# Architecture de cybersécurité > Repérez chaque produit du portefeuille Yellow Cube dans le réseau, du bus OT et des automates jusqu’au réseau informatique, au cloud et à Internet, en passant par la séparation physique. Cette carte complète la matrice de produits, qui présente la contribution de chaque solution à votre posture de sécurité. Cliquez sur un produit pour découvrir son rôle et comprendre son emplacement. Les cadres en pointillés représentent des plateformes tierces déjà utilisées par le client, comme les fournisseurs d’identité ; elles ne font pas partie du portefeuille Yellow Cube. - URL canonique: https://yellowcube.eu/fr/purdue-model-architecture/ - Éditeur: Yellow Cube - Langue: fr - Contact: hello@yellowcube.eu ## Contenu Repérez chaque produit du portefeuille Yellow Cube dans le réseau, du bus OT et des automates jusqu’au réseau informatique, au cloud et à Internet, en passant par la séparation physique. Cette carte complète la matrice de produits, qui présente la contribution de chaque solution à votre posture de sécurité. Cliquez sur un produit pour découvrir son rôle et comprendre son emplacement. Les cadres en pointillés représentent des plateformes tierces déjà utilisées par le client, comme les fournisseurs d’identité ; elles ne font pas partie du portefeuille Yellow Cube. **De l'automate au cloud** — Yellow Cube associe un fabricant spécialisé à chaque domaine de protection du modèle Purdue. L’emplacement des mesures de sécurité dépend de votre architecture réseau. ### FAQ #### Où se situe chaque produit Yellow Cube dans le modèle Purdue ? Le portefeuille Yellow Cube couvre l’ensemble du modèle Purdue. De bas en haut : L1–L0 regroupe le bus OT, les automates, RTU, variateurs et capteurs ; L3–L2 le réseau de contrôle OT avec SCADA, historiques de données, IHM et postes d’ingénierie ; L3.5 la séparation IT/OT ; L4 le réseau bureautique et la DMZ IT ; L5 le cloud, le SaaS et les appareils mobiles. Des pare-feu séparent le périmètre Internet, les zones internes et les cellules de production. Chaque réseau est dessiné comme un seul segment L2 auquel sont suspendus ses hôtes. Ce que vous lisez est donc une position de réseau et non une catégorie de produits. #### Comment Yellow Cube protège-t-il les équipements des niveaux Purdue L0–L1 qui ne peuvent pas exécuter d’agent de sécurité ? Pour les automates, RTU, variateurs et capteurs qui ne peuvent pas exécuter d’agent de sécurité, la protection est assurée par des équipements réseau placés en amont. En pratique, un pare-feu industriel est placé en amont de la cellule de production, de la machine ou de l’automate. Le pare-feu industriel d’OPSWAT apprend le trafic normal puis applique des règles propres aux protocoles Modbus TCP, S7, DNP3, EtherNet/IP et BACnet. La gamme renforcée Stormshield SNi, montée sur rail DIN avec bypass matériel, constitue une autre option. À ce niveau, le pare-feu placé en amont de la cellule joue donc un rôle essentiel. #### Comment transmettre la télémétrie entre des réseaux isolés sans ouvrir de voie de retour vers l’OT ? Au niveau Purdue L3.5, le transfert est volontairement unidirectionnel. OPSWAT NetWall Unidirectional Gateway repose sur deux équipements couplés avec émulation des protocoles. Les historiques de données industrielles, serveurs OPC et partages de fichiers sont ainsi répliqués vers l’IT comme si la liaison était bidirectionnelle : la télémétrie sort de l’OT sans créer de chemin de retour. La passerelle Unidirectional Security Gateway de Waterfall Security fait également partie du portefeuille Yellow Cube et offre une alternative pour une communication unidirectionnelle imposée par le matériel. Les supports amovibles et ordinateurs des intervenants externes passent par une autre voie : MetaDefender Kiosk les contrôle et élimine les contenus malveillants avant leur entrée dans l’OT. #### Devons-nous remplacer le fournisseur d'identité ou les pare-feu existants du client ? Non. Les cases en pointillés de cette architecture représentent des plates-formes tierces que la plupart des domaines exécutent déjà (Microsoft Entra ID ou Google Workspace comme fournisseur d'identité, par exemple) et elles ne sont explicitement pas fournies par Yellow Cube. Les produits d'identité de Yellow Cube s'ajoutent au fournisseur dont le client dispose déjà plutôt que de le remplacer, car cette plate-forme émet les jetons auxquels tout le reste fait confiance. Lorsque deux produits sont joints par « ou », ce sont des options équivalentes pour la même position : choisissez-en un, n'empilez pas les deux. #### Quelles solutions couvrent toute l’architecture plutôt qu’un seul niveau Purdue ? Trois éléments sont transversaux plutôt que liés à un seul niveau. Le SOC géré 24h/24 et 7j/7 de Yellow Cube surveille l'informatique et l'OT en dehors des heures d'ouverture, en travaillant à partir de la télémétrie produite par les agents et les capteurs de cette architecture. Cymulate Exposure Validation attaque en toute sécurité les contrôles déployés pour prouver que chaque zone bloque ce qu'elle prétend, y compris la limite OT. CYBER RANGES propose des exercices d’attaque et de défense sur des scénarios IT et OT réalistes. L’équipe de défense peut ainsi s’entraîner sur cette architecture sous pression avant un véritable incident. ### Construisons une cyberdéfense plus efficace, ensemble La confiance, l’expertise et la réussite commune sont au cœur de nos partenariats. Développer votre activité, enrichir votre offre de cybersécurité ou lancer des solutions innovantes sur de nouveaux marchés : Yellow Cube vous accompagne dans la durée. [Contactez Yellow Cube]() ### Purdue L5 · Cloud et Internet Environnements SaaS, cloud public et parc mobile qui ne se connecte jamais au réseau bureautique. **Posture de sécurité du cloud (CSPM)** [WithSecure Elements Cloud Security]() ou [Cynet AutoXDR CSPM]() ou [Stellar Cyber Cloud Sensors]() ou [OPSWAT MetaDefender Cloud]() **Identité et MFA** [Imprivata SSO + MFA]() ou [Microsoft Entra ID]() ou [Google Workspace — gestion des identités]() **Intégrité de la chaîne d'approvisionnement** [OPSWAT Chaîne d'approvisionnement en logiciels]() ou [Cymulate Validation de l'exposition]() ou [Group-IB Gestion de la surface d'attaque]() **Appareils mobiles** [iVerify Mobile EDR]() ou [WithSecure Elements Mobile Protection]() **Messagerie cloud** [IronScales Détection et réponse aux menaces dans la messagerie]() + [MailStore Archives d'e-mails]() ### Périmètre · Périmètre Internet **DDoS et périphérie** [A10 Networks Thunder TPS]() **Pare-feu périmétrique** [Stormshield Pare-feu SNS]() **Sécurité DNS** [Whalebone Sécurité DNS]() ### Purdue L4 · DMZ · DMZ informatique Services exposés sur Internet, protégés par les mêmes solutions que les terminaux bureautiques, ainsi que par des protections périmétriques et des identités. **WAF + équilibreur de charge** [A10 Networks Thunder ADC + WAF]() **Sécurité des identités (ITDR)** [Varonis ITDR]() ou [Imprivata PAM]() **Agent sur les serveurs publiés** [Cynet Agent AutoXDR]() ou [WithSecure Elements EDR]() ou [Group-IB XDR géré]() ou [Stellar Cyber Server Sensor]() **Fichiers entrants** [OPSWAT MetaDefender ICAP Server]() ou [OPSWAT MetaDefender Core]() ### Périmètre · Segmentation interne **DMZ ↔ pare-feu de bureau** [Stormshield Pare-feu SNS]() **Sécurité DNS** [Whalebone Sécurité DNS]() ### Purdue L4 · Réseau de bureau Réseau bureautique de niveau 2 : serveurs, postes de travail, port SPAN et acheminement des journaux vers le SOC. **Agent sur les terminaux — serveurs et postes de travail** [Cynet Agent AutoXDR]() ou [WithSecure Elements EDR]() ou [Group-IB XDR géré]() **Capteur NDR sur SPAN / TAP** [Stellar Cyber NDR sensor]() ou [Group-IB Analyse du trafic réseau]() ou [OPSWAT MetaDefender NDR]() **Collecte de journaux → SOC** [Stellar Cyber Plateforme XDR ouverte]() ou [Cynet Agent AutoXDR]() **Gestion des correctifs et des vulnérabilités** [WithSecure Elements]() ou [Cynet Agent AutoXDR]() **Posture de sécurité des terminaux (ESPM)** [WithSecure Elements]() ou [Cynet Agent AutoXDR]() **Risques liés aux données et menaces internes** [Varonis Détection et réponse centrées sur les données]() ou [Teramind Gestion des menaces internes]() ### Purdue L3.5 · Séparation physique (air gap) Séparation électronique ou optique. La télémétrie sort du réseau OT vers les couches supérieures ; aucune communication ne revient en sens inverse. **Transfert unidirectionnel** [OPSWAT NetWall Unidirectional Gateway]() ou [Waterfall Security Unidirectional Security Gateway]() **Supports amovibles et ordinateurs des prestataires** [OPSWAT MetaDefender Kiosk]() + [OPSWAT MetaDefender Drive]() ou [OPSWAT Managed File Transfer]() ### Purdue L3–L2 · Réseau de contrôle OT SCADA, serveurs d’historisation, IHM et postes d’ingénierie. Les hôtes Windows utilisent un agent lorsque le constructeur l’autorise. **Pare-feu industriel — contrôle de zone** [Stormshield Pare-feu industriel SNS]() ou [OPSWAT Pare-feu industriel]() **Agent sur les IHM et les postes d’ingénierie** [Cynet Agent AutoXDR]() ou [WithSecure Elements EDR]() ou [OPSWAT MetaDefender Endpoint]() **Visibilité des actifs OT** [OPSWAT MetaDefender OT Security]() ou [OPSWAT MetaDefender NDR]() **Accès à distance du fournisseur** [OPSWAT MetaDefender OT Access]() ou [Imprivata PAM]() ### Périmètre · Segmentation cellulaire **Contrôle ↔ bus** [Stormshield Pare-feu industriel SNS]() ### Purdue L1–L0 · Bus OT / réseau d’automates Bus de terrain et automates. Aucun agent n’y est installé : les protections sont placées en ligne et fonctionnent de manière transparente. **Devant l'automate** [OPSWAT Pare-feu industriel]() ou [Stormshield Pare-feu industriel SNS]() **Appareils de terrain** [Par conception Aucun agent possible]() ### Transversal [Yellow Cube SOC géré 24h/24 et 7j/7]() + [Cymulate Validation de l'exposition]() + [CYBER RANGES Entraînement sur plateforme de simulation cyber]() ### [WithSecure Elements Cloud Security]() CSPM Vérifications continues de la posture et des erreurs de configuration sur M365, Entra, Azure et AWS, dans la même console que les agents de terminal ci-dessous. SaaS. Aucun composant dans le réseau local. ### [OPSWAT MetaDefender Cloud]() Analyse des fichiers dans le cloud Multiscanning, Deep CDR et sandboxing proposés sous forme d'API cloud pour les fichiers entrant dans l'organisation. API SaaS, appelée par les applications et les passerelles. ### [Stellar Cyber Cloud Sensors]() Télémétrie cloud Collecte les journaux cloud d’audit, d’identité et SaaS dans le lac de données Open XDR pour les corréler avec les événements réseau et ceux des terminaux. Environnement cloud + collecteur sur site. ### [Stellar Cyber Server Sensor]() Capteur de télémétrie hôte Capteur logiciel pour les serveurs Windows et Linux pris en charge, transfert des événements système et télémétrie de l'hôte sous forme d'Interflow afin qu'Open XDR puisse corréler l'activité avec le reste de la pile. Agent sur chaque serveur publié dans la DMZ informatique. ### [Imprivata SSO + MFA]() Identité et accès Authentification unique, accès par badge et MFA conçus pour les postes de travail partagés et le travail posté – modèles cliniques, d'atelier et de salle de contrôle inclus. Service d’identité cloud + client sur les terminaux. ### [OPSWAT Chaîne d'approvisionnement en logiciels]() Intégrité de la chaîne d'approvisionnement Génère une nomenclature logicielle (SBOM), analyse et assainit les paquets logiciels des fournisseurs avant d’accepter des logiciels, mises à jour ou micrologiciels tiers dans le parc. Point de contrôle avant mise en production / pipeline CI. ### [Cymulate Validation de l'exposition]() Validation de sécurité Testez vos propres mesures de protection sans risque pour vérifier qu’elles bloquent les attaques prévues, zone par zone, y compris à la frontière OT. Agents légers dans toutes les zones. ### [Group-IB Gestion de la surface d'attaque]() Exposition externe et chaîne d’approvisionnement Cartographie en permanence ce que vous exposez à Internet (actifs fantômes, services exposés, fuites d'informations d'identification et tiers dans votre chaîne d'approvisionnement) et note ce qu'il faut corriger en premier. Externe, rien à installer. ### [Microsoft Entra ID]() Fournisseur d'identité La plateforme d’identité déjà utilisée par la plupart des clients émet les jetons auxquels les couches supérieures font confiance. Nos solutions d’identité la complètent sans la remplacer. Fournisseur d'identité cloud. **Plateforme du client, non fournie par Yellow Cube.** ### [Google Workspace — gestion des identités]() Fournisseur d'identité L'équivalent côté Google : l'annuaire et l'émetteur de jetons contre lesquels le reste de la pile s'authentifie. Fournisseur d'identité cloud. **Plateforme du client, non fournie par Yellow Cube.** ### [iVerify Mobile EDR]() Défense mobile Détecte les logiciels espions mercenaires, les jailbreaks, les profils malveillants et les dérives de configuration sur iOS et Android — une véritable détection, pas seulement la conformité MDM. Application sur l'appareil. Aucune position réseau. ### [WithSecure Elements Mobile Protection]() AV mobile Protège les téléphones et tablettes gérés contre les logiciels malveillants, le phishing et les sites dangereux. Les alertes remontent dans la même console Elements que celles des postes de travail. Application sur l'appareil. ### [Whalebone Sécurité DNS]() Filtrage DNS Blocage au niveau du résolveur des domaines de phishing, de malware et C2. Couvre les invités, l’IoT et tout ce sur quoi vous ne pouvez pas installer de logiciel. Résolveur réseau, ou client itinérant sur mobiles. ### [IronScales Détection et réponse aux menaces dans la messagerie]() Sécurité des e-mails Détection du phishing après livraison et correction en un clic dans M365 ou Google, avec rapports utilisateur qui entraînent le modèle. API intégrée à la boîte aux lettres – aucun changement MX. ### [MailStore Archives d'e-mails]() Conservation et preuves Archive chaque message de façon à détecter toute altération : conservation légale, recherche de preuves électroniques et éléments demandés par les auditeurs. Serveur dans le réseau du bureau. ### [A10 Networks Thunder ADC + WAF]() Équilibreur de charge + pare-feu d'application Web Assure la terminaison TLS et l’équilibrage de charge des services exposés, puis leur protection contre les menaces OWASP, les robots et les abus d’API. Un même équipement applique les règles WAF et déchiffre le trafic pour permettre son inspection. DMZ, en ligne devant le niveau Web. ### [A10 Networks Thunder TPS]() Atténuation DDoS Nettoyage DDoS volumétrique et au niveau de la couche applicative à la périphérie d'Internet, avant que la table d'état du pare-feu ne devienne le goulot d'étranglement. Périmètre Internet, en ligne ou à la demande. ### [Stormshield Pare-feu SNS]() NGFW Segmentation périmétrique et interne avec IPS et contrôle des applications — le même moteur de politique que le SNi40 industriel plus bas, géré ensemble. Périmètre Internet et entre zones internes. ### [Varonis ITDR]() Détection des menaces d'identité Surveille Active Directory et Entra pour repérer les abus de privilèges, les attaques Kerberos, les accès administratifs obsolètes et l’étendue des conséquences possibles d’un compte compromis. Collecteur dans la DMZ ou le réseau de bureau. ### [Imprivata PAM]() PAM Protège les identifiants dans un coffre-fort et enregistre les sessions privilégiées sur les serveurs, les serveurs de rebond et les actifs OT, pour savoir qui a fait quoi. Serveur de rebond dans la DMZ. ### [Cynet Agent AutoXDR]() Agent EDR/XDR Un agent réunit NGAV, EDR, leurres de sécurité et réponse automatisée, avec l’appui d’une équipe MDR 24h/24 et 7j/7. Un choix pratique pour les petites équipes de sécurité. Installé sur chaque hôte Windows, Linux et macOS. ### [WithSecure Elements EDR]() Agent EDR Détection et réponse sur les terminaux, avec recours à des experts. La même famille d’agents couvre aussi le mobile et le cloud : un seul fournisseur pour trois couches. Installé sur chaque serveur et poste de travail. ### [Group-IB XDR géré]() XDR géré Agent et capteurs réseau pilotés par les propres pratiques de veille sur les menaces et de réponse aux incidents de Group-IB. Fort là où l’attribution et l’IR sont importants. Agent sur les hôtes + capteur sur le réseau. ### [OPSWAT MetaDefender ICAP Server]() Inspection des fichiers entrants Chaque fichier envoyé vers l’application via le proxy inverse est analysé et assaini par Deep CDR avant de l’atteindre. DMZ, à côté de l'équilibreur de charge. ### [OPSWAT MetaDefender Core]() Moteur de désinfection de fichiers Le moteur d'analyse et de Deep CDR qu'ICAP, le transfert de fichiers géré et les kiosques appellent tous. Déployez une fois, réutilisez à chaque point d’entrée du fichier. Serveur dans la DMZ ou le réseau de bureau. ### [Stellar Cyber NDR sensor]() NDR Capteur passif sur un SPAN ou un TAP : trafic est-ouest, mouvements latéraux et actifs non gérés qu'aucun agent ne signalera jamais. Port SPAN/TAP sur le commutateur principal. ### [Group-IB Analyse du trafic réseau]() NDR Analyse le trafic et exécute les fichiers suspects dans un environnement isolé, en s’appuyant sur le renseignement de Group-IB concernant les acteurs qui ciblent votre secteur. SPAN/TAP, plus une copie du flux de courrier. ### [OPSWAT MetaDefender NDR]() NDR Détection de réseau adaptée au trafic IT/OT convergé : comprend les protocoles industriels ainsi que ceux des entreprises. SPAN/TAP de chaque côté de la frontière. ### [Stellar Cyber Plateforme XDR ouverte]() Collecte et corrélation des journaux Collecte et normalise les journaux de toutes les couches du schéma, puis corrèle les événements pour les investigations du SOC, indépendamment du fournisseur. Collecteur sur site, plateforme dans le cloud. ### [Varonis Détection et réponse centrées sur les données]() Sécurité des données Recherche les données sensibles, corrige les autorisations trop larges et alerte en cas d'accès anormal aux partages de fichiers, à SharePoint et au courrier. Collecteur à côté des serveurs de fichiers et de messagerie. ### [Teramind Gestion des menaces internes]() Risque interne et DLP Surveillance de l'activité des utilisateurs, enregistrement de session et DLP pour les comptes qui détiennent déjà un accès légitime. Agent sur les postes de travail et les serveurs de terminaux. ### [Stormshield Pare-feu industriel SNS]() Pare-feu OT La gamme SNi propose des pare-feu industriels durcis sur rail DIN ou en rack, avec IPS pour les protocoles industriels et bypass matériel. Le modèle est choisi selon les besoins de la cellule de production. Entre zones de contrôle, cellules et machines. ### [OPSWAT Pare-feu industriel]() Pare-feu OT / IPS Le mode d'apprentissage enregistre le modèle de trafic normal, puis l'applique — DPI spécifique au protocole pour Modbus TCP, S7, DNP3, EtherNet/IP et BACnet. Conçu pour se situer entre Purdue L2 et L3.5. Devant une cellule, une machine ou un seul automate. ### [OPSWAT MetaDefender OT Security]() Visibilité des actifs OT Découvre les actifs OT par écoute passive et par analyse active adaptée à leur sécurité de fonctionnement. Inventorie les versions de micrologiciels et les vulnérabilités connues pour étayer l’évaluation des risques. Capteur dans le réseau de contrôle. ### [OPSWAT MetaDefender OT Access]() Accès à distance sécurisé Accès des fournisseurs aux actifs OT via un intermédiaire sécurisé, limité dans le temps et avec enregistrement des sessions, sans tunnel VPN ouvert vers le réseau de contrôle. Passerelle d’accès à la frontière IT/OT. ### [OPSWAT MetaDefender Endpoint]() Posture de sécurité et antivirus des hôtes OT Contrôles légers de la posture de sécurité, des correctifs et des logiciels malveillants sur les hôtes dont le constructeur ne certifie pas l’usage d’un agent EDR complet. IHM et postes d’ingénierie. ### [OPSWAT NetWall Unidirectional Gateway]() Passerelle unidirectionnelle Passerelle unidirectionnelle avec émulation de protocoles : les données des serveurs d’historisation, serveurs OPC et partages de fichiers sont répliquées vers les couches supérieures comme si la liaison était bidirectionnelle. L3.5, appareils jumelés. ### [Waterfall Security Unidirectional Security Gateway]() Passerelle unidirectionnelle Réplication unidirectionnelle renforcée par le matériel avec une longue expérience dans les domaines de l'énergie et de l'eau, et la familiarité avec les régulateurs qui l'accompagne. L3.5, appareils jumelés. ### [OPSWAT MetaDefender Kiosk]() Contrôle des supports amovibles Un sas de sécurité : chaque clé USB et chaque fichier fourni par un prestataire sont analysés et assainis sur une borne avant leur transfert vers le réseau OT. Physiquement à l’entrée de la zone OT. ### [OPSWAT Managed File Transfer]() Entrée contrôlée des fichiers Un chemin supervisé pour les fichiers qui doivent franchir la séparation : analyse, assainissement, validation et journalisation, sans partage de fichiers direct entre les deux réseaux. De part et d’autre de la séparation physique. ### [OPSWAT MetaDefender Drive]() Inspection des appareils hors ligne Démarre un ordinateur portable ou une machine de mise en service à partir d'un lecteur fiable et l'analyse hors ligne, avant qu'il ne rejoigne le réseau OT. Équipement portable utilisé au niveau de la séparation physique. ### [CYBER RANGES Entraînement sur plateforme de simulation cyber]() Compétences et exercices Exercices immersifs sur des scénarios IT et OT réalistes, pour apprendre à défendre cette architecture sous pression. Plateforme hébergée. ### [Yellow Cube SOC géré 24h/24 et 7j/7]() Détection et réponse gérées L’équipe qui assure la surveillance en dehors des heures ouvrées, en IT comme en OT, à partir de la télémétrie des agents et des capteurs du schéma. Yellow Cube SOC, alimenté par les collecteurs. ### [Cynet AutoXDR CSPM]() Posture de sécurité du cloud Gestion de la posture de sécurité du cloud dans la même console AutoXDR que les agents de terminal : erreurs de configuration, stockage exposé et dérive d'identité en un seul endroit. Sans agent, connecté à l’environnement cloud. ### [WithSecure Elements]() Posture des terminaux, correctifs et gestion des vulnérabilités Un agent et une console pour la protection des terminaux, les correctifs des logiciels tiers et la gestion des vulnérabilités, avec évaluation de la posture de sécurité de tout le parc. Serveurs et postes de travail sur le réseau du bureau. ### [Par conception Aucun agent possible]() Appareils de terrain Les automates, RTU, variateurs et capteurs ne peuvent pas accueillir d’agent. Leurs protections sont placées en amont, en ligne et de façon transparente, d’où l’importance du pare-feu devant la cellule. Purdue L0-L1. ## Attribution et portée Cette version Markdown est générée à partir des mêmes contenus approuvés que la page HTML canonique. Utilisez l’URL canonique pour toute citation.