Défense OT/ICS et PLC : Le plan d’action de l’Algérie après CISA AA26-097A

Ce que rapporte réellement AA26-097A

L’avis AA26-097A, publié conjointement par CISA, FBI, NSA, EPA, DOE et US Cyber Command le 7 avril 2026, décrit une campagne en cours contre des dispositifs de technologie opérationnelle (OT) connectés à Internet dans plusieurs secteurs d’infrastructure critique américaine — Installations et services gouvernementaux, Eau et eaux usées, et Énergie — attribuée à un groupe APT soutenu par un État.

Principales conclusions techniques, extraites de l’avis public et des analyses de suivi de Picus Security, RedSeal, Industrial Cyber et 1898 & Co. (Burns & McDonnell) :

• Cibles principales : automates programmables industriels (PLC) Allen-Bradley de Rockwell Automation, en particulier la famille ControlLogix.
• Technique centrale : les opérateurs ont loué de l’hébergement cloud tiers et exécuté le logiciel d’ingénierie Studio 5000 Logix Designer de Rockwell lui-même pour créer des connexions d’apparence légitime vers les PLC victimes. Parce que les sessions utilisent l’outil d’ingénierie authentique du fournisseur, la plupart des règles de détection réseau les classent comme trafic d’ingénierie normal.
• CVE clé en jeu : CVE-2021-22681 — clé cryptographique insuffisamment protégée dans Studio 5000 et les PLC Logix — ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de CISA en mars 2026.
• Résultat : certaines victimes ont subi une perturbation opérationnelle et une perte financière, incluant des états de contrôle de processus perturbés sur les PLC.

La leçon pour les défenseurs n’est pas l’attribution par pays ; c’est qu’un APT déterminé soutenu par un État utilisant un outillage d’ingénierie légitime peut atteindre des PLC exposés à Internet sans brûler un seul zero-day. La faiblesse est architecturale.

La surface d’attaque OT de l’Algérie

L’Algérie a enregistré plus de 70 millions de cyberattaques en 2024 et se classe 17e mondialement parmi les nations les plus ciblées, selon la stratégie nationale publiée sous le Décret présidentiel 25-321 (décembre 2025). La stratégie désigne explicitement l’énergie, l’eau, les télécommunications, les transports, les services financiers et les services gouvernementaux comme Infrastructure d’Information Critique (CII), avec ANSSI / ASSI coordonnant les bases de sécurité sectorielles.

Les parcs OT qui se projettent directement sur les conclusions d’AA26-097A :

• Hydrocarbures Sonatrach. Pipelines en amont, raffineries, terminaux GNL à Skikda et Arzew, et des milliers de PLC de têtes de puits et de compresseurs. Studio 5000 / ControlLogix est largement déployé dans toute la chaîne de valeur gazière.
• Génération et distribution d’électricité Sonelgaz. Centrales thermiques, sous-stations de distribution et centre national de dispatching s’appuient sur des piles SCADA/PLC de Schneider, Siemens et Rockwell.
• Algérienne des Eaux (ADE) et ONA eaux usées. Majoritairement piloté par PLC, avec une télémesure à distance croissante pour les stations de pompage et les réseaux de distribution.
• Métro d’Alger et OT ferroviaire. Signalisation et automatisation des stations basées sur PLC.
• Cimenterie, engrais, sidérurgie, pétrochimie. Grandes usines privées et EPE avec des parcs ICS hérités exécutant souvent des logiciels HMI/SCADA non supportés.

La checklist à 10 points pour défenseurs OT des opérateurs CII algériens

Cette checklist consolide les recommandations d’AA26-097A, les System Security Design Guidelines de Rockwell (Publication SECURE-RM001J, novembre 2025), IEC 62443 et NIST SP 800-82. Elle s’aligne sur les attentes sectorielles de l’ANSSI sous le Décret 25-321 :

1. Inventaire complet des actifs. Chaque PLC, RTU, HMI, poste de travail d’ingénierie et historien Windows dans chaque usine. Outils : Claroty, Dragos, Nozomi ou Tenable OT Security. Pas d’inventaire, pas de défense.
2. Scan d’exposition Internet. Utilisez Shodan, Censys et du scan passif en-pays pour confirmer qu’aucun PLC ou HMI n’est exposé à l’Internet public. La conclusion centrale d’AA26-097A est que les PLC Allen-Bradley exposés étaient le point d’entrée.
3. Zonage modèle Purdue. Imposez une ségrégation des niveaux 0-1 (capteurs/PLC) et niveau 2 (HMI/SCADA) depuis le niveau 3 (DMZ opérations) et les niveaux 4-5 (IT d’entreprise) avec des pare-feu matériels et des diodes de données unidirectionnelles là où c’est pratique.
4. Durcissement des identifiants et clés PLC. Changez les identifiants par défaut. Désactivez les services CIP inutilisés. Pour Rockwell, activez CIP Security (communications authentifiées et protégées en intégrité) sur les contrôleurs qui le supportent.
5. Verrouillage des postes d’ingénierie / Studio 5000. AA26-097A montre des attaquants abusant de logiciels d’ingénierie légitimes. Les postes de travail d’ingénierie Tier 0 doivent être : non connectés à Internet, avec allowlisting applicatif Windows, exigeant MFA par carte à puce/FIDO2, jamais utilisés pour le courriel ou la navigation web.
6. Rétention et visibilité des journaux. Rétention minimale de 12 mois des journaux réseau OT, des journaux de modification PLC et des journaux de sessions d’ingénierie. Transférez vers un SIEM ou une plateforme OT dédiée (Splunk, Claroty xDome, Dragos Platform).
7. Corriger les vulnérabilités ICS listées au KEV. CVE-2021-22681 (Studio 5000) est celle spécifique d’AA26-097A, mais vérifiez le catalogue KEV complet de CISA chaque mois contre votre inventaire de firmware PLC.
8. Playbook de réponse à incident. Un playbook spécifique OT distinct de l’IR IT. Définissez les procédures d’état sûr pour chaque processus critique. Répétez avec les opérateurs, pas seulement avec le personnel cybersécurité.
9. Accès tiers et fournisseur. AA26-097A a montré les attaquants utilisant une infrastructure cloud louée. Auditez tout accès distant externe : VPN fournisseurs, comptes intégrateurs, surveillance à distance basée cloud. Remplacez les identifiants partagés par des comptes individuels et MFA.
10. Coordination ANSSI / DZ-CERT. Sous le Décret 25-321, les opérateurs CII sont attendus pour signaler les incidents OT significatifs et les comportements PLC anormaux à ANSSI / ASSI. Établissez le canal de liaison avant d’en avoir besoin.

Où les opérateurs algériens échouent typiquement

Vérification honnête des incidents publics de la région et des enquêtes de l’industrie :

• Réseaux OT plats. De nombreuses usines algériennes exploitent un seul VLAN OT plat. Le zonage Purdue est aspirationnel plutôt qu’imposé.
• Postes d’ingénierie avec accès Internet. La livraison de correctifs et l’assistance à distance fournisseur poussent les opérateurs à connecter les hôtes Tier 0 à Internet.
• Firmware PLC périmé. Les usines évitent les mises à jour firmware parce qu’une mise à jour échouée peut arrêter une ligne de production. Le patching basé sur le risque avec des fenêtres de maintenance planifiées est le compromis honnête.
• Accès intégrateur externalisé. Identifiants VPN partagés uniques, pas de MFA, journalisé uniquement côté intégrateur.

Les plateformes de sécurité OT basées sur l’IA (Claroty xDome, Dragos) génèrent des contrôles compensatoires basés sur le risque qui permettent aux opérateurs de maintenir la sécurité tout en reportant les correctifs aux fenêtres de maintenance planifiées — une approche pragmatique pour les usines algériennes où les coûts d’arrêt non planifié sont d’un ordre de grandeur au-dessus des coûts de gestion des correctifs.

En résumé pour les opérateurs CII algériens

AA26-097A n’a pas révélé un nouveau zero-day. Il a documenté qu’un APT bien financé peut, avec patience et outils légitimes, atteindre des PLC que les opérateurs supposaient isolés. Les utilités, usines pétrochimiques et opérateurs d’eau algériens ont les mêmes lacunes architecturales que les victimes américaines documentées dans l’avis. La checklist de défense est éprouvée — la question est de savoir si les opérateurs CII algériens financeront les investissements d’inventaire, de zonage et d’IR avant un incident, ou après.

Sources et lectures complémentaires

• Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure — CISA AA26-097A
• Avis CISA AA26-097A — Menaces ICS/PLC sur les infrastructures critiques
• Rockwell Automation System Security Design Guidelines (SECURE-RM001J-EN-P)
• Ongoing Cyberattacks Targeting Internet-Connected PLCs — Industrial Cyber
• Cybersecurity at the Core of Algeria’s Digital Sovereignty — DzairTube / ASSI coverage
• How to Cloak Critical Infrastructure: Protecting Internet-Exposed PLCs — Zentera