OT Forensics (Investigation numérique industrielle)

Fonctionnement de l'OT Forensics lors d'un incident SCADA

Investigation forensique d'un incident SCADA détecté dans une centrale électrique : Détection : une alerte Dragos identifie des connexions anormales depuis le réseau OT vers une IP inconnue. Plan d'investigation forensique OT : (1) Préservation des preuves volatiles : capture immédiate des connexions réseau actives depuis le SIEM OT (dump des tables de connexion des firewalls industriels, captures du trafic réseau en cours depuis les sondes de monitoring), image forensique de la RAM des stations HMI et SCADA suspectes (si une image disque complète est trop longue pour une station de production, capturer au minimum la mémoire RAM volatile avec un outil forensique adapté), (2) Collecte des logs : export des journaux Windows des serveurs SCADA (Event Viewer - Security, Application, System logs des 30 derniers jours), export des captures réseau depuis les sondes Dragos (pcap des communications des dernières 48h autour de l'incident), export des logs d'alarmes SCADA, (3) Analyse : corrélation temporelle des événements (quel compte a accédé quand, quelles commandes ont été exécutées), identification du vecteur d'accès initial (connexion VPN, accès web SCADA, USB), reconstruction de la timeline de l'attaque, (4) Rapport forensique : document présentant la timeline reconstituée, les indicateurs de compromission identifiés, et les actions recommandées de remédiation.

Contexte OT/ICS et compétences forensics OT

Les compétences forensics OT sont rares car elles nécessitent une double expertise : forensics numérique (collecte de preuves, analyse de logs, investigation Windows) et systèmes industriels (compréhension des protocoles OT, des systèmes SCADA, des historiens). Des formations spécialisées existent (SANS FOR578 Cyber Threat Intelligence, SANS ICS515 ICS Active Defense and Incident Response) mais la demande dépasse largement l'offre. Les MSSP OT spécialisés (Dragos, Claroty, Fortiphyd Logic) proposent des services d'investigation forensique OT pour les organisations ne disposant pas de ces compétences en interne.

Sécurité et mitigation

Préparation pour l'OT Forensics : activer et centraliser la journalisation sur tous les équipements OT pouvant générer des logs (Windows SCADA, firewalls industriels, solutions de monitoring OT), définir la rétention des logs OT (minimum 90 jours pour permettre les investigations post-incident), maintenir des captures réseau historiques depuis les sondes de monitoring OT (la mémoire des captures est une ressource forensique précieuse), documenter les procédures de collecte de preuves forensiques OT adaptées aux contraintes de production, et former au moins un membre de l'équipe aux fondamentaux du forensics OT.