Un commutateur Ethernet administrable dans un réseau SCADA ou DCS est bien plus qu’un simple multiplicateur de ports. Il contrôle les chemins du trafic, expose les diagnostics et peut soit limiter, soit amplifier les effets d’une erreur de configuration.

L’objectif d’ingénierie n’est pas d’utiliser un maximum de fonctionnalités. Il consiste à garantir des communications prévisibles, un accès de gestion restreint et suffisamment d’éléments pour diagnostiquer les défaillances sans perturber le processus.

Une conception en couches sépare le contrôle de terrain, les systèmes de supervision, les opérations du site et les échanges de données avec l’entreprise.

Commencer par le trafic et les conséquences

Documentez chaque contrôleur, IHM, historien, station d’ingénierie, passerelle et voie d’accès à distance avant de modifier les paramètres du commutateur. Notez les protocoles requis, les pairs, les fréquences de mise à jour, le comportement multicast et les attentes en matière de reprise.

Cet inventaire transforme la segmentation en décision d’ingénierie. Un VLAN n’est pas à lui seul une frontière de sécurité, sauf si le routage et les règles de pare-feu imposent les voies de communication prévues.

La norme NIST SP 800-82 Rév. 3 décrit la sécurité des systèmes OT dans le contexte des performances, de la fiabilité et de la sûreté. Les recommandations de la CISA mettent également l’accent sur la segmentation et l’échange contrôlé de données entre les systèmes critiques et les services d’entreprise.

Séparer la gestion du trafic de processus

Placez les interfaces de gestion des commutateurs sur un réseau de gestion dédié. N’autorisez l’accès que depuis des hôtes d’administration autorisés, via des pare-feu ou des listes de contrôle d’accès définis.

Désactivez les services de gestion inutilisés. Privilégiez SSH et HTTPS lorsque le commutateur les prend en charge. Évitez Telnet et HTTP non chiffré, car les identifiants et les sessions pourraient être exposés.

Modifiez les identifiants par défaut, utilisez des comptes nominatifs et appliquez des autorisations fondées sur les rôles. L’authentification centralisée peut améliorer la traçabilité, mais le site doit également disposer d’une méthode de récupération documentée lorsque le service d’authentification est indisponible.

Protéger l’accès local

L’accès par console reste précieux lors de la mise en service et des défaillances réseau. L’accès physique doit donc être contrôlé et les identifiants locaux ne doivent pas être partagés à la légère.

Une configuration enregistrée ne doit contenir ni mots de passe de démonstration ni identifiants par défaut du fabricant. Conservez les identifiants de récupération conformément au processus d’accès approuvé par le site.

Utiliser une segmentation adaptée aux opérations

Regroupez les appareils selon leur fonction, leurs conséquences potentielles et leurs besoins de communication. Il peut s’agir notamment de cellules de contrôleurs, de systèmes de protection, de serveurs de supervision, d’équipements liés à la sécurité et d’accès de maintenance.

Ne créez pas un VLAN d’usine plat simplement parce que tous les appareils utilisent Ethernet industriel. Une station de travail compromise ou une tempête de diffusion pourrait alors atteindre des équipements qui n’ont jamais eu besoin de communiquer directement.

Un VLAN de gestion ne doit être accessible que par des voies d’administration approuvées.

Lorsque des protocoles multicast sont présents, vérifiez l’écoute IGMP, l’emplacement du requêteur et le comportement de la redondance. Une conception multicast incorrecte peut surcharger les ports ou interrompre les E/S, même lorsque les tests unicast ordinaires sont concluants.

Le matériel d’interface et de passerelle correspondant peut être consulté dans la collection Communication & Networking. Les plateformes de contrôle sont regroupées dans PLC & PAC Systems.

Concevoir la redondance comme un système

Les liaisons redondantes nécessitent un protocole documenté et un temps de convergence testé. Ajouter des câbles parallèles sans protection contre les boucles peut provoquer une tempête de diffusion au lieu d’assurer la résilience.

Vérifiez si le réseau utilise Rapid Spanning Tree, un protocole de boucle propre au fabricant, le Media Redundancy Protocol ou une autre méthode. Confirmez la compatibilité de tous les commutateurs participants.

Testez la défaillance d’un câble, la perte d’alimentation d’un commutateur, la récupération d’un port bloqué et la restauration. Enregistrez les pertes de paquets et le comportement du contrôleur, et pas seulement le temps de convergence indiqué par le commutateur.

La journalisation et la synchronisation temporelle facilitent le diagnostic

Envoyez les événements des commutateurs vers un système de journalisation protégé lorsque cela est possible. Les événements utiles comprennent les changements de liaison, les échecs d’authentification, les modifications de configuration, les transitions de topologie et les alarmes d’alimentation.

Une heure cohérente est essentielle. Sans horloges synchronisées, un opérateur ne peut pas corréler de manière fiable une transition du commutateur avec des défauts d’API, des alarmes d’IHM ou des événements du pare-feu.

SNMP doit être configuré avec discernement. Limitez les stations de gestion et utilisez, lorsque cela est pris en charge, des versions authentifiées et chiffrées. Évitez d’exposer de larges autorisations d’écriture.

Mettre en service les modifications sans créer de risques cachés

Sauvegardez la configuration active avant toute intervention. Notez le modèle du commutateur, le micrologiciel, la configuration active, les ports connectés et la méthode de restauration.

Appliquez les modifications pendant une fenêtre approuvée. Après chaque étape importante, validez les communications de processus, la transmission des alarmes, les mises à jour de l’historien, la redondance, l’accès à distance et la synchronisation temporelle.

Les mises à jour du micrologiciel exigent la même rigueur que les modifications des contrôleurs. Consultez les avis du fabricant, testez la version cible en laboratoire et vérifiez qu’une image de récupération est disponible.

Opinion de l’auteur : les commutateurs administrables créent de la valeur lorsque leur configuration est compréhensible et récupérable. Une conception complexe sans responsable désigné, sans sauvegardes et sans comportement en cas de défaillance testé est plus difficile à exploiter qu’un réseau plus simple et documenté.