Cisco dote les équipements industriels d’une intelligence serveurs
La plateforme logicielle Edge Intelligence est installable dans les équipements réseaux des usines pour les transformer en serveurs d’applications analytiques et sondes de sécurité.
Après avoir lancé l’année dernière toute une série d’équipements réseaux pour les industriels, Cisco les dote à présent de deux plateformes logicielles qui les transforme en véritables serveurs de Edge Computing. Les commutateurs Catalyst IE3400 et IC3000, ainsi que la passerelle IR1101, tous dans un format qui les rend accrochables dans des armoires électriques, sont à présent livrés avec l’environnement d’exécution Cisco Edge Intelligence et, en option, avec la suite de monitoring Cyber Vision. Cette dernière est la nouvelle incarnation de la plateforme de sécurité du Français Sentryo, un éditeur que Cisco a racheté il y a moins d’un an.
« L’idée est d’apporter au monde de l’OT – c’est-à-dire l’informatique industrielle qui pilote des machines-outils – les mêmes outils d’analyse et de sécurité que ceux que nous trouvons dans l’IT – à savoir l’informatique traditionnelle des datacenters. Car nous sommes convaincus que ce sont désormais les mêmes personnes qui chapeauteront ces deux branches technologiques », a expliqué au MagIT Fayçal Hadj, architecte en solutions IoT et IPv6 chez Cisco, lors de l’événement Cisco Live qui se tenait fin janvier à Barcelone.
Le concept n’est pas nouveau chez Cisco. En 2016, l’équipementier lançait déjà IOX, un Linux embarqué, à la fois capable d’exécuter en containers des applications de monitoring traditionnelles sur des équipements industriels et intégrant les fonctions d’IOS, le système des switches et routeurs Cisco.
Analyser en moins d’une milliseconde, de manière sécurisée
« Sauf que, à l’époque, les gens de l’OT n’ont pas voulu en entendre parler, ils voyaient d’un mauvais œil que des outils relevant de la DSI débarquent sur leurs plateformes. A la place, ils ont écouté les sirènes des fournisseurs de cloud qui leur promettaient des outils en ligne indépendants. Mais il se sont rendu compte entretemps que ces solutions ne répondent pas au besoin d’exécuter certains traitements en moins d’une milliseconde. Et, pire, qu’elles exposaient leurs installations à des failles de sécurité inédites. Quatre ans plus tard, nous avons donc revu notre copie avec une solution plus complète, qui doit marier les intérêts des gens de l’OT et de l’IT », raconte Éric Greffier, le directeur général de Cisco EMEA.
« Lorsque nous avons voulu ouvrir nos machines-outils à des logiciels de contrôle en ligne, nous nous sommes rendu compte que c’est Internet [..] qui avait [..] accès à nos équipements industriels. »
Stéphane ChopardResponsable sécurité, Airbus Hélicoptères
Un récit que confirme, sur scène, Stéphane Chopard, le responsable de la sécurité chez Airbus Hélicoptères :
« Lorsque nous avons voulu ouvrir nos machines-outils à des logiciels de contrôle en ligne, nous nous sommes rendu compte que c’est Internet tout entier qui avait à présent accès à nos équipements industriels. Nous avons commencé à faire des audits et avons réalisé que nous avions sur l’informatique industrielle des failles structurelles au regard de l’IT traditionnelle. Nous avons alors acquis la conviction que tout devait être intégré dans les mêmes systèmes de supervision. »
Eric Greffier ajoute que le changement de culture au niveau des équipes OT est aussi dû à la popularisation des réseaux IP, et en particulier l’adoption du très sécurisé IPv6, sur les chaînes industrielles.
Edge Intelligence, pour transformer un équipement industriel en serveur
La plateforme Edge Intelligence repose désormais sur le Linux embarqué Yocto. Selon la capacité de traitement des machines, celui-ci exécute des applications soit en machine virtuelle, soit en container.
« Les applications en elles-mêmes sont fournies par des partenaires qui conçoivent à notre format, des logiciels sur-mesure », indique Fayçal Hadj en présentant un outil tiers destiné à un géant de l’énergie. Cet outil sert à mesurer en divers points d’un réseau de distribution hydraulique, la qualité de l’eau comme les volumes perdus au long du parcours et active des alertes dans une console. « Outre l’exécution de ces applications, Edge Intelligence se charge d’exposer les données vers des services en ligne pour des traitements à postériori plus approfondis. »
« Lorsqu’un industriel souhaite remplacer le service en ligne qu’il utilise par un autre, il n’a pas besoin d’aller sur chacun de ses équipements pour les re-paramétrer. La bascule se fait automatiquement sur toute la flotte. »
Fayçal HadjArchitecte en solutions IoT et IPv6, Cisco
Le grand intérêt de la plateforme Edge Intelligence est surtout qu’elle permet de démarrer ou de reconfigurer jusqu’à 1000 serveurs en même temps. « C’est-à-dire que lorsqu’un industriel souhaite remplacer le service en ligne qu’il utilise par un autre, il n’a pas besoin d’aller sur chacun de ses équipements pour les re-paramétrer. La bascule se fait automatiquement sur toute la flotte », ajoute Fayçal Hadj.
Protéger les flux collectés sur les machines-outils comme ceux des datacenters
Cyber Vision n’est ni plus ni moins qu’une application exécutée par Edge Intelligence. « Sentryo fabriquait des sondes matérielles pour monitorer les flux réseaux. Nous en avons fait un agent, c’est-à-dire une sonde logicielle qui tient dans un container », ajoute-t-il.
Relié à une console de monitoring centralisée, appelée Operational Insights Threat Detection, Cyber Vision apporte trois fonctions. D’abord, l’inventaire des équipements et des types de données qu’ils communiquent. Ensuite, la détection d’une anomalie dans le flux des communications, cette anomalie pouvant autant indiquer le débranchement d’un appareil que l’existence d’une activité suspecte. Et enfin, la cyber-protection, avec l’observation du respect de règles qui définissent quel appareil a le droit de communiquer quel type de données avec quel autre appareil.
Cyber Vision ne fait que remonter des données de contexte. Les fonctions de Cyber Vision sont en réalité exécutées par Stealthwatch, pour le flot de données, et ISE pour les accès, deux moteurs de Cisco servant d’ordinaire dans la sécurité du réseau IT.
« Nous sommes convaincus que les compétences nécessaires pour utiliser ces outils se trouveront parmi les équipes IT. C’est pourquoi toute notre offre consiste, en somme, à nous assurer que les données collectées au niveau des machines-outils soient aussi bien traitées que les données collectées au niveau du datacenter », conclut Fayçal Hadj.
