OT Firewall

Définition

Un OT Firewall (pare-feu industriel) est un équipement de filtrage réseau spécialement conçu pour les environnements de technologie opérationnelle. Contrairement aux firewalls IT classiques qui opèrent principalement aux niveaux 3 et 4 du modèle OSI (IP, TCP/UDP), un OT Firewall intègre une inspection en profondeur des protocoles industriels (Deep Packet Inspection) pour analyser les communications Modbus, DNP3, PROFINET, OPC-UA, IEC 60870, S7comm et autres protocoles spécialisés. Les firewalls industriels sont conçus pour répondre aux contraintes spécifiques des environnements OT : latence ultra-faible (essentielle pour les communications temps réel), haute disponibilité (souvent en configuration redondante), durabilité dans des conditions industrielles (températures étendues, vibrations, montage sur rail DIN), et capacité à filtrer des protocoles propriétaires non standards. La fonctionnalité de Deep Packet Inspection (DPI) industrielle est fondamentale : elle permet non seulement de filtrer par adresse IP et port, mais aussi d'analyser le contenu des trames industrielles pour autoriser ou bloquer des commandes spécifiques. Par exemple, autoriser uniquement les lectures Modbus (function code 03) et bloquer les écritures (function code 06) vers un automate critique, ou limiter les accès OPC-UA à certains nœuds de données spécifiques. Des fabricants spécialisés comme Siemens (SCALANCE S), Hirschmann (Eagle One), Phoenix Contact (mGuard), Fortinet (FortiGate RUGGED) et Cisco (IE3000) proposent des solutions adaptées. Ces équipements supportent les protocoles industriels dans leurs moteurs d'inspection et intègrent souvent des fonctionnalités de VPN industriel pour les connexions distantes. La configuration d'un OT Firewall nécessite une compréhension fine des flux de communication légitimes entre les équipements industriels, une démarche différente des firewalls IT où l'approche par défaut est souvent permissive puis restrictive.