La plupart des syst\u00e8mes d’exploitation et des outils de gestion de postes pr\u00e9supposent une connexion Internet permanente. Activation des licences, mises \u00e0 jour, authentification dans le cloud, t\u00e9l\u00e9m\u00e9trie : tout repose sur un lien constant avec l’ext\u00e9rieur. Bien des organisations ne s’en aper\u00e7oivent m\u00eame pas. Mais pour celles qui exploitent des environnements sensibles, cette d\u00e9pendance devient un vrai probl\u00e8me, parfois m\u00eame un crit\u00e8re d’\u00e9limination.<\/p>\n
ZeeOS<\/a> adopte le parti pris inverse. Fonctionner sans Internet n’est pas une solution de repli en mode d\u00e9grad\u00e9 : c’est ce pour quoi le produit a \u00e9t\u00e9 con\u00e7u, de l’installation jusqu’\u00e0 l’usage quotidien.<\/p>\n La premi\u00e8re raison de couper les postes d’Internet, c’est l’exposition. Toute machine reli\u00e9e \u00e0 l’ext\u00e9rieur est \u00e0 la fois une porte d’entr\u00e9e pour un attaquant et une voie de sortie pour les donn\u00e9es. Supprimez ce chemin, et vous fermez le canal par lequel une information d\u00e9rob\u00e9e pourrait s’\u00e9chapper.<\/p>\n La deuxi\u00e8me raison touche \u00e0 la r\u00e9glementation et \u00e0 la souverainet\u00e9. Dans la d\u00e9fense, l’\u00e9nergie, la sant\u00e9 ou la finance, l’isolement des syst\u00e8mes les plus sensibles n’est pas un confort, c’est souvent une obligation de conformit\u00e9.<\/p>\n La troisi\u00e8me est une question d’architecture. Les environnements industriels, OT ou SCADA, sont volontairement tenus \u00e0 l’\u00e9cart du r\u00e9seau bureautique, pour qu’un incident survenu c\u00f4t\u00e9 informatique de gestion ne puisse jamais remonter jusqu’aux syst\u00e8mes qui font tourner la production.<\/p>\n La quatri\u00e8me tient au terrain. Sites recul\u00e9s, navires, usines, emprises isol\u00e9es : autant de lieux o\u00f9 la connexion est faible, ch\u00e8re ou capricieuse, et o\u00f9 s’en remettre au cloud d’un \u00e9diteur, c’est s’en remettre \u00e0 un lien qui fait souvent d\u00e9faut.<\/p>\n Une pr\u00e9cision de vocabulaire, car elle a son importance pour les gens du m\u00e9tier. Un r\u00e9seau air-gapped n’est pas un r\u00e9seau segment\u00e9. Un r\u00e9seau segment\u00e9 est cloisonn\u00e9 en zones, mais ces zones communiquent g\u00e9n\u00e9ralement encore par une passerelle commune, parfois ouverte sur Internet. Un r\u00e9seau air-gapped, lui, n’offre aucune issue vers l’ext\u00e9rieur. Il n’y a pas de passerelle \u00e0 verrouiller, tout simplement parce qu’aucune voie ne m\u00e8ne dehors. C’est exactement le terrain pour lequel ZeeOS<\/a> a \u00e9t\u00e9 pens\u00e9.<\/p>\n Couper un poste d’Internet r\u00e8gle un probl\u00e8me de s\u00e9curit\u00e9, mais semble en soulever un autre : celui de l’administration. C’est la premi\u00e8re objection que soul\u00e8vera un responsable informatique aguerri, et elle appelle une r\u00e9ponse honn\u00eate plut\u00f4t qu’un argumentaire.<\/p>\n Une fois la machine priv\u00e9e de tout acc\u00e8s vers l’ext\u00e9rieur, comment la d\u00e9ployer sans d\u00e9p\u00f4t distant ? Comment authentifier les utilisateurs sans annuaire dans le cloud ? Comment la tenir \u00e0 jour quand les correctifs ne se t\u00e9l\u00e9chargent plus tout seuls, sans la laisser prendre du retard sur les failles connues ? Comment garder l’\u0153il sur le parc quand plus rien ne remonte vers un service ext\u00e9rieur ? Et comment pr\u00e9server l’horloge et les certificats, ces m\u00e9canismes de confiance qui s’appuient d’habitude sur une ressource en ligne ?<\/p>\n Ces questions sont l\u00e9gitimes. ZeeOS y r\u00e9pond en d\u00e9pla\u00e7ant la d\u00e9pendance, non pas en supprimant Internet, mais en la reportant sur une infrastructure que vous ma\u00eetrisez d\u00e9j\u00e0.<\/p>\n Tout part d’un constat simple : un environnement air-gapped dispose malgr\u00e9 tout d’un r\u00e9seau interne. Il a ses serveurs, son annuaire, son infrastructure. Ce qui lui manque, c’est le pont vers l’ext\u00e9rieur. ZeeOS est con\u00e7u pour s’appuyer enti\u00e8rement sur ce r\u00e9seau interne, sans jamais chercher \u00e0 en sortir.<\/p>\n Le d\u00e9ploiement se fait sur place, par PXE ou par cl\u00e9 USB, depuis votre propre console et non depuis une source distante. Aucune activation en ligne n’est n\u00e9cessaire pour d\u00e9marrer un poste.<\/p>\n L’administration et l’authentification se font sur le r\u00e9seau. ZeeOS peut s\u2019administrer via la Web Management Console (WMC)<\/a>, et si un Active Directory est d\u00e9j\u00e0 en place, il sait s’y raccorder. Dans un cas comme dans l’autre, aucune identit\u00e9 cloud n’intervient et rien ne sort du r\u00e9seau. Tout le parc se pilote depuis la Web Management Console, install\u00e9e sur votre r\u00e9seau local et non dans le cloud d’un \u00e9diteur.<\/p>\n La confiance, elle aussi, se g\u00e8re en interne. Les certificats qui prot\u00e8gent les \u00e9changes entre les postes et la console sont administr\u00e9s au sein m\u00eame de l’environnement ; et comme aucun renouvellement ne passe par une autorit\u00e9 ext\u00e9rieure, la question d’un acc\u00e8s vers le dehors ne se pose jamais. Reste un pr\u00e9requis, le seul qu’il faut nommer sans d\u00e9tour : l’horloge. Un d\u00e9ploiement air-gapped a besoin d’un serveur NTP faisant autorit\u00e9 sur le r\u00e9seau local pour garder des horloges synchrones, puisque les serveurs de temps publics sont par nature inaccessibles.<\/p>\n Les mises \u00e0 jour franchissent la fronti\u00e8re comme il se doit dans tout environnement air-gapped bien tenu : par un transfert ma\u00eetris\u00e9, jamais par un t\u00e9l\u00e9chargement automatique. Avec la Web Management Console sur le r\u00e9seau local, elles sont pr\u00e9par\u00e9es et diffus\u00e9es en interne ; le parc reste ainsi \u00e0 jour sans qu’aucune voie ne s’ouvre vers l’ext\u00e9rieur.<\/p>\n La supervision ob\u00e9it \u00e0 la m\u00eame r\u00e8gle. Collecte des journaux et surveillance se font en local, \u00e0 partir d’outils h\u00e9berg\u00e9s sur votre r\u00e9seau, et la prise en main \u00e0 distance pour le support reste cantonn\u00e9e \u00e0 l’enclave, sans jamais passer par un service ext\u00e9rieur. Quant aux licences, elles sont valid\u00e9es par un serveur local, sans le moindre appel vers le dehors.<\/p>\n D\u00e8s lors que chaque d\u00e9pendance r\u00e9side sur votre propre r\u00e9seau, l’isolement n’est plus une contrainte subie mais un choix parfaitement op\u00e9rationnel. Et une m\u00eame plateforme couvre toute la gamme des niveaux d’isolement.<\/p>\n Cas le plus fr\u00e9quent : un r\u00e9seau coup\u00e9 d’Internet mais pourvu de sa propre infrastructure. ZeeOS y fonctionne avec sa Web Management Console<\/a> et son serveur de licences en local, enti\u00e8rement administrable, politiques, mises \u00e0 jour et supervision comprises. C’est ce que la plupart des organisations ont en t\u00eate quand elles parlent d’air-gap, et c’est l\u00e0 que ZeeOS est le plus \u00e0 son aise.<\/p>\nQuand d\u00e9pendre d’Internet devient un risque<\/h2>\n
Peut-on tout de m\u00eame garder la main sur un poste isol\u00e9\u00a0?<\/h2>\n
Une autonomie de bout en bout<\/h2>\n
Ce que cette autonomie permet<\/h2>\n