OSIsoft PI / PI Historian

Définition

OSIsoft PI (désormais AVEVA PI System après l'acquisition d'OSIsoft par AVEVA en 2021) est la plateforme d'historisation de données industrielles la plus répandue au monde. Déployée dans plus de 1 000 entreprises industrielles et 65 % des plus grandes sociétés de l'indice Fortune 500 opérant dans les secteurs industriels, PI System collecte, stocke et met à disposition des données temps réel et historiques provenant de milliers de capteurs et équipements industriels. L'architecture PI repose sur plusieurs composants : PI Data Archive (base de données temporelles haute performance), PI Asset Framework (AF) pour la modélisation des actifs, PI Interfaces et PI Connectors pour la collecte de données depuis les équipements OT, et PI Vision ou PI ProcessBook pour la visualisation. Les données y sont stockées avec compression intelligente (algorithm SwingDoor) permettant de conserver des années d'historique avec une empreinte disque optimisée. Du point de vue de la cybersécurité, PI System représente un actif critique car il agrège l'ensemble des données opérationnelles de l'entreprise industrielle et forme souvent le pont entre le réseau OT et le réseau IT. Historiquement, les serveurs PI étaient connectés directement aux réseaux de contrôle sans segmentation adéquate, créant un vecteur d'attaque privilégié vers les systèmes OT. La vulnérabilité CVE-2020-1938 (Ghostcat) et plusieurs CVE spécifiques à PI System ont été exploitées dans des campagnes ciblant les infrastructures industrielles. L'accès au serveur PI peut permettre de reconstituer les schémas de production, identifier les équipements critiques, et potentiellement envoyer de fausses données aux opérateurs via des manipulations de l'Asset Framework. La sécurisation de PI System nécessite une architecture DMZ dédiée, une authentification forte via Active Directory ou Kerberos, le chiffrement des communications PI-to-PI et PI-to-Client, et un accès en lecture seule depuis les systèmes d'analyse business. Le serveur PI ne devrait jamais être directement accessible depuis le réseau d'entreprise sans contrôles stricts.