Waterfall Security Gateway

Définition

Une Waterfall Security Gateway (passerelle de sécurité unidirectionnelle ou à cascade) est un dispositif de sécurité réseau physiquement contraint qui ne permet le flux de données que dans une seule direction : du réseau OT vers le réseau IT, ou inversement selon la configuration. Contrairement à un firewall logiciel bidirectionnel qui peut être mal configuré ou compromis, une passerelle waterfall impose une unidirectionnalité par construction physique, rendant tout flux de retour physiquement impossible. Le terme "waterfall" (cascade d'eau) illustre le principe : l'eau ne remonte pas naturellement une cascade. De même, les données ou les commandes ne peuvent pas retourner d'un réseau de destination vers un réseau source à travers ce dispositif. Cette approche est distincte du data diode qui utilise des composants optiques physiques, la passerelle waterfall pouvant intégrer des capacités de traitement et de protocole plus sophistiquées. Ces passerelles sont particulièrement utilisées pour protéger les réseaux OT critiques tout en permettant le partage de données opérationnelles vers les systèmes de supervision et d'analyse. Un cas d'usage typique : l'historien de données industrielles (PI Historian) reçoit des données temps réel du réseau de contrôle via une passerelle waterfall, sans qu'aucune connexion inverse ne soit possible depuis l'IT vers l'OT. Du point de vue des menaces, une passerelle waterfall élimine totalement la possibilité d'attaques de type commande-et-contrôle (C2) depuis l'extérieur vers les systèmes OT, puisqu'aucun paquet entrant ne peut physiquement atteindre le réseau de contrôle. Elle protège également contre les rebonds latéraux IT-vers-OT qui constituent le vecteur d'attaque majoritaire dans les incidents OT documentés. Les limites incluent le coût plus élevé que des solutions logicielles, la nécessité de protocoles spécifiques pour la réplication de données, et l'impossibilité de maintenir des connexions distantes bidirectionnelles vers les équipements OT, ce qui peut compliquer la maintenance à distance.