dans le guide "System 800xA System Security" : segmentation réseau (Control Network séparé des réseaux IT/OT supervision), durcissement Windows des stations opérateurs (CIS Benchmarks adaptés par ABB), gestion des comptes (désactivation des comptes par défaut, politique de mots de passe), et surveillance des journaux d'événements Windows et 800xA pour la détection d'accès non autorisés.

Fonctionnement de la sécurité 800xA dans une usine chimique

La sécurisation d'un système ABB 800xA dans une usine chimique comprend : (1) Segmentation : le Control Network 800xA (réseau dédié entre contrôleurs AC800M et stations OPS) est physiquement séparé du réseau OT de supervision et de l'IT d'entreprise, avec un accès uniquement via des stations opérateurs dédiées, (2) Durcissement Windows : application des "ABB Security Hardening Guidelines" sur tous les serveurs Windows 800xA (Aspect Server, Connectivity Server, OPC Server), désactivation des services non nécessaires, activation du pare-feu Windows, et application des patches de sécurité ABB validés, (3) Comptes et accès : comptes nominatifs pour tous les opérateurs et ingénieurs, suppression des comptes partagés et des comptes par défaut ABB, politique de mots de passe conformes, MFA pour les accès d'administration système, (4) Journalisation : activation des journaux d'audit 800xA et Windows avec collecte dans le SIEM OT pour corrélation et détection d'anomalies, (5) Accès distants fournisseurs : accès ABB support via le Remote Access Server en IDMZ avec enregistrement de session.

Contexte OT/ICS et EOL DCS

La gestion de l'obsolescence des DCS est un défi majeur pour les opérateurs industriels : un 800xA version 5.0 (sorti en 2010) sur des postes Windows Server 2008 R2 (EOL octobre 2020) est un scénario courant dans les installations qui n'ont pas réalisé les migrations nécessaires. Ces systèmes legacy ne reçoivent plus de patches de sécurité Microsoft et sont exposés à des vulnérabilités connues sans correctif. La migration vers une version 800xA récente (6.1+) sur Windows 2019 Server est un projet pluriannuel coûteux mais souvent nécessaire pour maintenir un niveau de sécurité acceptable.

Sécurité et mitigation

Sécurisation d'un parc 800xA : effectuer un audit de la version 800xA déployée et des OS Windows sous-jacents pour identifier les composants en EOL, appliquer les Security Update Packages ABB selon le processus ABB de test en staging (ne jamais appliquer directement en production), s'abonner aux alertes PSIRT ABB pour être notifié des nouvelles CVE 800xA, et planifier les migrations de version 800xA dans le plan pluriannuel de cybersécurité OT.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis