ULTRAMETRIX

Cartographie passive et analyse de risquedes réseaux industriels

La sonde passive UMX Explorer inventorie le réseau industriel sans rien y émettre. UMX Risk Manager en tire une analyse de risque IEC 62443 et un plan d’action chiffré.

Demander une démo
UMX ExplorerRéseauxÉcoute passive
UMX Explorer, vue Réseaux : 55 actifs placés sur cinq niveaux Purdue, de L1 Contrôle de base à L4/5 Entreprise, avec les canaux observés entre sous-réseaux.
Capture d’UMX Explorer sur l’usine de démonstration d’Ultrametrix. L’animation suit les canaux affichés par la capture et n’y ajoute aucune donnée.

Du port miroir
à la page de décision

Le parcours compte quatre étapes. Chaque image est une capture des consoles, prise sur les données de démonstration d’Ultrametrix.

Brancher

La sonde se branche sur un port miroir. Rien n’est installé sur les automates.

Une copie du trafic

Le commutateur recopie le trafic vers la sonde par un port miroir (SPAN) ou un TAP. La sonde écoute sans rien émettre : lors d’un essai de 24 heures sur banc, aucune trame n’est sortie de son port de capture.

Contrôle de chaque port miroir

La console affiche le trafic reçu port par port. La commande umx doctor vérifie que la session miroir transmet bien des échanges entre d’autres machines.

Observer

L’inventaire est établi à partir des échanges observés sur le réseau.

Identification des automates par leurs protocoles

Le constructeur, le modèle et la version du micrologiciel sont lus dans les réponses Modbus, S7 ou EtherNet/IP. Chaque champ indique sa source ; une valeur non vue est marquée « non observé ».

Niveaux Purdue et flux entre réseaux

Chaque actif est placé d’après la structure des échanges, jamais d’après une plage d’adresses. Les flux entre sous-réseaux sont tracés et comptés.

Accès distants

Pour SSH, Telnet, VNC, RDP, SMB et les VPN : qui se connecte à quel équipement, à quel moment, et si le canal est chiffré. L’information est lue dans le protocole, pas déduite du numéro de port.

Analyser

UMX Risk Manager part de cette carte pour établir l’analyse de risque IEC 62443.

Zones et conduits, proposés puis validés

Risk Manager propose des zones d’après la capture. Votre ingénieur les confirme, les renomme ou les divise. L’étude HAZOP fixe ensuite le niveau de sécurité visé (SL-T).

Le risque avant et après contre-mesures

Risque inhérent, risque analysé, puis risque résiduel actuel et planifié. Chaque score affiche son calcul et la part de la preuve qui est déduite ou potentielle.

Plan d’action chiffré

Chaque contre-mesure porte un coût, un effort et le risque qu’elle retire par millier d’euros. Les actions sont classées selon ce rapport.

Page de décision

Les cinq premières actions, leur coût et le risque que chacune retire, avec un cadre de décision et de signature pour la direction.

Documenter

Risk Manager produit, depuis l’analyse, les rapports et la projection sur le ReCyF.

Projection sur le ReCyF

L’analyse est projetée sur les 20 objectifs du ReCyF v2.5 de l’ANSSI, document de travail. Chaque statut renvoie aux preuves datées du projet ou à la déclaration à fournir. Cette projection aide à préparer le dossier NIS2 ; elle ne vaut ni certificat ni verdict de conformité.

Sept rapports

Analyse de risque du site et de chaque zone, page de décision, audit ReCyF, plan d’action, registres des accès distants et des acceptations de risque.

UMX ExplorerPort miroirSchéma

Calculé par UMX Risk Manager

Résultats sur l’usine de démonstration

Chiffres produits par les consoles sur l’usine de démonstration, un réseau industriel simulé par Ultrametrix avec des automates émulés. Aucun ne provient d’un site client ; tous peuvent être revus en démonstration.

Page de décision

30 250 €

pour les cinq premières actions

Classées par risque retiré par euro, avec leur coût et les vulnérabilités qu’elles ferment.

  1. 1Politique d’accès distant et circuit d’approbation14 vulnérabilités
  2. 2Référentiel de durcissement et revue de configuration6 vulnérabilités
  3. 3Gestion des correctifs OT8 vulnérabilités
  4. 4Autorité de certification du site4 vulnérabilités
  5. 5Gestion des comptes et des mots de passe2 vulnérabilités

Coûts en ordre de grandeur hors taxes, de 9 500 à 51 000 € pour les cinq.

55 actifs, dont 14 OT

L’usine de démonstration vue par la sonde, puis importée dans Risk Manager. Un carré représente un actif.

16

zones de sécurité proposées depuis la capture

Dont 5 restaient à confirmer par un ingénieur à la date de la capture.

37

actions chiffrées dans le plan

Chacune avec son coût, son effort et le risque qu’elle retire.

26

constats passifs à traiter

Dont quatre sauts de niveau Purdue et un flux OT vers l’IT, relevés dans le trafic, sans scan actif.

20

objectifs du ReCyF v2.5 projetés

Chaque statut relié aux preuves datées ou à la déclaration à fournir, pour préparer le dossier NIS2.

Protocoles décodés

Industriels

  • Modbus/TCP
  • S7comm
  • EtherNet/IP (CIP)
  • DNP3
  • IEC 60870-5-104
  • IEC 61850 MMS, GOOSE
  • BACnet/IP
  • PROFINET DCP
  • EtherCAT
  • CC-Link IE
  • OPC UA
  • MQTT
  • HART-IP
  • KNX

Accès distants

  • SSH
  • Telnet
  • VNC
  • RDP
  • SMB
  • IPsec
  • OpenVPN
  • WireGuard

Deux modules
reliés par un export

UMX Explorer

Gratuit, 100 % passif

Inventaire factuel, sans interprétation du risque

  • Inventaire passif : automates, IHM, postes, serveurs
  • Niveau Purdue de chaque actif et flux entre réseaux
  • Accès distants, avec leur chiffrement
  • Sondes en flotte, fichier PCAP ou capture unitaire
Inventaire d’UMX Explorer : automates Schneider, Rockwell et Siemens avec leur modèle et leur niveau.

UMX Risk Manager

Analyse de risque IEC 62443-3-2

Analyse de risque et priorités d’action

  • Zones et conduits, HAZOP, niveaux de sécurité visés
  • Risque inhérent, analysé et résiduel
  • Plan d’action chiffré, page de décision
  • Projection sur le ReCyF v2.5, sept rapports en français et en anglais
Synthèse HAZOP dans Risk Manager : la gravité maximale des conséquences fixe un niveau de sécurité cible SL-3.

Module de renseignement sur la menace (CTI)

Désactivé par défaut. Une fois activé, il n’envoie que le périmètre confirmé par l’opérateur : domaines, adresses publiques, marques, mots-clés et produits (constructeur, modèle, version). L’inventaire, la topologie et l’analyse de risque ne sortent pas du site.

Rapports produits par Risk Manager

Sept rapports, en français et en anglais, produits depuis la console pour la direction et les auditeurs.

Page de décision
Page de décisionPour la direction
Rapport d’analyse de risque du site, couverture
Analyse de risque du siteIEC 62443-3-2
Rapport d’analyse de risque du site, sommaire
Analyse de risque, sommaireZones, conduits, HAZOP
Audit de conformité ReCyF v2.5, couverture
Audit ReCyF v2.5Préparation NIS2
Audit de conformité ReCyF v2.5, sommaire
Audit ReCyF, sommairePreuves et déclarations
Plan d’action, couverture
Plan d’actionRisque retiré par euro
Plan d’action, actions classées
Actions classéesCoût, effort, effet
  • Également dans Risk Manager
  • Rapport par zone
  • Registre des accès distants
  • Registre des acceptations de risque
  • Exports CSV

Fonctionnement sur site, hors ligne par défaut

Les sondes, la console centrale et Risk Manager fonctionnent dans votre réseau, y compris sur un réseau isolé. Deux fonctions peuvent joindre l’extérieur, toutes deux désactivées par défaut : le module CTI, limité au périmètre confirmé par l’opérateur, et la vérification des nouvelles versions.

Votre sitemême sans connexion extérieureSonde L1-L2port miroirSonde L3-L4port miroirConsole centralehub et UMX ExplorerRisk Manageranalyse, plan, rapportsNe sortent jamais :inventaire, topologie, risqueCTIdésactivé par défautn’envoie que ce quel’opérateur confirmeExtérieur
Votre sitemême sans connexion extérieureSonde L1-L2port miroirSonde L3-L4port miroirConsole centralehub et UMX ExplorerRisk Manageranalyse, plan, rapportsNe sortent jamais :inventaire, topologie, risqueCTIdésactivé par défautseulement ce quel’opérateur confirmeExtérieur

Ultrametrix

Contrôle non destructif
et cybersécurité industrielle

Ultrametrix est un laboratoire de contrôles non destructifs installé à Saint-Genis-Laval (Rhône). Il examine des pièces et des ouvrages sans les altérer, pour l’industrie et le bâtiment. UMX applique le même principe au réseau industriel : observer sans intervenir.

Essayez d’abord

UMX Explorer est gratuit : branchez-le sur un port miroir et voyez ce qu’il trouve sur votre réseau. Les résultats présentés ici viennent de l’usine de démonstration d’Ultrametrix, qui ouvre avec UMX une nouvelle activité.

Contrôle non destructifRéseau industrielExamen de la piècesans altérationLecture du traficsans émission

Licence annuelle par déploiement

Prix indicatifs du catalogue, par an et par déploiement.

UMX Explorer

Gratuit

L’inventaire passif du réseau industriel : gratuit, sans licence à activer.

  • Sonde passive, hub et console
  • Utilisation sans limite de durée ni de nombre de réseaux
  • Téléchargement après création d’un compte gratuit
Télécharger

UMX Risk Manager

4 500 €/an

La console d’analyse de risque IEC 62443, alimentée par Explorer.

  • Import Explorer, zones et conduits IEC 62443
  • Trois niveaux de risque, plan d’action, rapports
  • Audit NIS2 (projection sur le ReCyF)
  • Licence annuelle, mises à jour et support inclus
Demander une démo

UMX Risk Manager + CTI

7 900 €/an

Risk Manager avec le renseignement sur la menace : sources externes, corrélées à l’inventaire.

  • Tout Risk Manager
  • Renseignement sur la menace : sources externes, corrélation à l’inventaire, exposition externe
  • Analyses CTI comprises dans le prix, plafonnées chaque mois par licence
Demander une démo

Suite UMX Entreprise

Sur devis

Plusieurs déploiements, avec un accompagnement dédié.

  • Plusieurs déploiements
  • Support dédié et accompagnement au déploiement
  • Options d’intégration
  • Contrat et facturation hors ligne, licences émises par Ultrametrix
Demander un devis

Audit de risque complet et accompagnement

Ultrametrix réalise ou co-réalise l’analyse de risque avec vos équipes, de la cartographie au rapport final, puis vous rend autonomes. Sur devis.

Comparer les offresDemander un devis

Contacter Ultrametrix

Ultrametrix présente les deux logiciels sur les données de démonstration. Un essai d’UMX Explorer sur l’un de vos ports miroir peut suivre.

Vous pouvez aussi écrire à contact@ultrametrix.fr

Par exemple : usine agroalimentaire, deux lignes, automates Siemens.