Industrial DMZ

Définition

L'Industrial DMZ est une zone démilitarisée interposée entre le réseau IT d'entreprise et le réseau OT industriel, conforme au modèle Purdue (niveau 3.5), destinée à héberger les systèmes d'échange de données sans exposer directement les automates et supervisions. Elle abrite typiquement des historians répliqués, des serveurs de fichiers, des relais d'antivirus et des passerelles applicatives, jamais de liaison directe entre segments IT et OT. Les flux transitent via des règles de pare-feu bidirectionnelles strictes, souvent complétées par des proxys applicatifs ou des brokers qui rompent la session plutôt que de router le trafic. L'objectif est de contenir la propagation d'un compromis IT vers les processus physiques, et inversement d'empêcher qu'un incident OT ne remonte vers le SI de gestion. Le référentiel ISA/IEC 62443-3-3 et le guide NIST SP 800-82 recommandent explicitement cette architecture en zones et conduits. Une Industrial DMZ mal conçue, avec des règles trop permissives ou des doubles cartes réseau (dual-homed hosts) contournant le pare-feu, reste une des causes récurrentes d'intrusion dans les incidents ICS documentés par CISA. Sa surveillance repose sur des sondes dédiées et un SIEM capable de corréler les journaux des deux mondes, IT et OT.

Description

La DMZ industrielle est une zone réseau tampon entre les réseaux IT d'entreprise et les réseaux OT de contrôle-commande. Elle héberge les systèmes d'échange de données bidirectionnels (historians, serveurs de fichiers OT, serveurs de temps NTP) et isole les communications IT/OT avec des règles de firewall strictes dans les deux sens.

Contexte OT/ICS

NIST SP 800-82 et IEC 62443-3-2 définissent la DMZ industrielle comme architecture de référence pour la convergence IT/OT sécurisée. Elle correspond au niveau 3.5 du modèle Purdue étendu. Les flux autorisés sont typiquement unidirectionnels depuis l'OT (données de processus) vers l'IT, jamais en sens inverse vers les réseaux de contrôle.

Points clés

Double firewall : un firewall côté IT et un firewall industriel côté OT — pas de routage direct IT↔OT
Services hébergés : historian, serveur NTP, serveur de patches, jump server, proxy antivirus
Règle stricte : aucun système de la DMZ ne communique simultanément avec IT et OT sans inspection

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis