Dans un hôpital ou une usine, la boîte à outils habituelle d’un SOC n’existe tout simplement pas. Pas d’agent EDR sur un échographe livré avec un système déjà obsolète. Pas de journaux exploitables sur un moniteur patient piloté par un système temps réel. Et de toute façon, vous n’avez pas le droit de toucher à l’appareil. Présentée en mai 2026 à Auvergn’hack, cette conférence montrait ce qu’il reste quand tout le reste est impossible : écouter le réseau.

Premier article tiré de cet événement, et un sujet qui concerne bien au-delà de la santé : toute organisation qui exploite des équipements qu’elle ne peut ni mettre à jour, ni modifier, ni instrumenter.

Pourquoi l’outillage habituel ne s’applique pas

Un SOC classique s’appuie sur des agents sur les postes, des journaux système, des journaux de pare-feu, de virtualisation, de VPN. En environnement industriel ou biomédical, quatre contraintes s’empilent et neutralisent à peu près tout :

  • L’obsolescence par conception. Ces équipements vivent dix à vingt ans. Certains arrivent neufs avec un système d’exploitation déjà en fin de vie, et y restent pendant des décennies.
  • La contrainte réglementaire. Modifier un dispositif médical, même pour activer le pare-feu intégré, peut invalider son marquage CE. En cas d’incident grave, la responsabilité bascule vers l’établissement qui a modifié l’appareil, et le constructeur se dégage. Autant dire que personne ne touche à rien.
  • La contrainte technique. Ressources limitées, systèmes embarqués sans agent compatible, systèmes anciens que les outils modernes ne savent plus gérer.
  • L’absence de journaux. Un système temps réel ne produit souvent rien d’exploitable. Il n’y a rien à envoyer à un SIEM.
La question n’est donc pas « comment protéger la machine », puisque vous n’y avez pas accès. Elle est « comment voir ce qui se passe autour d’elle ».

Le NDR, et surtout ce qu’il n’est pas

Le principe est simple et ancien : une sonde branchée sur un boîtier TAP ou un port miroir du commutateur reçoit une copie du trafic, et l’analyse passivement. Aucun agent, aucune modification, aucun paquet émis vers les équipements. C’est précisément ce qui rend la mesure acceptable là où tout le reste est interdit.

Ce que cela rend visible : les communications anormales à l’intérieur d’un VLAN industriel, y compris d’un appareil à l’autre, les protocoles anciens et vulnérables qui traînent encore (SMBv1, NTLMv1, FTP en clair), et le comportement caractéristique des outils d’attaque.

Ce que cela ne voit pas, et il faut le dire franchement : tout ce qui reste local. Une élévation de privilèges qui ne produit aucun paquet n’apparaîtra jamais. Le NDR ne remplace pas l’EDR, il le complète. Mais en milieu industriel, le trafic interne ne traverse aucun pare-feu : sans sonde, il est simplement invisible, et l’absence d’alerte ne veut rien dire du tout.

Suricata, et un point de souveraineté méconnu

Suricata est un moteur de détection réseau libre. Son histoire mérite d’être connue : il est né de la difficulté à contribuer à Snort après le rachat de ce dernier par Cisco. Son créateur l’a volontairement placé sous la gouvernance d’une fondation à but non lucratif, l’OISF, pour garantir qu’il reste ouvert et ne devienne pas un produit fermé.

Le détail qui intéressera les organisations françaises : l’ANSSI est membre de l’OISF depuis une dizaine d’années et finance en partie le développement du moteur. Conséquence directe, les sondes souveraines qualifiées par l’ANSSI reposent sur Suricata en interne. Quand vous expérimentez avec Suricata, vous travaillez avec le même moteur que celui qui équipe les solutions qualifiées.

Au-delà de la détection, l’outil fait aussi du network security monitoring : il trace ce qui passe et conserve les métadonnées, ce qui change tout le jour où il faut reconstituer un incident.

PAW Patrules : plus de 20 000 règles, gratuites

L’intervenant présentait son projet communautaire, PAW Patrules, un jeu de règles de détection libre pour Suricata. Plus de 20 000 règles couvrant les flux suspects, les outils offensifs, les systèmes obsolètes et vulnérables, les mouvements latéraux, les mauvaises pratiques et le shadow IT. Démarré en 2020, éprouvé deux ans, public depuis 2022, et désormais intégré directement à l’outil de mise à jour des règles.

L’activation tient en une commande :

suricata-update enable-source pawpatrules

Utilisateurs revendiqués au moment de la conférence : quelques centaines d’organisations et plusieurs milliers de téléchargements par jour, parmi lesquelles des CERT, des universités, des hôpitaux, des ministères et des industriels. Cela fonctionne sur toute solution fondée sur Suricata, sondes souveraines comprises.

Trois démonstrations, un même constat

Un poste sous Windows XP, et Responder

Une machine cherche un partage réseau qui n’existe pas. Faute de réponse DNS, elle interroge les protocoles de résolution de voisinage, et un outil d’attaque répond à sa place pour capturer une empreinte d’authentification.

La sonde repère la manœuvre à plusieurs signes : la version du protocole, les options renvoyées, le défi d’authentification, et jusqu’au nom de machine généré par l’outil, dont la longueur est caractéristique. Mais le vrai enseignement est ailleurs : la simple présence de SMBv1 et de NTLMv1 sur un réseau en 2026 est déjà une alerte en soi, avant même qu’une attaque ne survienne.

Un moniteur patient sous VxWorks, et seize ans d’inertie

La démonstration porte sur un moniteur patient équipé d’un système temps réel embarqué, sur un réseau fermé. Le scan révèle un agent de débogage constructeur ouvert sur le port 17185 en UDP, plus des services RPC. Cet agent n’a ni authentification, ni poignée de main, ni identifiant de session. Il permet de lire la mémoire, d’y écrire et d’appeler des fonctions.

S’enchaînent alors : identification précise du système et du micrologiciel, lecture des paramètres de démarrage qui livrent en clair l’adresse du serveur FTP de mise à jour et ses identifiants, copie de la mémoire à distance, redémarrage à distance, plantage par fuzzing, et pour finir le reflashage du micrologiciel en plaçant un faux serveur FTP à l’adresse attendue.

Voici ce que nous avons vérifié, et qui donne toute sa portée à la démonstration : les modules utilisés proviennent d’un travail publié en 2010 par Rapid7, qui recensait alors plus de 250 000 systèmes exposant ce service de débogage sur Internet. Le CERT/CC et l’agence américaine de cybersécurité industrielle ont publié des avis à l’époque. Seize ans plus tard, les mêmes outils fonctionnent sur un équipement de santé. Ce n’est pas une faille récente, c’est une dette que personne n’a payée.

Un scanner d’imagerie, et une authentification qui n’en est pas une

Le protocole DICOM, qui régit l’échange d’images médicales entre scanners, échographes et serveurs, date de 1983, sa partie réseau de 1988. Son contrôle d’accès repose sur l’AE Title, une simple chaîne de caractères. Et beaucoup d’équipements acceptent n’importe quelle valeur.

Conséquence : quiconque atteint le réseau peut s’associer à l’équipement, puis récupérer ou déposer des images de patients. La démonstration l’établit en deux temps, un scan confirmant que tout AE Title est accepté, puis un client standard qui télécharge les images. La sonde, elle, voit la requête d’association et la réponse positive. C’est à peu près impossible à constater autrement que par le réseau.

Et ce n’est pas un problème de laboratoire : une étude de 2025 a recensé une trentaine de systèmes britanniques répondant à des requêtes DICOM directement depuis Internet.

Le vrai angle mort est organisationnel

La conférence se terminait sur une observation qui n’a rien de technique, et qui est probablement la plus importante. DICOM et les équipements biomédicaux sont gérés par des ingénieurs biomédicaux, pas par la direction informatique. Les deux populations se parlent peu, parfois mal, et souvent uniquement en cas de panne.

Résultat, le protocole reste méconnu des équipes sécurité, et les équipements restent hors de leur cartographie. Aucune sonde ne corrige cela.

Ce qu’on en retient chez Humanix

  • Quand vous ne pouvez pas instrumenter la machine, instrumentez le câble. C’est la seule mesure qui survive à l’argument du marquage CE, puisqu’elle ne modifie rigoureusement rien sur l’appareil. Cet argument débloque des projets : beaucoup d’établissements croient n’avoir aucune option, alors qu’ils en ont une, passive et incontestable.
  • Commencez par la carte, pas par la sonde. Quels VLAN, quels équipements, quels protocoles. L’inventaire réel réserve presque toujours des surprises, et il conditionne où poser le TAP.
  • Deux vérifications qui ne coûtent rien. Vos équipements DICOM restreignent-ils réellement l’AE Title ? Et quelque chose expose-t-il un service de débogage constructeur ou des RPC non protégés sur vos segments techniques ? Deux questions, deux réponses, et vous savez où vous en êtes.
  • L’outillage libre et souverain existe. Suricata et PAW Patrules coûtent une sonde et du temps. Pour une structure qui pensait la détection industrielle hors de portée financièrement, c’est un point de départ crédible, et c’est le même moteur que les solutions qualifiées.
  • Faites parler le biomédical et l’informatique. C’est le chantier à plus forte valeur, et personne ne le porte spontanément parce qu’il n’appartient à aucun des deux. Un tiers extérieur y est souvent plus efficace, non par compétence supérieure, mais parce qu’il n’a pas d’histoire avec l’autre service.
  • Et rien ne convainc comme une démonstration. Expliquer à une direction d’établissement que son imagerie « présente un risque » ne produit rien. Lui montrer une image de patient récupérée depuis le réseau, sans mot de passe, change la conversation en trente secondes. La preuve avant le verdict.

À retenir

  • En milieu industriel et biomédical, l’EDR et la collecte de journaux sont souvent impossibles : obsolescence structurelle, marquage CE invalidé par toute modification, systèmes embarqués sans agent, absence de journaux.
  • Le NDR analyse une copie passive du trafic via TAP ou port miroir. Il ne modifie rien sur les équipements, ce qui le rend acceptable là où tout le reste est interdit.
  • Il ne remplace pas l’EDR et ne voit pas les événements purement locaux. Mais en OT, le trafic interne ne traverse aucun pare-feu : sans sonde, il est invisible.
  • Suricata est gouverné par une fondation à but non lucratif, cofinancé par l’ANSSI, et équipe en interne les sondes souveraines qualifiées.
  • PAW Patrules fournit gratuitement plus de 20 000 règles, activables par une seule commande.
  • Trois faiblesses illustrées : SMBv1 et NTLMv1 encore présents, un agent de débogage embarqué sans aucune authentification et documenté publiquement depuis 2010, et des équipements DICOM acceptant n’importe quel AE Title.
  • L’angle mort principal reste organisationnel : le biomédical et l’informatique ne se parlent pas.

Note et sources. Compte-rendu, à visée pédagogique, d’une conférence d’Auvergn’hack tenue le 29 mai 2026, consacrée à la détection réseau en environnement industriel et biomédical. Nous décrivons les faiblesses et leurs contre-mesures, pas de procédure d’attaque. Nous avons vérifié et complété plusieurs points du compte-rendu : le jeu de règles s’appelle PAW Patrules et s’active par suricata-update enable-source pawpatrules ; l’exposition du service de débogage embarqué est documentée publiquement depuis 2010 ; et l’exposition de serveurs DICOM sur Internet a fait l’objet d’une étude récente. Un parc industriel ou biomédical sans visibilité réseau ? Contactez-nous.