Qu'est-ce que le modèle Purdue ? Définition, niveaux et bonnes pratiques

Le modèle Purdue est la norme fédérale pour la segmentation des réseaux ICS, organisant les environnements OT en six niveaux hiérarchiques avec des frontières de confiance renforcées.

Qu'est-ce que le modèle Purdue ?

Un seul poste de travail HMI compromis donne à un attaquant une autorité de commande directe sur les PLC contrôlant les processus physiques. La différence entre ce poste de travail situé derrière trois frontières de sécurité appliquées ou partageant un réseau plat avec votre serveur de messagerie d'entreprise, c'est, en termes pratiques, le modèle Purdue.

La Purdue Enterprise Reference Architecture (PERA), universellement connue sous le nom de modèle Purdue, est un cadre de référence hiérarchique qui segmente les réseaux de systèmes de contrôle industriel (ICS) en couches fonctionnelles distinctes, des processus physiques au niveau terrain jusqu'à l'informatique d'entreprise et les réseaux externes. Développé au Laboratoire de contrôle industriel appliqué de l'Université Purdue en 1991 par Theodore J. Williams et le consortium Industry-Purdue University pour la fabrication intégrée par ordinateur, le modèle traitait à l'origine des flux de données dans la fabrication intégrée par ordinateur, et non de la cybersécurité.

À mesure que les industries connectaient l'OT à l'IT, la structure hiérarchique est devenue la base naturelle pour définir ce qui doit et ne doit pas communiquer à travers les frontières réseau. Aujourd'hui, le modèle organise les environnements ICS en niveaux 0 à 5 (plus un niveau critique 3.5 DMZ industrielle), chacun avec des composants définis, des frontières de confiance et des exigences de sécurité spécifiques.

Des recherches du DOE confirment que le modèle « est utilisé comme architecture de référence pour tous les cadres de systèmes de contrôle industriel tels que l'API 1164 et le NIST 800-82. »

Comprendre ce qu'est le modèle Purdue n'est cependant que la première étape. Son importance dans la sécurité industrielle moderne provient de la manière dont il traduit cette structure hiérarchique en protections concrètes de cybersécurité.

Comment le modèle Purdue se rapporte à la cybersécurité

La valeur de sécurité fondamentale du modèle Purdue est d'établir des frontières de confiance claires entre les environnements OT et IT, permettant la  défense en profondeur grâce à des zones de sécurité en couches. L'ISA-95 a formalisé son approche hiérarchique dans une terminologie standardisée, et l'ISA/IEC 62443 a construit son architecture de zones et de conduits de sécurité directement sur la base du modèle.

CISA, NIST et le DoD soutiennent activement le modèle Purdue dans les recommandations actuelles pour 2025 :

• Les avis 2025 de la CISA le mentionnent comme « un guide pour les zones de sécurité en couches »
• Le NIST l'a intégré dans la SP 800-82 Révision 3
• Le Département de la Défense le référence dans ses recommandations OT zéro confiance

Lorsque vous défendez des choix d'architecture devant des auditeurs ou des régulateurs, le modèle Purdue bénéficie d'un soutien fédéral inter-agences.

L'industrie manufacturière représentait 27,7 % de toutes les cyberattaques en 2025, le taux le plus élevé de tous les secteurs pour la cinquième année consécutive, selon l' IBM X-Force 2026 Index. Ces chiffres démontrent pourquoi la segmentation structurée dans les environnements industriels n'est pas une amélioration optionnelle.

Pour comprendre comment cette segmentation fonctionne en pratique, il faut savoir ce qui se trouve à chaque niveau et quelles sont les obligations de sécurité associées.

Les six niveaux du modèle Purdue

Le modèle Purdue définit six niveaux fonctionnels (0–5), plus la DMZ industrielle ajoutée pour répondre à la convergence IT/OT. Chaque niveau contient des composants spécifiques, présente un profil de risque défini et nécessite des contrôles de sécurité distincts.

Niveau 0 : Processus physique

Le processus industriel réel contrôlé. Les capteurs, actionneurs, vannes, moteurs et équipements de production se trouvent ici. L'exigence principale est le contrôle d'accès physique et la protection de l'intégrité des signaux.

Niveau 1 : Contrôle de base

Contrôle programmable en temps réel des processus physiques. Les PLC, RTU, systèmes instrumentés de sécurité (SIS) et dispositifs électroniques intelligents exécutent la logique de contrôle. Ce sont des cibles de grande valeur car leur compromission permet la manipulation directe des processus physiques. Ils fonctionnent généralement sous des systèmes d'exploitation temps réel sans prise en charge de l'authentification moderne ou des correctifs. Le DOE classe les niveaux 0 et 1 ensemble comme la zone de sécurité avec un profil de risque critique.

Niveau 2 : Contrôle de supervision

Interaction homme-machine et supervision. Les HMI, SCADA, postes opérateurs et serveurs de contrôle locaux résident ici. Ce niveau est la cible principale du  mouvement latéral des attaquants depuis l'IT car il exécute des systèmes d'exploitation Windows tout en conservant une autorité de commande directe sur les PLC de niveau 1, ce qui constitue une faille critique de surveillance et de confinement dans de nombreux environnements.

Niveau 3 : Opérations du site

Gestion des opérations à l'échelle de l'usine. Les systèmes MES, historiens de données, systèmes de contrôle de lots et plateformes de supervision OT agrègent toutes les données OT vers le haut. Les historiens à ce niveau sont un point de jonction IT/OT courant et ont historiquement été exploités comme points de pivot entre les environnements.

Niveau 3.5 : DMZ industrielle (iDMZ)

Cette couche n'existait pas dans le modèle original des années 1990. Les recommandations du DOE précisent : « Ce niveau n'a pas été conçu initialement dans le modèle Purdue ; cependant, avec la convergence continue de l'OT et de l'IT, cette couche abstraite est essentielle pour garantir la séparation des communications. » Elle contient des pare-feu périmétriques aux frontières IT et OT, des diodes de données, serveurs proxy, réplicas d'historiens et serveurs de rebond. Aucune connexion directe IT-OT ne traverse cette zone.

Niveau 4 : Réseau d'entreprise

Systèmes IT d'entreprise incluant ERP, CRM, Active Directory et applications métiers. L'exigence critique : aucune connectivité directe vers le niveau 2 ou inférieur.

Niveau 5 : Réseau externe

Systèmes exposés à Internet, services cloud et portails d'accès fournisseurs qui, s'ils sont correctement architecturés, n'ont aucun chemin vers l'OT sans traverser plusieurs frontières de sécurité.

Comprendre ces composants est nécessaire, mais savoir comment le trafic circule entre eux est là où l'application de la sécurité se réalise réellement.

Comment fonctionne le modèle Purdue

Le modèle Purdue applique la sécurité par le contrôle hiérarchique des communications. Chaque niveau communique principalement avec ses voisins immédiats, et tout le trafic entre la zone OT (niveaux 0 à 3) et la zone IT (niveaux 4 et 5) doit passer par la DMZ industrielle au niveau 3.5.

NIST SP 800-82 Rév. 3 exige explicitement des règles de pare-feu empêchant les dispositifs de niveau 4 de communiquer directement avec les dispositifs de niveau 2, 1 ou 0. La norme recommande également que les organisations rendent les règles sortantes aussi strictes que les règles entrantes, afin de prévenir à la fois les attaques entrantes et l'exfiltration de données sortantes.

L'ISA/IEC 62443 formalise cela via les zones et conduits. Une zone est un ensemble d'actifs partageant des exigences de sécurité communes. Un conduit est le canal de communication reliant les zones et doit être sécurisé au même niveau de criticité que la zone la plus fiable qu'il connecte.

En pratique, le flux de données fonctionne ainsi :

• Les capteurs du niveau 0 alimentent les contrôleurs du niveau 1
• Les contrôleurs du niveau 1 rapportent aux HMI et systèmes SCADA du niveau 2
• Le niveau 2 envoie les données aux historiens du niveau 3
• Les réplicas d'historiens du niveau 3 dans la DMZ servent les données aux consommateurs IT du niveau 4

Les systèmes IT ne requêtent jamais l'OT directement

Cette architecture de flux de données à sens unique, renforcée par des pare-feu, des contrôles d'accès et éventuellement des diodes de données matérielles, empêche un attaquant ayant compromis le réseau d'entreprise d'atteindre les systèmes qui contrôlent les processus physiques.

Principaux avantages de la mise en œuvre du modèle Purdue

Correctement mis en œuvre, le modèle Purdue apporte une valeur de sécurité cumulative dans quatre domaines opérationnels.

• Défense en profondeur grâce à la segmentation appliquée. Chaque niveau Purdue crée une frontière de sécurité qu'un attaquant doit franchir. Même si le réseau d'entreprise est totalement compromis par un ransomware, une segmentation appropriée peut empêcher l'arrêt opérationnel des processus physiques.
• Alignement réglementaire et normatif. Le modèle Purdue constitue la base explicite des évaluations de conformité ISA/IEC 62443, des exigences d'architecture NIST SP 800-82 et des avis actifs de la CISA. Sa mise en œuvre vous offre une architecture vérifiable et défendable devant les régulateurs.
• Confinement du mouvement latéral. Le  DBIR 2025 de Verizon a constaté que le  ransomware représente désormais 44 % de toutes les violations de données. Dans les environnements OT, le ransomware menace directement la disponibilité opérationnelle et la sécurité, pas seulement les données. La segmentation Purdue limite la propagation du ransomware de l'IT vers les zones OT.
• Contrôle compensatoire pour les systèmes hérités. Les cycles de vie des équipements industriels de 15 à 25 ans signifient que votre environnement OT contient probablement des systèmes qui ne peuvent pas être corrigés, authentifiés ou surveillés avec des outils modernes. Les recommandations de la CISA préconisent spécifiquement la segmentation réseau comme principale protection pour ces systèmes.

Ces avantages sont cumulatifs, mais seulement si la mise en œuvre est solide. Et une mise en œuvre solide commence par la compréhension des défis structurels qui rendent le modèle Purdue plus difficile à déployer qu'il n'y paraît sur le papier.

Défis de mise en œuvre du modèle Purdue

Les principes du modèle Purdue sont clairs sur le papier. La réalité opérationnelle de leur mise en œuvre dans des environnements industriels réels ne l'est pas. Plusieurs défis structurels créent systématiquement des frictions entre ce que montre le schéma d'architecture et ce que fait réellement le trafic sur le réseau.

1. La convergence IT/OT crée une architecture non documentée. Les exigences opérationnelles modernes créent en permanence de nouvelles connexions à travers les frontières Purdue. Des recherches évaluées par des pairs publiées en 2025 identifient les besoins de flux de données, la complexité des zones de sécurité et le pontage de protocoles comme les trois principaux défis de la convergence.
2. Les systèmes hérités résistent aux contrôles de sécurité modernes. Les PLC et RTU de niveau 1 fonctionnent généralement sous des systèmes d'exploitation temps réel avec des protocoles propriétaires que la plupart des outils de sécurité IT ne peuvent pas inspecter. Vous ne pouvez pas installer d'agents sur un PLC fonctionnant sous RTOS de 2005. La segmentation réseau devient alors votre seul contrôle viable.
3. La sécurité opérationnelle limite les options de sécurité. NIST SP 800-82 Rév. 3 exige explicitement que la segmentation tienne compte de la « performance opérationnelle et de la sécurité ». Les environnements ICS ne peuvent pas tolérer des échecs d'authentification ou une latence réseau qui seraient acceptables en IT. Aucun contrôle de sécurité ne doit devenir un point de défaillance unique pour la production ou les systèmes de sécurité.
4. Le cloud et l'IIoT manquent de positionnement clair dans Purdue. Le DOE précise que les dispositifs de niveau 0 et 1 ne sont pas adaptés à la virtualisation ou à l'hébergement cloud en raison des exigences de temps réel. Le cloud et la virtualisation s'appliquent au niveau 3 et au-dessus, mais de nombreuses organisations intègrent l'analytique cloud et des capteurs IIoT sans cadre clair pour leur positionnement.
5. L'accès à distance viole les principes fondamentaux. Les solutions traditionnelles de VPN créent souvent une connectivité directe vers les niveaux OT inférieurs, violant directement la hiérarchie de contrôle du modèle Purdue. La CISA a documenté des groupes hacktivistes pro-Russie ayant compromis avec succès des dispositifs de contrôle OT via des connexions VNC exposées à Internet et peu sécurisées.

Connaître ces défis vous aide à les anticiper. Mais les échecs les plus dangereux sont ceux que les équipes créent elles-mêmes.

Erreurs courantes à éviter avec le modèle Purdue

Là où les défis sont structurels, les erreurs sont des choix : des décisions prises lors de la conception, du déploiement ou de la gestion continue qui compromettent les protections que le modèle est censé offrir. Ce sont les erreurs que les chasseurs de menaces de la CISA rencontrent le plus souvent dans les environnements industriels réels.

Déployer des VLAN sans appliquer de contrôle d'accès inter-VLAN. La chasse proactive de la CISA a découvert des organisations avec des VLAN IT et SCADA séparés correctement configurés mais sans règles de pare-feu correspondantes, laissant le routage inter-VLAN non restreint. Résultat : « un utilisateur non privilégié du réseau IT [pouvait] utiliser ses identifiants pour accéder au VLAN SCADA critique. » Les VLAN seuls sont un outil de gestion réseau, pas un contrôle de sécurité.

Les erreurs suivantes aggravent cette erreur fondamentale et sont tout aussi courantes dans les environnements réels :

• Laisser en place des règles de pare-feu permissives. Les règles de dépannage « temporaires » (allow any/any, ouverture RDP/VNC) deviennent des éléments permanents qui persistent à travers les audits et les changements de personnel.
• Autoriser un accès IT direct aux contrôleurs terrain. NIST SP 800-82 Rév. 3 exige des règles de pare-feu empêchant les dispositifs de niveau 4 de communiquer avec les niveaux 2, 1 ou 0. Les violations créent des chemins d'attaque contournant tous les contrôles de supervision.
• Considérer la mise en œuvre comme un projet ponctuel. Les organisations qui déploient la segmentation Purdue et ne la réévaluent jamais accumulent des connexions non documentées à mesure que les besoins opérationnels évoluent. La validation de l'architecture doit inclure une analyse réelle du trafic et un audit des règles, pas seulement une revue des schémas.
• Accorder un accès à distance large aux fournisseurs dans les zones OT. Les recommandations de chasse aux menaces de la CISA identifient l'accès à distance des fournisseurs comme une vulnérabilité fréquemment exploitée. Un accès VPN aboutissant directement dans les zones OT plutôt que sur des serveurs de rebond DMZ crée des chemins d'attaque persistants.

Éviter ces erreurs nécessite des pratiques délibérées et alignées sur les normes.

Bonnes pratiques pour le modèle Purdue

Savoir ce qui peut mal tourner, c'est la moitié du travail. L'autre moitié consiste à construire et maintenir l'architecture de manière à résister à la pression opérationnelle, à l'audit et aux menaces actives. Les pratiques suivantes reflètent les recommandations actuelles de la CISA, du NIST et du DOE pour les environnements ICS.

Implémenter une DMZ industrielle à double pare-feu. Les recommandations de la CISA sont explicites : déployer des pare-feu à la frontière IT-DMZ et à la frontière OT-DMZ, deux points d'application distincts. Héberger tous les services partagés (historiens, serveurs de rebond, points d'accès à distance) dans la DMZ. Les hôtes DMZ ne doivent pas initier de connexions vers les zones OT.

Déployer des contrôles de sécurité adaptés aux ICS. Les pare-feu IT standards sont insuffisants. La CISA exige des pare-feu SCADA capables d'inspecter les protocoles industriels au niveau applicatif, une liste blanche applicative pour les protocoles autorisés, et une inspection approfondie des paquets pour les communications industrielles.

À partir de là, quatre contrôles opérationnels renforcent l'architecture au quotidien :

• Appliquer des contrôles de communication bidirectionnels. NIST SP 800-82 Rév. 3 recommande de rendre les règles sortantes aussi strictes que les règles entrantes, empêchant à la fois les attaques entrantes et l'exfiltration de données sortantes depuis des systèmes OT compromis.
• Utiliser des diodes de données pour les flux à haute sécurité. Le transfert de données unidirectionnel imposé par le matériel pour la réplication des historiens empêche physiquement toute communication inverse, éliminant le risque de commande et contrôle dans l'OT via les canaux des historiens.
• Valider l'architecture par rapport au trafic réel. Comparer les jeux de règles de pare-feu aux schémas réseau. Les chasses aux menaces de la CISA ont constaté à plusieurs reprises des contradictions entre les deux. Simuler des scénarios d'attaque : tenter d'atteindre les VLAN SCADA critiques à partir de comptes IT non privilégiés compromis.
• Terminer tout accès à distance dans la DMZ. Chaque session à distance de fournisseur, employé ou sous-traitant doit aboutir sur des serveurs de rebond de niveau 3.5 avec journalisation de session, jamais directement dans les zones OT.

Étendre avec le zéro confiance aux niveaux supérieurs. Tant  les recommandations 2025 de la CISA que la position Zero Trust pour l'OT du DoD considèrent le  zéro confiance comme complémentaire à Purdue, et non comme un remplacement. La vérification d'identité s'applique au niveau 3.5 et au-dessus. Les niveaux 0 à 2 nécessitent la segmentation réseau comme contrôle principal.

Ces pratiques reflètent le modèle tel qu'il a été conçu pour fonctionner. Mais le modèle Purdue lui-même a évolué, et comprendre cette évolution est essentiel pour les équipes opérant dans des environnements où IT et OT ne sont plus strictement séparés.

L'évolution moderne : convergence IT/OT et Purdue 2.0

Le modèle Purdue a évolué d'une architecture à 6 niveaux vers un modèle à 7 niveaux avec le niveau 3.5 comme contrôle de sécurité obligatoire. Les architectes de sécurité parlent désormais de « Purdue 2.0 », représentant une adaptation plutôt qu'un remplacement. Le principe de segmentation hiérarchique combiné à la iDMZ du niveau 3.5 reste l'approche la plus validée opérationnellement pour la protection des processus industriels physiques.

Pour les équipes de sécurité gérant ces environnements de plus en plus convergents, la visibilité inter-environnements devient essentielle pour détecter les menaces traversant les frontières IT/OT et corréler les activités suspectes sur les endpoints, les identités et le trafic réseau.

Points clés à retenir

Le modèle Purdue reste l'architecture de référence approuvée au niveau fédéral pour la segmentation réseau des ICS, organisant les environnements industriels en niveaux hiérarchiques avec des frontières de confiance appliquées. La DMZ industrielle au niveau 3.5 est désormais obligatoire pour tout environnement OT connecté. 

La réussite de la mise en œuvre dépend de l'application, non de la conception : validez les règles de pare-feu par rapport au trafic réel, terminez tout accès à distance dans la DMZ et déployez des contrôles de sécurité adaptés aux ICS. Avec le ransomware présent dans  44 % des violations et l'industrie manufacturière la plus ciblée pour la cinquième année consécutive, la segmentation basée sur Purdue n'est pas optionnelle.

FAQ

Qu'est-ce que le modèle Purdue ?

L’architecture de référence d’entreprise Purdue (PERA), communément appelée modèle Purdue, est un cadre hiérarchique qui segmente les réseaux des systèmes de contrôle industriel (ICS) en couches fonctionnelles distinctes, allant des processus physiques au niveau 0 jusqu’aux réseaux informatiques d’entreprise et réseaux externes aux niveaux 4 et 5. 

Développée à l’Université Purdue en 1991, elle a été initialement conçue pour la fabrication intégrée par ordinateur et est depuis devenue l’architecture de référence standard pour la sécurité des ICS, activement soutenue par la CISA, le NIST et le Département de la Défense.

Le modèle Purdue est-il toujours pertinent en 2025 ou a-t-il été remplacé par le zero trust ?

Le modèle Purdue reste activement soutenu par la CISA, le NIST et le DoD en 2025. Le zero trust le complète plutôt qu'il ne le remplace. Les recommandations 2025 de la CISA et la documentation Zero Trust for OT du DoD positionnent toutes deux le zero trust comme un renforcement applicable au niveau 3.5 et au-delà. 

Les niveaux 0 à 2 ne peuvent généralement pas prendre en charge les contrôles basés sur l'identité, ce qui fait de la segmentation réseau le principal mécanisme de protection pour le contrôle des processus physiques.

Quelle est la différence entre le modèle Purdue original et le modèle Purdue étendu ?

Le modèle original de 1991 définissait six niveaux (0 à 5) pour les flux de données de fabrication intégrée par ordinateur. Le modèle Purdue étendu ajoute le niveau 3.5, la DMZ industrielle, comme zone tampon obligatoire entre l'OT (niveaux 0 à 3) et l'IT (niveaux 4 et 5). 

Le DOE a développé cette extension spécifiquement parce que la convergence IT/OT rendait la frontière originale insuffisante. Toutes les recommandations gouvernementales actuelles considèrent le niveau 3.5 comme essentiel.

Comment le modèle Purdue s'aligne-t-il avec l'ISA/IEC 62443 ?

ISA/IEC 62443 construit son architecture de sécurité basée sur les zones et les conduits directement sur les niveaux hiérarchiques du modèle Purdue. Chaque niveau Purdue correspond à une zone de sécurité avec des niveaux de sécurité définis (SL 1 à 4), allant de la protection de base à la défense contre des attaques sophistiquées, sponsorisées par des États. 

Les conduits reliant les zones doivent être sécurisés selon le même niveau de criticité que la zone la plus fiable à laquelle ils sont connectés. Cette cartographie offre aux équipes de sécurité une architecture vérifiable et conforme aux normes pour les évaluations de conformité ICS et les examens réglementaires.

Pourquoi le niveau 2 est-il considéré comme la faille de sécurité la plus importante dans les environnements ICS ?

Le niveau 2 contient les systèmes SCADA et les IHM qui exécutent des systèmes d'exploitation basés sur Windows tout en conservant une autorité de commande directe sur les PLC du niveau 1. Cela les rend vulnérables aux techniques d'attaque IT classiques et simultanément capables de commander des processus physiques. 

Parce que le niveau 2 devient souvent le point de pivot entre la compromission de l'entreprise et l'impact sur les processus physiques, il représente fréquemment la faille de surveillance et de contrôle d'accès la plus critique dans les installations réelles.

Quelle est la défaillance de mise en œuvre la plus courante du modèle Purdue ?

Déployer des VLAN sans appliquer de contrôles d'accès inter-VLAN. Les analyses proactives des menaces menées par la CISA ont documenté des organisations disposant de VLAN IT et SCADA correctement séparés mais sans règles de pare-feu entre eux, permettant ainsi à des utilisateurs IT non privilégiés d'accéder aux réseaux SCADA critiques. 

Les VLAN organisent le trafic réseau ; ils ne le restreignent pas. Sans règles de pare-feu correspondantes limitant explicitement la communication inter-VLAN, un attaquant qui compromet le réseau IT peut se déplacer librement vers les systèmes OT. La segmentation par VLAN seule ne constitue pas une frontière de sécurité significative.