Points clés
- Les objets connectés génèrent des volumes de flux réseau considérables — mesures, télémetrie, mises à jour, communications de gestion — dont la visibilité est souvent inexistante dans les organisations n'ayant pas spécifiquement adressé ce sujet.
- La visibilité sur les flux IoT est la précondition de toute détection : sans connaître le comportement réseau normal d'un équipement, il est impossible d'identifier une déviation signalant une compromission.
- L'analyse des flux IoT révèle non seulement les anomalies sécuritaires mais aussi les destinations externes non documentées — plateformes cloud, serveurs de télémétrie — auxquelles les équipements communiquent sans que l'organisation en soit pleinement consciente.
- La collecte et l'analyse des logs de flux IoT imposent des défis spécifiques : volumes importants, protocoles propriétaires, absence d'agents sur les équipements, et nécessité d'outils dédiés.
L'ampleur des flux générés par un parc IoT
Un parc IoT professionnel de taille modeste — quelques centaines d'équipements — génère des volumes de trafic réseau considérables. Chaque caméra IP transmet en continu des flux vidéo et des métadonnées. Chaque capteur envoie des mesures à intervalles réguliers. Chaque équipement communique avec sa plateforme cloud pour la télémétrie, les mises à jour de firmware, et les heartbeats de disponibilité. Ces flux, additionnés sur l'ensemble du parc, produisent des volumes quotidiens pouvant atteindre plusieurs terabytes. La collecte, le stockage, et l'analyse de ce volume de données est un défi technique et économique que beaucoup d'organisations ne sont pas préparées à adresser avec leurs infrastructures de monitoring IT classiques.
Établir la baseline comportementale des équipements IoT
La détection d'anomalies repose sur la connaissance du comportement normal. Pour chaque équipement IoT, il est nécessaire d'établir une baseline comportementale documentant : les adresses IP et noms de domaine vers lesquels il communique habituellement, les protocoles et ports utilisés, les volumes de données typiques par heure et par jour, les plages horaires d'activité normales, et les équipements internes avec lesquels il interagit. Cette baseline est établie par observation sur une période représentative de deux à quatre semaines. Toute déviation significative — nouveau destinataire, volume anormal, protocole inhabituel, activité en dehors des plages normales — constitue un signal méritant investigation. Sans cette baseline, la détection est impossible.
Les protocoles IoT non interprétables par les outils classiques
Les outils de surveillance réseau IT classiques — SIEM, IDS/IPS, analyseurs de protocoles — sont conçus pour TCP/IP, HTTP(S), DNS, SMB et d'autres protocoles IT standards. Les équipements IoT communiquent via MQTT, CoAP, AMQP, Zigbee, Z-Wave, LoRaWAN, BACnet, Modbus, et des protocoles propriétaires constructeurs. Cette incompatibilité technique crée un angle mort dans la surveillance : les flux IoT traversent le réseau de l'organisation sans être analysés par les outils de sécurité existants. Des outils spécialisés — Armis, Claroty, Forescout, Medigate pour le secteur santé — embarquent la connaissance de ces protocoles et peuvent analyser, interpréter, et corréler les comportements IoT avec des règles de détection adaptées.
Les destinations externes non documentées
L'analyse des flux IoT révèle fréquemment des surprises : des équipements communiquent avec des destinations externes que l'organisation n'avait pas documentées et n'avait pas nécessairement approuvées. Des serveurs de télémétrie dans des pays tiers collectent des données de fonctionnement. Des plateformes cloud de fabricants reçoivent des informations sur les configurations réseau internes. Des services tiers de mise à jour ou d'analyse sont appelés régulièrement. Ces communications, légitimes du point de vue du fabricant, peuvent représenter des flux de données sortants que l'organisation n'avait pas évalués d'un point de vue confidentialité (RGPD) ou sécurité. Leur documentation et leur approbation explicite font partie d'une gestion mature des flux IoT.
Outils et architecture pour la visibilité IoT
Construire une visibilité efficace sur les flux IoT requiert une architecture dédiée. La collecte des flux NetFlow ou sFlow depuis les switches desservant les VLANs IoT fournit une vue des communications réseau sans nécessiter d'agent sur les équipements. Le mirroring de trafic (SPAN) vers des sondes d'analyse permet une inspection plus approfondie des protocoles spécifiques. Les plateformes d'analyse IoT spécialisées corrèlent ces données avec leur base de connaissances des comportements normaux par type d'équipement. L'intégration des alertes générées dans le SIEM central de l'organisation assure que les incidents IoT sont traités dans le même pipeline de réponse que les incidents IT classiques, avec les mêmes niveaux d'escalade et de priorité.