TL;DR
Le modèle de Purdue est le cadre conceptuel de référence pour architecturer la séparation entre les réseaux bureautiques et les systèmes de contrôle industriel. Il organise les systèmes industriels en niveaux fonctionnels distincts (0 à 5), dont chaque frontière devrait faire l’objet d’une segmentation réseau explicite.
65 % des environnements OT présentaient des conditions d’accès distant non sécurisées en 2024 (Forescout), preuve que posséder une architecture Purdue sur un schéma ne garantit pas sa mise en oeuvre réelle.
En mission de pentest industriel, le modèle sert de carte pour identifier les niveaux, cartographier les points de passage entre eux, et évaluer si la segmentation annoncée est réellement effective ou seulement documentée.
Quand une équipe de sécurité industrielle doit expliquer pourquoi un automate programmable ne devrait pas être accessible depuis le réseau bureautique, elle se heurte à un problème de vocabulaire commun. Les ingénieurs systèmes industriels, les équipes IT et les responsables sécurité n’ont pas nécessairement le même référentiel pour parler de la même chose.
Le modèle de Purdue résout ce problème. Développé à l’Université Purdue au début des années 1990 par Theodore J. Williams et publié en 1992 sous le nom de Purdue Enterprise Reference Architecture (PERA), il fournit une grille de lecture commune pour organiser les systèmes d’une installation industrielle en couches fonctionnelles distinctes. Ce n’était pas à l’origine un cadre de sécurité, mais un modèle d’architecture de production. C’est la communauté de la sécurité industrielle qui l’a adopté comme référence pour structurer la segmentation réseau, et la norme IEC 62443 qui lui a donné une assise réglementaire.
Cet article explique ce que le modèle de Purdue décrit réellement, comment un pentester l’utilise pour structurer une mission industrielle, comment une équipe défensive peut s’en servir pour évaluer sa propre segmentation, et pourquoi sa simple présence sur un schéma d’architecture ne constitue pas une garantie de sécurité.
Ce que le modèle de Purdue décrit réellement
Les cinq niveaux du modèle
Le modèle organise les systèmes d’une installation industrielle en cinq niveaux numérotés de 0 à 4, auxquels les praticiens de la sécurité ont ajouté un niveau 5 pour désigner le réseau d’entreprise étendu, et un niveau intermédiaire 3,5 pour la zone démilitarisée industrielle.
Le niveau 0 désigne le procédé physique lui-même, les capteurs qui mesurent une température, une pression ou un débit, et les actionneurs qui agissent sur le procédé en ouvrant une vanne ou en actionnant un moteur.
Le niveau 1 regroupe les dispositifs intelligents qui pilotent directement ces équipements de terrain, principalement les automates programmables industriels (PLC) et les contrôleurs de débit ou de régulation (RTU).
Le niveau 2 est celui des systèmes de supervision et de contrôle, les interfaces homme-machine (HMI), les systèmes SCADA et les DCS (Distributed Control Systems) qui permettent à un opérateur de visualiser et de piloter le procédé.
Le niveau 3 constitue la couche de gestion des opérations industrielles, les historiens de données qui collectent les valeurs de capteurs pour les rendre disponibles aux systèmes amont, les stations d’ingénierie depuis lesquelles les équipes de maintenance configurent les automates, et les systèmes d’exécution de la production (MES).
Le niveau 4, voire 5, désigne les systèmes d’information de l’entreprise, l’ERP, les outils de gestion, la messagerie, les outils bureautiques. C’est ce que l’on appelle le réseau IT, par opposition aux niveaux 0 à 3 qui constituent le réseau OT.
La zone démilitarisée industrielle, souvent positionnée entre les niveaux 3 et 4 sous la dénomination de niveau 3,5, est un espace réseau contrôlé depuis lequel les flux entre OT et IT sont censés transiter, filtrés et journalisés, sans connexion directe entre les deux environnements.
Ce que le modèle dit, et ce qu’il ne dit pas
Le modèle de Purdue dit comment organiser les systèmes par niveaux fonctionnels. Il ne dit pas quelles règles de filtrage appliquer entre chaque niveau, quels protocoles autoriser, quelle solution technique utiliser pour implémenter la DMZ, ni comment gérer les accès distants des prestataires de maintenance constructeurs. C’est précisément ce silence sur l’implémentation qui explique pourquoi deux installations qui affichent toutes les deux une architecture Purdue peuvent présenter des niveaux de sécurité radicalement différents.
La norme IEC 62443 et l’héritage du modèle de Purdue
La norme IEC 62443, qui constitue le référentiel réglementaire de cybersécurité des systèmes d’automatisation et de contrôle industriels, s’appuie sur la logique de séparation par zones et conduits du modèle de Purdue. Elle introduit la notion de zone de sécurité, un ensemble de systèmes qui partagent le même niveau d’exigences de sécurité et qui doivent être isolés des zones adjacentes par des conduits de communication contrôlés. La directive NIS 2 et la sécurité des systèmes industriels détaille les obligations spécifiques qui en découlent pour les entités essentielles et importantes.
Comment le modèle s’articule en mission de pentest industriel
Pour un pentester qui intervient sur un environnement industriel, le modèle de Purdue n’est pas un objectif de conformité à vérifier point par point. C’est une carte de lecture qui permet de structurer la mission, de comprendre la topologie de l’environnement et d’identifier les points de passage entre les niveaux.
La première question à poser lors du cadrage d’une mission industrielle est simple : quels systèmes appartiennent à quels niveaux, et quels flux sont autorisés entre les niveaux ? Cette cartographie initiale révèle presque toujours des écarts entre le schéma d’architecture documenté et la réalité du réseau. Un outil de reconnaissance réseau comme Nmap permet d’identifier rapidement les équipements présents sur chaque segment et de détecter les communications inattendues entre niveaux. C’est souvent à cette étape que les historiens de données mal segmentés, les stations d’ingénierie dual-homed ou les convertisseurs série-IP oubliés apparaissent.
La deuxième question porte sur les équipements qui se trouvent à la frontière entre les niveaux. Un historien de données positionné au niveau 3 doit-il être accessible depuis le niveau 4 sans restriction de compte ou de protocole ? Une station d’ingénierie dispose-t-elle d’une interface réseau sur le niveau 3 et d’une autre sur le niveau 2 ? Ces équipements sont précisément les points de pivot que nous décrivons dans notre article sur le pivot IT/OT.
En pratique, un test d’intrusion industriel bien cadré s’appuie sur le modèle de Purdue pour délimiter les périmètres testés avec le client, définir les règles d’engagement niveau par niveau, et documenter les chemins d’attaque identifiés en référence aux niveaux franchis.
Vue défense : utiliser le modèle pour évaluer sa propre segmentation
Le modèle de Purdue est au moins aussi utile côté défense que côté offensif. Il offre à une équipe de sécurité interne un cadre pour poser des questions précises sur l’état réel de sa segmentation, plutôt que d’accepter la conformité documentaire comme preuve d’efficacité.
Auditer sa propre segmentation avant qu’un attaquant ne le fasse. La démarche consiste à confronter le schéma d’architecture Purdue existant à la réalité du réseau, en posant trois questions pour chaque frontière entre niveaux. Quels flux sont effectivement autorisés ? Quels comptes ont accès aux équipements d’un niveau depuis un niveau supérieur ? Quelle visibilité a-t-on sur les connexions qui transitent aux points de frontière ? Le monitoring Active Directory couvre partiellement cette question pour la couche IT, mais la supervision des flux OT nécessite des sondes spécifiques aux protocoles industriels.
Prioriser les points de frontière plutôt que les niveaux dans leur ensemble. La segmentation Purdue ne sécurise pas les systèmes individuels à l’intérieur d’un niveau. Elle sécurise les frontières entre les niveaux. Un pare-feu industriel correctement configuré sur la frontière entre le niveau 3 et la DMZ apporte plus de protection qu’une multitude de mesures ponctuelles à l’intérieur du niveau 3 sans contrôle rigoureux de ce qui en sort.
Détecter les franchissements non autorisés. La surveillance des frontières entre niveaux doit inclure la détection de toute communication qui ne correspond pas aux flux autorisés documentés. Un protocole OPC-UA initié depuis un poste bureautique vers un automate de niveau 1, une connexion RDP depuis le niveau 4 vers le niveau 3, ou une tentative d’authentification sur un équipement de niveau 2 depuis un compte de domaine IT constituent des signaux d’alerte directs.
Les limites du modèle, une lecture honnête
Un modèle conçu pour une industrie physiquement isolée. Le modèle de Purdue a été pensé pour des installations industrielles où les niveaux étaient physiquement séparés. L’accès distant n’existait pas. La maintenance se faisait sur site. La connectivité cloud n’était pas envisageable. Ces hypothèses fondatrices ne correspondent plus à la réalité de la quasi-totalité des installations industrielles modernes.
Le modèle ne traite pas les accès distants constructeurs. La maintenance à distance par les constructeurs d’équipements est aujourd’hui la norme dans l’industrie. Ces accès traversent structurellement plusieurs niveaux du modèle et ne trouvent pas de réponse dans son architecture originale.
L’Industrie 4.0 remet en question la logique de séparation stricte. La connexion directe d’automates au cloud pour de la télémaintenance, le déploiement de capteurs IoT qui remontent des données vers des plateformes SaaS, ou l’intégration d’ERP avec des données temps réel de production créent des flux qui court-circuitent la logique hiérarchique du modèle. Ces flux ne sont pas nécessairement dangereux, mais ils doivent faire l’objet d’une analyse spécifique.
L’illusion de conformité architecturale. Avoir un schéma Purdue validé par un auditeur ne dit rien de l’état réel du réseau. Les supply chain attacks qui ciblent des composants logiciels partagés entre niveaux, ou les erreurs de configuration qui laissent un port RDP ouvert sur un équipement de niveau 2, sont invisibles sur un schéma d’architecture conforme.
Le modèle ne dit rien de la sécurité à l’intérieur d’un niveau. Deux automates au sein du même niveau 1 peuvent communiquer librement entre eux. Si un attaquant franchit la frontière vers le niveau 1, le modèle de Purdue ne fournit aucun mécanisme de contention à l’intérieur de ce niveau.
Le positionnement de PIIRATES
Nous utilisons le modèle de Purdue comme référentiel de cadrage et de communication dans nos missions de pentest industriel. Il nous permet de structurer rapidement le périmètre d’une mission avec le client, de désigner les zones et les frontières sur lesquelles porte l’évaluation, et de documenter les chemins d’attaque identifiés dans un vocabulaire que les équipes IT, OT et sécurité partagent.
Mais nous ne l’utilisons jamais comme checklist de conformité. La question que nous posons n’est pas "l’architecture correspond-elle au modèle de Purdue ?" mais "les frontières entre niveaux résistent-elles réellement à une tentative de franchissement ?". Ces deux questions n’ont pas nécessairement la même réponse, et c’est précisément l’écart entre les deux qui constitue le périmètre utile d’un test d’intrusion industriel.
Un schéma d’architecture qui affiche une DMZ industrielle bien dessinée ne dit rien des règles de filtrage que ce pare-feu applique concrètement, ni des comptes qui ont été ouverts pour une maintenance d’urgence il y a deux ans et qui n’ont jamais été révoqués. C’est exactement ce que nos pentesters viennent vérifier, indépendamment de ce que la documentation indique.
Votre architecture Purdue résiste-t-elle à une tentative réelle de franchissement ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Non. C’est un modèle d’architecture de référence, pas un texte réglementaire avec des obligations légales. La norme IEC 62443 s’inspire de sa logique de séparation par zones, mais c’est cette norme qui crée des obligations, pas le modèle de Purdue lui-même. La directive NIS 2 impose des exigences de segmentation aux entités essentielles et importantes sans citer explicitement le modèle de Purdue.
Le modèle de Purdue est un cadre conceptuel qui organise les systèmes industriels en niveaux fonctionnels. L’IEC 62443 est une norme de cybersécurité qui définit des exigences concrètes pour sécuriser ces systèmes, organisées autour de la notion de zones et de conduits. L’IEC 62443 utilise la logique de séparation du modèle de Purdue, mais va bien au-delà en prescrivant des niveaux de sécurité (SL 1 à 4) et des processus de management.
Pas nécessairement. La conformité architecturale ne dit rien de l’implémentation réelle des règles de filtrage aux frontières entre niveaux, de la gestion des comptes et des accès distants, ni de la supervision des communications. Un réseau peut afficher une architecture Purdue sur son schéma et présenter des chemins de franchissement directs entre le niveau 4 et les niveaux 1 ou 2.
Les historiens de données (niveau 3), parce qu’ils sont conçus pour communiquer avec les deux environnements, sont les points de pivot les plus fréquents. Les stations d’ingénierie avec plusieurs interfaces réseau, les convertisseurs série-IP hérités et les solutions de télémaintenance constructeurs sont également des points de passage systématiquement identifiés lors de nos évaluations. Notre article sur le pivot IT/OT décrit en détail comment ces équipements sont exploités.
Non, pas au sens d’un audit de conformité documentaire. Un pentest industriel teste si les frontières entre niveaux résistent à une tentative réelle de franchissement, si des comptes ou des protocoles permettent de progresser d’un niveau à l’autre, et si l’organisation serait capable de détecter ce franchissement. Ce sont des questions sur l’efficacité réelle de la segmentation, pas sur sa conformité documentée.
Le modèle de Purdue organise la séparation IT/OT en niveaux fonctionnels. Comment un pentester l’utilise, ses limites réelles, et pourquoi la conformité documentaire ne suffit pas.
