OT Forensics Challenges

Définition

L'investigation forensique dans les environnements OT (OT Forensics) présente des défis fondamentalement différents de la forensique IT traditionnelle, en raison des contraintes d'availability, des caractéristiques des équipements industriels et de l'absence de journalisation native sur de nombreux systèmes de contrôle. Ces particularités rendent la réponse aux incidents et la collecte de preuves après une cyberattaque OT particulièrement complexes. La première contrainte majeure est la priorité absolue à la disponibilité du processus industriel : dans la plupart des installations, arrêter un automate PLC ou isoler un équipement pour investigation forensique n'est pas possible sans arrêter le processus de production, ce qui a des coûts économiques significatifs et parfois des implications de sécurité (processus chimiques qui ne peuvent pas être arrêtés brutalement). L'investigateur doit adapter ses techniques pour collecter des artefacts "à chaud" sans interrompre le processus. Les équipements OT présentent des limitations majeures pour la forensique : les automates PLC n'ont généralement pas de journaux d'événements détaillés (qui a accédé, quelles commandes ont été exécutées), les systèmes SCADA legacy tournant sur Windows XP/2003 ne supportent pas les agents forensiques modernes, les protocoles industriels n'enregistrent pas les tentatives d'accès non autorisées, et la mémoire volatile des PLC (RAM contenant le programme en cours d'exécution) se perd à l'arrêt de l'automate. Des techniques forensiques OT spécialisées ont émergé : analyse des journaux de communication réseau (capturés par les solutions de monitoring passif), analyse des journaux de l'historien de données (valeurs de processus permettant de reconstituer la chronologie des événements), extraction des programmes PLC pour comparaison avec les références (détection de modifications), et analyse des fichiers journaux des logiciels SCADA.