Pentest OT / ICS

Fonctionnement d'un pentest OT

Un pentest OT bien conduit comprend : (1) Phase de préparation critique : définition du périmètre précis, des équipements hors-scope (tout équipement de sécurité ou production critique), des fenêtres d'intervention autorisées (arrêts planifiés, créneaux de faible activité), et des procédures d'arrêt d'urgence du test, (2) Reconnaissance passive : capture réseau SPAN port sans injection, analyse des protocols et équipements détectés, (3) Tests semi-passifs : requêtes à faible risque sur protocoles industriels (lecture seule Modbus/DNP3), (4) Exploitation contrôlée : sur équipements de test uniquement ou avec accord explicite, (5) Simulation d'attaquant APT : pivot IT-OT, accès à des équipements cibles de faible criticité, (6) Rapport avec preuves et recommandations.

Contexte OT/ICS et approche "first do no harm"

Le principe cardinal du pentest OT est "first do no harm" (d'abord ne pas nuire) : la sécurité de l'installation et la continuité du processus industriel priment sur la complétude du test. Des incidents durant des pentests OT mal préparés ont causé des arrêts de production non planifiés coûteux. C'est pourquoi les pentests OT les plus rigoureux incluent un jumeau numérique ou un environnement de test physique reproduisant l'architecture de production, permettant des tests plus agressifs sans risque.

Sécurité et mitigation

Bonnes pratiques pentest OT : exiger que le prestataire dispose de compétences OT certifiées (GICSP, CSSA) et d'une expérience documentée en environnement industriel, définir un périmètre de test précis et des règles d'engagement claires (quels équipements, quelles techniques autorisées, quelles exclusions), avoir un "kill switch" défini : conditions d'arrêt immédiat du test si un impact sur la production est détecté, réaliser le test idéalement pendant un arrêt programmé ou sur un environnement de test dédié, et intégrer les résultats dans le plan de remédiation OT global.