Ce qu’AegisOT ne fera jamais sur vos lignes.
La découverte et le scan actifs peuvent perturber des automates anciens ou chargés. AegisOT a fait le choix inverse : il travaille à partir de votre inventaire et des avis officiels.
Jamais
- Aucun agent installé sur vos équipements
- Aucune sonde ni copie de trafic à déployer
- Aucun scan de ports ni découverte réseau
- Aucune commande industrielle, aucune écriture, aucun redémarrage
- Aucune adresse contactée qui n’ait été enregistrée par vos soins
Seulement si vous l’activez : la supervision de disponibilité
- Ping (ICMP, 1 à 5 paquets) ou connexion TCP ouverte puis refermée, sans aucun octet applicatif
- Uniquement vers les adresses IP enregistrées sur l’équipement ; diffusion et multidiffusion refusées
- 8 contrôles au plus par équipement, de 1 minute à 24 heures d’intervalle
- Débit et concurrence plafonnés par organisation et par déploiement, départs étalés
- Exécutions manuelles limitées et tracées ; contrôles des données de démonstration jamais exécutés
Installé chez vous. Vos données restent chez vous.
AegisOT se déploie sur votre infrastructure, sous forme de conteneurs Docker. Votre inventaire, vos vulnérabilités et vos tickets ne quittent pas vos serveurs.
- Une pile complète et autonome : PostgreSQL, Redis, application web, worker, migrations automatiques ; chaque service est surveillé par un contrôle de santé.
- Seules connexions sortantes : les sources officielles, en HTTPS, sur une liste d’hôtes autorisés. Passage par votre proxy d’entreprise possible.
- Polices et ressources hébergées localement : l’interface ne dépend d’aucun service tiers.
- Plusieurs workers possibles sans doublon : planifications idempotentes et verrous par source.
- Sauvegarde par simple export de la base ; montée de version avec application automatique des migrations.
- Sondes de santé et métriques Prometheus pour votre supervision.
Un outil de sécurité qui s’applique ses propres règles.
AegisOT concentre des informations sensibles sur votre parc industriel. Il est construit pour les protéger, à chaque couche.
Authentification
Mots de passe Argon2id, verrouillage après échecs répétés, limitation de débit par adresse et par compte, temps de réponse égalisé.
Sessions
Jetons opaques stockés hachés, expiration glissante et absolue, révocation à la déconnexion, au changement de rôle ou de mot de passe.
Autorisations
Contrôle des rôles côté serveur sur chaque route et dans chaque service, cloisonnement strict par organisation.
Navigateur
Cookies HttpOnly et SameSite, contrôle d’origine sur toute modification (CSRF), CSP stricte par nonce, HSTS, en-têtes de sécurité.
Protection SSRF
Les connecteurs ne contactent que des hôtes autorisés par l’administrateur, en HTTPS, avec validation DNS à la connexion et redirections revérifiées.
Données sensibles
Secrets en variables d’environnement, adresses de webhook chiffrées (AES-256-GCM), journaux sans données sensibles.
Entrées contrôlées
Validation de chaque requête, imports bornés et assainis, injection de formules CSV neutralisée, contenu des avis converti en texte.
Traçabilité
Journal d’audit exportable (acteur, adresse, différences avant et après), historique par équipement et par ticket.
Fiable par construction
- Requêtes conditionnelles : seuls les avis modifiés sont téléchargés
- Reprises automatiques avec temporisation progressive
- Un document en échec n’interrompt jamais une synchronisation
- Source signalée après trois échecs consécutifs
Testé à chaque modification
- Tests unitaires du moteur de versions, des plages, du rapprochement et du score
- Tests d’intégration sur base réelle : import, ingestion, tickets, droits
- Scénario complet de bout en bout dans un navigateur
- Intégration continue : analyse, typage, tests, construction des images
Des données sous votre contrôle
- Hébergées sur vos serveurs, sauvegardées selon vos règles
- Données de démonstration entièrement fictives, identifiées et supprimables en un clic
- Avis CISA (domaine public) seuls conservés en copie brute
- Exports CSV et API pour réutiliser vos données
Et sur un réseau très cloisonné ?
Si l’accès aux sources officielles n’est pas souhaité depuis votre réseau, les avis peuvent être importés manuellement au format CSAF : ils suivent exactement le même traitement que les avis collectés automatiquement.
Parlons de votre architecture
Nous regardons ensemble votre contexte (réseau, segmentation, contraintes d’exploitation) et le déploiement adapté.
Votre OT. Sous contrôle.