Quand on me demande quelle architecture IoT déployer pour détecter une cyberattaque industrielle en moins de 48 heures avec un budget de 50k€, je réponds toujours de manière pragmatique : il faut prioriser la visibilité, la rapidité d’alerte et la robustesse opérationnelle plutôt que chercher la solution parfaite à tout prix. Voici mon approche, éprouvée sur des projets de PME industrielles, qui combine capteurs, réseau, collecte de données, analyse en temps réel et procédures de réponse — le tout pour rester dans une enveloppe financière réaliste.
Objectif opérationnel
Mon objectif est simple : atteindre une détection fiable d'anomalies indicative d'une cyberattaque (scans, mouvements latéraux, commandes anormales, exfiltration) en moins de 48 heures à partir du déploiement. Cela inclut la mise en place d'alertes exploitables (faible bruit), des tableaux de bord pour les équipes OT/IT et des playbooks d'intervention.
Principes qui guident l’architecture
Visibilité OT prioritaire : il faut instrumenter les segments critiques (PLC, SCADA, passerelles, HMIs).Isolation des flux : capteurs passifs et non intrusifs quand l'environnement OT l'exige.Analyse hybride : corrélation locale (edge) + analyse centrale pour réduire la latence.Open standards & modularité : éviter le verrouillage par un unique fournisseur pour rester dans le budget.Schéma d’architecture proposé
Voici les couches que je déploie :
1. Sondes passives réseau OT : TAPs ou SPAN vers des sondes de capture (PCAP), capables d'analyser Modbus, OPC-UA, Ethernet/IP, Profinet.2. Collecte Edge : petits serveurs industriels (ex : Intel NUC industrial, Dell Edge Gateway, ou Raspberry Pi 4 industrialisé) qui exécutent des agents d'analyse comportementale (sur site) et envoient des méta-données au cloud.3. Bus de messages sécurisé : MQTT over TLS ou Kafka léger pour centraliser les événements sans surcharger la SCADA.4. Plateforme d’analytics : une solution SIEM/EDR légère ou une stack open-source (Elastic Stack + Wazuh) pour corrélation, détection d'anomalies et gestion des alertes.5. Tableau de bord et playbooks : Grafana/Kibana pour la supervision, et procédures d'escalade prêtes à l'emploi intégrées au système.Composants que je recommande
Sur la base de mon expérience :
Sondes réseau : nDPI ou Zeek (open-source) pour parsing protocoles industriels ; ou sondes commerciales comme Nozomi Networks Small Appliance si le budget le permet.Edge compute : Intel NUC i3 industrial (~600-900€), ou Advantech/Siemens IoT gateways selon contraintes environnementales.Transport : MQTT via Mosquitto (open-source) ou Confluent Kafka pour scale.Analyse & SIEM : Elastic Stack (ElasticSearch + Logstash + Kibana) + Wazuh pour détection host/endpoint ; alternative commerciale : Splunk ou Rapid7 si budget plus flexible.Orchestration : Ansible pour déploiement automatisé, et Unifi/TP-Link pour réseau sécurisé de site si besoin.Plan de déploiement sur 48 heures (phases rapides)
Voici le déroulé que je préconise pour atteindre la détection en moins de 48 heures :
Jour 0 — Préparation (2-4 heures) : cartographie rapide des assets critiques, VLANs et points d'interconnexion IT/OT.Jour 0 — Livraison & configuration des sondes (4-8 heures) : installation physique des sondes passives sur les trunk links, brancher les edge gateways.Jour 1 — Mise en route des agents Edge (6-8 heures) : démarrage des agents Zeek/Wazuh/Telegraf, vérification des flux, ingestion initiale.Jour 1 — Règles & baselines (8-12 heures) : déployer règles signatures simples (scans connus, brute-force) et démarrer apprentissage comportemental (baseline réseau).Jour 2 — Tuning et tableaux de bord (4-6 heures) : création d'alertes prioritaires, playbook d’intervention et formation express des opérateurs.Répartition budgétaire indicative
| Poste | Montant (€) |
|---|
| Matériel (sondes passives x2, NUC x2, câbles) | 12 000 |
| Logiciels & licences (Elastic + Wazuh hébergé ou SaaS minimal) | 8 000 |
| Réseau & sécurité (switch, TAP, licences VPN) | 6 000 |
| Intégration & déploiement (3 jours d'un consultant) | 12 000 |
| Formation + playbooks | 4 000 |
| Support 6 mois (SLA minimal) | 6 000 |
| Total | 48 000 |
Cette répartition me permet de rester sous les 50k€ tout en conservant une marge pour imprévus. Si vous avez déjà du matériel réseau ou une plateforme cloud, le coût peut diminuer significativement.
Cas d’usage concrets et règles de détection
Pour vraiment détecter une attaque industrielle, je me concentre sur quelques vecteurs observables :
Augmentation des scans réseau : règles sur Zeek/Suricata détectent scans massifs ou sweeps sur ports SCADA.Commandes anormales sur bus industriel : détection de séquences Modbus/OPC-UA non conformes aux patterns habituels.Modification de firmware ou connexions à distance inconnues : collecte de logs d’authentification et alertes Wazuh sur changements de fichiers binaires.Exfiltration : monitoring des flux sortants, détection de compression/chiffrement inhabituel vers IP externes.Astuce pratique : réussir la phase 0-48h
Dans les premières 48 heures, ne cherchez pas l’exhaustivité. Mon conseil : déployer des capteurs sur les points de transit critiques (Edge/IT-OT, DMZ, passerelles Internet) et activer des règles simples mais efficaces (scans, anomalies de protocole, connexions externes). Ce sont ces signaux-là qui vous donneront le plus de chance de détecter une attaque rapide.
Si vous voulez, je peux vous fournir une checklist de déploiement prête à l’emploi et un playbook d’alerte que vos équipes peuvent utiliser dès le premier jour. Dites-moi la taille de votre site (nombre de PLC, SCADA, opérateurs) et je l’adapterai.
