Getting Started in OT/ICS Cybersecurity 2026 (Part 9B): OT Cyber Attack Response

Getting Started in OT/ICS Cybersecurity 2026 (Part 9B): OT Cyber Attack Response

Premiers pas dans la cybersécurité OT/ICS 2026 (Partie 9B) : Réponse aux cyberattaques OT

par Mike Holcomb · Voir la chaîne sur PSI

Sciences appliquées & ingénierie Informatique & Cybersécurité UInformatique et technologies de l’informationURSécurité informatique
🎙 Mike Holcomb 👥 28K 📅 8 octobre 2026 ⏱ 155 min 👁 95 📄 tutoriel 🧭 2026-10-08
Disponible en : Français (actuel) English

Mots-clés

OTICSIDSSIEMréponse aux incidents

Résumé

Cette session de formation approfondie, d’une durée de plus de deux heures et demie, traite de la surveillance de la sécurité réseau et des phases finales du cycle de réponse aux incidents dans les environnements OT/ICS. L’auteur commence par rappeler l’utilité des journaux de pare-feu comme forme élémentaire de surveillance, en insistant sur l’activation du logging et l’analyse assistée par IA des événements. Il explique ensuite la distinction fondamentale entre IDS et IPS : en OT, l’IPS est proscrit car le blocage de trafic légitime peut provoquer l’arrêt du procédé industriel, alors que l’IDS passif se contente d’alerter. La question de l’EDR en OT est abordée comme une évolution récente, avec un déploiement recommandé sur les postes Windows et serveurs, y compris en mode hors ligne. Le SIEM est présenté comme la centralisation corrélée de toutes les sources de journaux, avec ses contraintes de coût et de ressources. L’auteur détaille le déploiement de honeypots internes à haute fidélité, notamment le honeypot Modbus open source Moth, puis la chasse aux menaces selon le principe de l’attaquant déjà présent. Les phases de confinement, d’éradication, de rétablissement et de retour d’expérience sont développées avec un accent sur les opérations de repli manuel et la reconstruction de la chronologie de l’incident.

207 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur informative de cette intervention réside dans sa densité opérationnelle et dans l’articulation constante entre principes de sécurité et contraintes physiques du monde industriel. L’auteur ne se contente pas d’énoncer des bonnes pratiques : il les rattache systématiquement à des conséquences concrètes sur la disponibilité et la sécurité des procédés. L’argument central, selon lequel un IPS ne doit jamais être déployé en OT, est solidement étayé par le mécanisme des faux positifs et par le risque d’arrêt de production. De même, la recommandation d’utiliser l’IA pour analyser les journaux de pare-feu est présentée avec pragmatisme, en tenant compte de la confidentialité des données. L’argumentation progresse par couches successives, du plus simple (journaux de pare-feu) au plus complexe (SIEM corrélé, honeypots, chasse aux menaces), ce qui donne une progression pédagogique cohérente. Les exemples de terrain, comme la découverte d’acteurs étatiques via les journaux de pare-feu ou l’incident du concentrateur VPN volé, servent d’ancrage concret sans être surinterprétés. La prudence est de mise sur les sujets controversés, notamment l’EDR connecté au cloud, où l’auteur reconnaît explicitement la variabilité des arbitrages selon les organisations. On peut toutefois regretter l’absence de données quantitatives sur les taux de faux positifs, les coûts réels des SIEM ou les délais de rétablissement, qui auraient renforcé la démonstration.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique de cette présentation repose principalement sur l’expérience professionnelle de l’auteur et sur des principes largement admis dans la communauté OT, plutôt que sur des sources académiques ou des études citées. Aucune référence bibliographique, aucun rapport d’analyse ni aucune publication institutionnelle n’est mentionné dans la transcription. Les seuls liens fournis dans la description renvoient à la formation payante de l’auteur et à son site personnel, ce qui ne constitue pas des sources externes vérifiables. La mention de l’acteur étatique Volt Typhoon et du honeypot Moth renvoie à des éléments publics connus, mais sans lien direct fourni. La qualité des sources est donc celle d’un expert praticien partageant un retour d’expérience, ce qui a de la valeur mais ne remplace pas une documentation sourcée. Concernant l’adéquation titre/contenu, elle est excellente : le titre annonce la partie 9B consacrée à la réponse aux cyberattaques OT, et le contenu couvre effectivement l’ensemble des phases annoncées, de la surveillance réseau au retour d’expérience.

387 mots

Adéquation titre / contenu

Le titre annonce la partie 9B d'une série sur la réponse aux cyberattaques OT ; le contenu couvre bien la surveillance réseau, les IDS/IPS, l'EDR, le SIEM, les honeypots et les phases de confinement, éradication, rétablissement et retour d'expérience. Adéquation forte.

Qualité & fiabilité

7/10

Contenu technique dense et cohérent, fondé sur l'expérience de terrain de l'auteur et sur des principes établis de la sécurité OT (pas d'IPS en OT, IDS passif, SIEM, honeypots, cycle de réponse aux incidents). Les affirmations sont prudentes et nuancées (risques/bénéfices de l'EDR connecté, limites des IOC, contraintes de ressources). Absence de sources académiques ou de références externes explicites dans la transcription ; les liens de la description renvoient à la formation payante de l'auteur et à son site, ce qui limite la vérifiabilité indépendante. Pas de données chiffrées sourcées ni d'études citées.

Chapitres

Sources citées

  • Formation Getting Started in OT/ICS Cybersecurity (OnDemand) — Formation payante de l'auteur, mentionnée en description comme ressource principale associée à la vidéo.
  • Ressources gratuites OT/ICS cybersecurity — Site personnel de l'auteur regroupant des ressources gratuites sur la cybersécurité OT/ICS.
  • Site principal Mike Holcomb — Lien d'abonnement et de ressources complémentaires fourni en description.

Apport & nouveautés

L’apport original de cette intervention tient à la couverture intégrée et opérationnelle de la surveillance réseau et des phases terminales de la réponse aux incidents en environnement OT, avec un accent rare sur les contraintes physiques et de disponibilité. La démonstration du honeypot Modbus Moth, la distinction fine entre IDS et IPS dans un contexte industriel, et l’articulation entre opérations de repli manuel et rétablissement du procédé constituent des éléments concrets peu souvent détaillés dans les formations généralistes. L’auteur insiste également sur l’usage de l’IA pour l’analyse des journaux, ce qui reflète une pratique émergente.

Pour aller plus loin :

  • Intrusion detection system — Fondements des IDS/IPS, utile pour replacer les choix OT dans le paysage général.
  • Security information and event management — Principes de centralisation et de corrélation des journaux évoqués dans la vidéo.
  • Honeypot (computing) — Concepts de honeypots, en complément du déploiement Moth présenté.
  • Incident response — Cadre général du cycle de réponse aux incidents, dont les phases de confinement, éradication et rétablissement.
  • Modbus — Protocole industriel ciblé par le honeypot Moth, à étudier pour comprendre les enjeux de surveillance des réseaux OT.

186 mots

Profil radar

Le profil radar montre un contenu à forte densité informationnelle et à niveau technique élevé, avec une fiabilité globale solide mais une vérifiabilité limitée par l'absence de sources externes. La qualité et la quantité d'information sont élevées, portées par l'expérience de terrain de l'auteur. Le principal point faible réside dans l'absence de références académiques ou institutionnelles permettant une validation indépendante.

Fiabilité 7/10