Communication 4G & Cybersécurité T300
Configurer les communications 4G, le routage réseau, et appliquer les bonnes pratiques de cybersécurité IEC 62443 sur le T300.
1. Modem 4G interne
2. Modem externe & routage
3. Ports TCP/UDP du T300
| Protocole | Port | Type | Usage |
|---|---|---|---|
| IEC 104 | 2404 | TCP | SCADA télécommande |
| DNP3 | 20000 | TCP | SCADA (alt. protocole) |
| Modbus TCP | 502 | TCP | SCADA / intégration |
| HTTPS | 443 | TCP | Webserver |
| SSH/SFTP | 22 | TCP | Transfert fichiers, diagnostic |
| SNTP | 123 | UDP | Synchronisation horaire |
| LDAP | 389 / 636 | TCP | Authentification centralisée |
| Radius | 1812 | UDP | Authentification centralisée |
| Syslog | 601 | TCP | Événements sécurité |
| SNMP V3 | 161 | UDP | Supervision à distance |
Vérifier que l'opérateur ne bloque pas les ports protocolaires (2404, 20000, 443, 22, 123). En cas de service manquant, vérifier la politique de filtrage de l'opérateur.
4. Cybersécurité — IEC 62443
Fonctionnalités de sécurité embarquées
| Fonctionnalité | Standard | Description |
|---|---|---|
| RBAC | IEC 62351-8 | Contrôle d'accès basé sur les rôles |
| Communication sécurisée | IEC 62351-3 | TLS sur M2M (v2.9+) |
| Auth. protocole | IEC 62351-5 | Secure Auth pour DNP3 & IEC 104 |
| HTTPS/SSH/SFTP | — | Toujours actif |
| Firmware signé | — | Depuis v2.7, firmware Schneider uniquement |
| Port hardening | — | Activation/désactivation par port |
| Firewall & IP filter | — | Filtrage IP communication |
| LDAP / Radius | — | Authentification centralisée (v2.9+) |
| Certificats X.509 | — | Gestion certificats client (v2.8/2.9) |
| SNMP V3 | — | Diagnostic distant |
5. TLS & gestion des certificats
6. RBAC & authentification
7. CAE — Cybersecurity Administration Expert
Procédure de connexion CAE (v2.9+)
Trust device certificate
CAE enregistre le certificat du T300 dans sa whitelist (clic-droit → Trust).
Send signing certificate
Envoyer le certificat de signature au T300.
Send security configuration
Envoyer la configuration de sécurité complète (RBAC, ports, politique).
Après upgrade legacy vers v2.9
Backup avant upgrade
Sauvegarder la configuration complète.
Upgrade firmware
Installer le nouveau firmware v2.9.
Restore default + reload
Restaurer la configuration par défaut. Recharger la configuration opérationnelle précédente.
Reconnecter au CAE
Effacer l'ancien certificat dans CAE. Se connecter en tant que « PowerLogic T300 V2.9.0 ». Charger la nouvelle configuration de sécurité.
TLS 1.0 et 1.1 supprimés définitivement (connexion rejetée).
Upgrader le firmware au moins 1×/an.
Vérifier les ports TCP autorisés par les firewalls & opérateurs telecom.
Éviter les anciennes versions d'OS (ex: Windows 7).
Utiliser CAE v2.4.4+ avec template HU250 v2.8.7+.