Les automates industriels exposés sur Internet sont devenus l’une des portes d’entrée les plus rentables pour les attaquants. Une recherche récente de Forescout a recensé plus de 4 000 contrôleurs Rockwell / Allen-Bradley accessibles publiquement, dont plusieurs situés dans des villes opérant des systèmes de traitement d’eau. Le problème n’est pas une faille exotique : c’est un automate branché sur une IP publique, sans authentification, que personne n’a inventorié. Ce tutoriel explique comment identifier, cartographier et refermer cette surface d’exposition OT dans une PME ou une ETI industrielle.
Pourquoi les automates industriels exposés sont un risque systémique
Un automate programmable (API, ou PLC) n’a jamais été conçu pour Internet. Les protocoles historiques — EtherNet/IP, Modbus/TCP, CIP, S7comm — n’embarquent ni chiffrement ni authentification forte. Dès qu’un contrôleur est joignable depuis l’extérieur, un attaquant peut :
- lire la configuration complète du process et le programme ladder ;
- modifier des consignes (débits, pressions, dosages chimiques) sans déclencher d’alerte ;
- forcer un arrêt d’automate, avec un impact physique immédiat sur la production ;
- utiliser l’automate comme point de rebond vers le réseau IT de l’entreprise.
Dans la majorité des cas observés, l’exposition n’est pas volontaire. Elle vient d’un accès distant ouvert par un intégrateur pour la maintenance, d’une règle NAT oubliée sur le routeur du site, ou d’une carte 4G installée sur une machine par le constructeur sans que l’équipe IT en soit informée. C’est exactement le même schéma que celui décrit dans notre article sur les consoles RMM exposées : un outil de confort d’exploitation qui devient un point d’entrée non supervisé.
Étape 1 : inventorier vos automates industriels exposés
Vous ne pouvez pas protéger ce que vous ne connaissez pas. Le premier livrable est un inventaire OT complet, réconcilié entre trois sources.
Vue externe : ce que voit l’attaquant
Commencez par la vision Internet de vos plages IP publiques. Les moteurs de recherche d’équipements connectés (Shodan, Censys, ou l’outil européen Onyphe) indexent déjà vos automates si vous en avez d’exposés. Recherchez vos préfixes IP et votre nom d’organisation, puis vos protocoles industriels sur les ports caractéristiques :
- 44818/TCP — EtherNet/IP (Rockwell, Allen-Bradley)
- 502/TCP — Modbus/TCP
- 102/TCP — S7comm (Siemens)
- 20000/TCP — DNP3
- 4840/TCP — OPC UA
- 47808/UDP — BACnet (GTB, CVC)
Faites la même recherche sur les plages IP de vos sites distants, filiales et prestataires. Les automates industriels exposés se trouvent rarement au siège : ils sont sur une usine secondaire, une station de pompage ou un site logistique.
Vue interne : découverte passive
Sur le réseau industriel, proscrivez le scan actif agressif : un balayage de ports mal calibré peut faire tomber un automate ancien. Privilégiez l’écoute passive via un port miroir (SPAN) sur le commutateur cœur de l’atelier, avec un analyseur qui reconnaît les protocoles OT. Vous obtiendrez la liste des équipements, leurs versions de firmware et les flux réels entre stations.
Vue contractuelle : les accès des intégrateurs
Demandez par écrit à chaque constructeur et intégrateur la liste des accès distants dont il dispose sur vos installations : VPN, boîtier 4G, TeamViewer industriel, passerelle cloud du fabricant. Cette liste révèle presque toujours au moins un accès que l’IT ignorait.
Étape 2 : refermer l’exposition des automates industriels
Une fois l’inventaire fait, l’objectif est simple : zéro automate joignable directement depuis Internet. Aucune exception, y compris pour la maintenance.
- Supprimez les redirections de ports. Sur chaque routeur de site, listez les règles NAT entrantes et supprimez toute redirection vers un équipement OT. Documentez chaque suppression et prévenez l’exploitant avant.
- Remplacez l’accès direct par un accès à la demande. Le prestataire se connecte via un VPN nominatif avec MFA, ouvert uniquement pendant la fenêtre d’intervention, puis refermé. Pas de tunnel permanent.
- Segmentez selon le modèle Purdue. Un pare-feu entre la zone IT (niveau 4) et la zone OT (niveaux 2-3), avec une DMZ industrielle pour les serveurs d’historisation et les passerelles. Le trafic OT ne doit jamais traverser directement vers Internet.
- Filtrez en sortie aussi. Un automate n’a aucune raison d’initier une connexion vers Internet. Une règle de sortie par défaut en refus sur le VLAN industriel détecte immédiatement une compromission.
- Durcissez ce qui peut l’être. Changez les identifiants par défaut, désactivez les services web non utilisés, passez les contrôleurs en mode RUN verrouillé par clé physique quand le matériel le permet.
Étape 3 : surveiller durablement votre surface OT
Refermer l’exposition une fois ne suffit pas : une nouvelle machine arrive, un technicien rouvre un port, une carte 4G est installée. La supervision doit être continue.
- Contrôle mensuel de la surface externe : rescannez vos plages publiques et alertez sur tout nouveau port industriel visible.
- Détection réseau OT : remontez les journaux du pare-feu industriel et de la sonde passive vers votre SIEM. Une règle de corrélation simple — « connexion entrante vers un port OT depuis une IP non référencée » — couvre déjà l’essentiel des scénarios.
- Alerte sur changement de programme : tout téléversement de logique vers un automate en dehors d’une fenêtre de maintenance déclarée doit générer une alerte de niveau élevé.
- Exercice de reprise : vérifiez au moins une fois par an que vous savez restaurer le programme d’un automate depuis une sauvegarde hors ligne.
Ces règles de détection gagnent à être portées par une supervision unifiée IT/OT. C’est la logique que nous décrivons pour réduire le bruit des alertes dans un SOC saturé : peu de règles, très contextualisées, plutôt qu’un déluge d’événements bruts.
Le réflexe à retenir
Les automates industriels exposés ne relèvent pas d’une menace avancée : ils relèvent d’un défaut d’inventaire. Un attaquant n’a besoin ni de zero-day ni d’agent IA pour arrêter une ligne de production dont l’automate répond en clair sur le port 44818. La contre-mesure tient en trois actions mesurables : inventorier ce qui est visible depuis Internet, supprimer chaque accès direct, surveiller mensuellement la réapparition d’une exposition. Pour une PME-ETI industrielle, c’est le meilleur rapport effort/risque de tout le programme cyber.