OT Behavioral Baseline (Comportement référence)

Fonctionnement de la construction de baseline OT

La construction d'une behavioral baseline OT par Dragos Platform ou Claroty CTD se déroule en plusieurs étapes : (1) Déploiement des capteurs réseau (SPAN ports ou TAP sur les segments OT critiques), (2) Phase de découverte passive : identification et inventaire de tous les actifs OT, cartographie des communications réseau (graphe de toutes les connexions observées), (3) Phase d'apprentissage : analyse statistique des patterns sur la période de référence (4-8 semaines), construction du modèle de comportement normal pour chaque actif, (4) Ajustement : collaboration avec les équipes OT pour supprimer les faux positifs initiaux (comportements légitimes hors baseline non capturés pendant la phase d'apprentissage), (5) Activation de la détection : les alertes sont activées lorsque la baseline est jugée suffisamment représentative. La maintenance de la baseline inclut la mise à jour lors des changements documentés de configuration ou de processus.

Contexte OT/ICS et gestion des changements

Le plus grand défi de la behavioral baseline OT est la gestion des changements légitimes qui modifient le comportement normal : une modification de configuration de production (changement de produit, modification de recette) change le comportement normal des boucles PID et les valeurs des mesures de processus. Sans mise à jour de la baseline, ces changements légitimes génèrent des faux positifs qui fatiguent les équipes SOC et réduisent la valeur du système de détection. L'intégration de la baseline OT avec les systèmes de gestion du changement (MOC - Management of Change) est une pratique avancée permettant d'anticiper les changements de baseline lors des modifications planifiées.

Sécurité et mitigation

Utilisation efficace de la behavioral baseline OT : construire la baseline initiale pendant une période représentative de l'activité normale (éviter les périodes d'arrêt prolongé ou de production exceptionnelle), définir un processus de mise à jour de baseline lors des changements légitimes (les changements documentés dans le MOC déclenchent une mise à jour de baseline), calibrer les seuils d'alertes pour équilibrer la sensibilité de détection et le taux de faux positifs, traiter chaque anomalie de baseline comme une investigation à réaliser (confirmer si légittime ou suspecte), et revoir la baseline périodiquement pour vérifier qu'elle reste représentative du comportement actuel.