Spécial - Panel Propolys - Innovation en cybersécurité - part 1
14 mai 2025
Parce que... c'est l'épisode 0x595!
Teknik - Tout ce que vous avez toujours voulu savoir sur la cryptographie post-quantique sans jamais oser le demander
09 avril 2025
Parce que... c'est l'épisode 0x594!
Spécial - NorthSec 2025 Panel
15 mai 2025
Parce que... c'est l'épisode 0x593!
H'umain - Ingénierie sociale et IA - Une menace ou un atout pour la défense ?
09 avril 2025
Parce que... c'est l'épisode 0x592!
Actualités Cyber Citoyen au 20 mai 2025
20 mai 2025
Parce que... c'est l'épisode 0x591!
Teknik - L'IA dans le contexte d'un CtF (Northsec)
16 mai 2025
Parce que... c'est l'épisode 0x590!
Spécial - Cybersécurité dans le secteur de la santé
08 avril 2025
Parce que... c'est l'épisode 0x589!
SéQCure/Spécial - Histoires d’erreurs
08 avril 2025
Parce que... c'est l'épisode 0x588!
Spécial - Souveraineté numérique - part 2
07 mai 2025
Parce que... c'est l'épisode 0x587!
Teknik - Revue de code - ChatGPT face aux vulnérabilités OWASP Top 10
08 avril 2025
Parce que... c'est l'épisode 0x586!
Spécial - Cyberchill numéro 4 - Des questions
24 avril 2025
Parce que... c'est l'épisode 0x585!
Teknik - Cyberdéfense en profondeur - Naviguer dans les défis de cybersécurité des technologies multi-environnements
08 avril 2025
Parce que... c'est l'épisode 0x584!
SéQCure/H'main - Vous avez dit IA? Et si nous parlions plutôt d'IH? - Récit d'une ex-CPO
28 mars 2025
Parce que... c'est l'épisode 0x583!
SéQCure/Teknik - Analyse et enseignements d’attaques sur le Cloud
27 mars 2025
Parce que... c'est l'épisode 0x582!
Spécial - Écosystème de cybersécurité de la Nouvelle-Zélande
26 mars 2025
Parce que... c'est l'épisode 0x581!
H'umain - Santé - Préparer l’avenir des soins
04 avril 2025
Parce que... c'est l'épisode 0x580!
Spécial - Souveraineté numérique - part 1
18 avril 2025
Parce que... c'est l'épisode 0x579!
Actualités Cyber Citoyen au 16 avril 2025
16 avril 2025
Parce que... c'est l'épisode 0x578!
Teknik - Identité dans l'univers des TO
13 mars 2025
Parce que... c'est l'épisode 0x577!
Parce que… c’est l’épisode 0x577!
Préambule
Nous avons rencontré quelques problèmes de stabilité avec l’enregistrement de Camille.
Shameless plug
- 10 au 18 mai 2025 - NorthSec
- 03 au 05 juin 2025 - Infosecurity Europe
- 27 et 29 juin 2025 - LeHACK
- 12 au 17 octobre 2025 - Objective by the sea v8
- 10 au 12 novembre 2025 - IAQ - Le Rendez-vous IA Québec
- 17 au 20 novembre 2025 - European Cyber Week
- 25 et 26 février 2026 - SéQCure 2065
Description
Ce podcast, animé par Nicolas-Loïc avec les invités Camille Felx-Leduc et Steve Bélanger, aborde la gestion de l’identité dans les environnements OT (technologies opérationnelles) par rapport aux environnements IT (technologies de l’information).
Les défis de l’Active Directory (AD) en environnement OT
Les intervenants soulignent que l’Active Directory, conçu pour les environnements bureautiques, a été transposé dans les environnements industriels, créant plusieurs problèmes :
- L’AD est intrinsèquement complexe et difficile à sécuriser correctement
- Sa configuration requiert une expertise spécifique souvent absente des équipes OT
- La rétrocompatibilité excessive de l’AD permet l’utilisation de protocoles obsolètes (NTLM v1, SMB v1)
- La synchronisation temporelle est critique - un décalage de plus de 5 minutes entre systèmes peut corrompre l’AD
- L’organisation par défaut des AD n’est pas optimale pour la sécurité (objets placés dans “Computers” plutôt que dans des unités organisationnelles)
Les tensions entre sécurité et opérations
Le podcast met en lumière les contradictions entre les exigences de sécurité IT et les réalités opérationnelles :
- Les politiques de changement fréquent de mots de passe deviennent problématiques pour les opérateurs en usine portant des équipements de protection
- Les verrouillages automatiques de session après 15 minutes sont inadaptés aux environnements industriels où les opérateurs peuvent travailler plusieurs heures sur un même poste
- Les contrôles d’accès physiques déjà en place dans les installations industrielles sont souvent ignorés dans la conception des politiques de sécurité
La conception centrée sur l’humain
Les participants soulignent l’importance d’adapter les solutions de sécurité au contexte d’utilisation :
- Les solutions doivent être conçues en observant les opérateurs dans leur environnement réel de travail
- Les badges d’accès pourraient servir de jetons d’authentification dans certains contextes industriels
- La sécurité doit tenir compte des contraintes physiques (gants, masques, environnements extrêmes)
- Le principe du “capitaine à bord” dans certains environnements OT (un opérateur responsable pendant son quart) offre une couche de contrôle humain qui peut compenser certaines limites techniques
Les vulnérabilités spécifiques aux environnements OT
Le podcast identifie plusieurs pratiques problématiques :
- La réutilisation des mêmes identifiants entre environnements IT et OT
- L’utilisation excessive des comptes administrateurs par défaut (“admin/admin”)
- La gestion déficiente des comptes de service
- Les architectures qui permettent d’accéder directement aux données des systèmes OT depuis l’IT
- L’absence de documentation des identités utilisées
Les bonnes pratiques recommandées
Les intervenants proposent plusieurs solutions :
- Séparer les AD des environnements IT et OT
- Privilégier une architecture où les données sont “poussées” de l’OT vers l’IT plutôt que “tirées”
- Implémenter des DMZ et respecter le modèle Purdue pour la segmentation réseau
- Adapter les politiques de sécurité aux réalités opérationnelles
- Faire des tests de pénétration adaptés aux environnements OT
- Terminer automatiquement les sessions inactives après une période raisonnable
Conclusion
La discussion souligne l’importance d’une meilleure collaboration entre les équipes IT et OT. Les intervenants notent que les environnements industriels, souvent situés dans des zones éloignées, peuvent avoir des difficultés à attirer des talents en cybersécurité. Ils mentionnent l’émergence de services gérés pour les environnements OT, similaires aux MSP (Managed Service Providers) en IT, comme une solution potentielle à ce défi.
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux virtuels par Riverside.fm
Tags: ad, identite, to
Tweet