OT Anomaly Detection

Définition

L'OT Anomaly Detection (détection d'anomalies dans les environnements OT) désigne l'ensemble des techniques et solutions permettant d'identifier des comportements inhabituels ou suspects dans les réseaux industriels et les systèmes de contrôle, en comparant les activités observées à un baseline de comportement normal préalablement établi. C'est l'approche de monitoring la mieux adaptée aux contraintes OT car elle peut fonctionner de manière passive, sans perturber les communications industrielles sensibles. La détection d'anomalies OT repose sur l'apprentissage automatique du comportement réseau et protocolaire normal d'un système industriel : quels équipements communiquent avec quels autres, sur quels protocoles, avec quelle fréquence, quels types de commandes, à quelles plages horaires. Une fois ce modèle de normalité établi (phase d'apprentissage de 2 à 4 semaines typiquement), le système peut détecter les déviations : nouveau device non référencé, protocole inhabituel, commande d'écriture PLC hors des plages autorisées, volume de trafic anormal, connexion à une adresse externe. Les solutions spécialisées en détection d'anomalies OT (Dragos, Claroty, Nozomi Networks, Tenable OT) utilisent des approches complémentaires : analyse réseau passive (capture et analyse des trames sans injection active), profilage comportemental des équipements, analyse des protocoles industriels en profondeur (DPI), corrélation d'événements multi-sources, et intégration des feeds de threat intelligence OT. La détection d'anomalies OT est distincte de la détection d'anomalies IT : les environnements OT sont plus déterministes (les mêmes communications se répètent cycliquement), ce qui rend les anomalies plus facilement identifiables mais aussi plus sensibles aux faux positifs lors de maintenances planifiées qui modifient temporairement le comportement normal.

Fonctionnement de la détection d'anomalies OT

Une solution d'anomaly detection OT fonctionne en deux phases. Phase d'apprentissage : les sondes passives (Network TAP ou SPAN port) capturent tout le trafic du réseau OT pendant 2-4 semaines pour construire un inventaire des actifs (Asset Discovery automatique) et un modèle comportemental (qui parle à qui, sur quel protocole, avec quels types de messages). Phase de détection : en production, toute déviation par rapport au modèle appris génère une alerte classifiée selon sa criticité. Les alertes incluent : nouveau device détecté, scan réseau inhabituel, modification de configuration PLC, commande d'écriture non standard, connexion externe non autorisée.

Contexte OT/ICS et bénéfices opérationnels

Au-delà de la cybersécurité, la détection d'anomalies OT apporte des bénéfices opérationnels : détection précoce de défaillances d'équipements (comportements anormaux précédant une panne), inventaire automatique des actifs OT (souvent inexistant dans les installations existantes), documentation des communications effectivement utilisées (utile pour la configuration des firewalls), et détection des configurations non conformes. Ces bénéfices opérationnels facilitent l'adhésion des équipes OT à ce type de solution, souvent perçue uniquement comme une contrainte par les équipes de production.

Sécurité et mitigation

Déploiement efficace d'une solution d'anomaly detection OT : positionner les sondes aux points stratégiques du réseau (frontières de zones, agrégateurs de trafic), intégrer les alertes dans le SIEM OT ou le SOC OT pour la corrélation avec d'autres sources d'événements, documenter les événements de maintenance planifiée pour éviter les faux positifs, définir des procédures de réponse aux alertes classifiées par criticité, et réviser régulièrement le baseline comportemental lors d'évolutions de l'installation (nouveaux équipements, nouvelles lignes de production).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis