Replay Attack OT

Définition

Une Replay Attack OT (attaque par rejeu dans les environnements industriels) est une technique d'attaque dans laquelle un acteur malveillant capture des trames de protocoles industriels légitimes et les rejoue ultérieurement pour induire des comportements non désirés dans les systèmes de contrôle. Dans les environnements OT où les protocoles industriels classiques (Modbus, DNP3, IEC 60870) n'intègrent pas de mécanismes anti-rejeu, cette technique permet de reproduire des commandes valides sans avoir à comprendre ou à falsifier le contenu protocolaire. Stuxnet a utilisé une forme sophistiquée de Replay Attack : il enregistrait les valeurs de capteurs normales des centrifugeuses sur une période de 21 secondes, puis les rejouait en boucle vers les systèmes de supervision SCADA pendant que les centrifugeuses étaient pilotées selon des séquences de contrôle dommageables. Les opérateurs observaient des données "normales" repassées en boucle pendant que la destruction physique s'opérait en arrière-plan. Les vecteurs d'attaque par rejeu dans les protocoles OT sont nombreux : rejeu de commandes Modbus d'écriture capturées pour reproduire une action de commande (ouvrir une vanne, arrêter une pompe), rejeu de trames DNP3 pour tromper le SCADA sur l'état d'équipements distants, rejeu de messages GOOSE IEC 61850 pour déclencher de faux déclenchements de disjoncteurs, et rejeu de messages OPC UA non protégés. Les protocoles industriels modernes comme OPC-UA, IEC 62351 et WirelessHART intègrent des mécanismes anti-rejeu (timestamps, numéros de séquence, nonces cryptographiques, HMAC) pour prévenir ces attaques. Leur adoption progressive dans les installations OT améliore la résistance aux attaques par rejeu.

Fonctionnement de l'attaque par rejeu OT

Une Replay Attack OT typique sur Modbus TCP se déroule ainsi : (1) l'attaquant positionne un outil de capture (tcpdump, Wireshark) sur un point réseau stratégique, (2) il enregistre les trames Modbus échangées entre le SCADA et un PLC cible pendant la période normale d'opération, (3) il rejoue sélectivement des trames capturées (ex: la commande d'ouverture d'une vanne) au moment voulu, (4) le PLC qui reçoit une trame Modbus valide (adresse correcte, function code valide, CRC correct) l'exécute sans pouvoir distinguer un message original d'un message rejoué. L'absence de mécanisme de fraîcheur (timestamp ou nonce) dans Modbus rend cette attaque triviale.

Contexte OT/ICS et impact de Stuxnet

La technique de replay de données capteurs utilisée par Stuxnet est la forme la plus subtile et la plus efficace d'une Replay Attack OT : elle ne cible pas les commandes (qui auraient pu déclencher des alarmes process) mais les données de supervision, trompant les opérateurs sur l'état réel du système. En faisant croire que les centrifugeuses fonctionnaient normalement pendant qu'elles étaient détruites, Stuxnet a retardé la détection de l'attaque de plusieurs semaines, maximisant les dommages physiques.

Sécurité et mitigation

Protection contre les Replay Attacks OT : migrer vers des protocoles avec mécanismes anti-rejeu natifs (OPC-UA avec sécurité activée, IEC 61850 avec IEC 62351, DNP3 SA avec authentification), déployer une surveillance réseau OT pour détecter des patterns de trafic anormaux (même trame répétée plusieurs fois, trafic hors des périodes normales), implémenter des cross-checks physiques indépendants (capteurs redondants sur voies indépendantes) pour détecter les incohérences entre données supervisées et données alternatives, et former les opérateurs à valider manuellement les lectures suspectes sur des équipements locaux.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis