ZCR1 — Identify the SUC
ZCR 1 modélise le System Under Consideration (SUC) : inventaire des équipements et réseaux, fonctions assurées, utilisateurs et rôles, points d'accès, puis un diagramme visuel du système et une analyse des vulnérabilités connues (CVE) des équipements recensés.
Onglets
Équipements · Réseaux (optionnel) · Fonctions · Utilisateurs & Rôles · Points d'accès · Diagramme SUC · Guide.
L'interrupteur Réseaux dans l'en-tête affiche ou masque l'onglet Réseaux (et la colonne associée dans le tableau Équipements).
Données partagées avec EBIOS RM
Les Équipements et Réseaux sont en réalité des biens supports EBIOS RM filtrés par catégorie (Matériel, Réseau), et les Fonctions correspondent aux valeurs métier de l'Atelier 1.2 EBIOS RM. Un bien créé ici est donc visible depuis le module EBIOS RM et inversement.
Onglet Équipements
Barre d'outils : ＋ Équipement, 📚 Depuis bibliothèque (import filtrable par domaine Tous/OT/IT/Les deux), recherche.
| Colonne | Description |
|---|---|
| Nom | Tag industriel ou libellé fonctionnel |
| Type | Chips multi-valeurs (picker) — PLC/DCS, IHM, Serveur SCADA, réseau, capteur/actionneur, poste d'ingénierie… |
| Description | Rôle fonctionnel |
| Localisation | |
| Responsable | |
| Réseaux | Chips (si l'onglet Réseaux est activé) |
Onglet Réseaux
Barre d'outils : ＋ Réseau (dialogue Nom + Type). Tableau : Nom, Type (sélecteur), Équipements connectés (chips + modal d'association), Description, Localisation.
Onglet Fonctions
Barre d'outils : ＋ Fonction, 📚 Depuis bibliothèque OT. Tableau : Nom de la fonction, Catégorie, Type/Précision, Description, Responsable.
Onglet Utilisateurs & Rôles
Barre d'outils : ＋ Utilisateur. Tableau : Nom/Identifiant, Rôle (Administrateur, Opérateur, Mainteneur, Intégrateur…), Niveau d'accès (boutons SL1 à SL4), Description.
Onglet Points d'accès
Barre d'outils : ＋ Point d'accès, compteurs « X exposé(s) » / « Y chiffré(s) ». Tableau :
| Colonne | Description |
|---|---|
| Nom | |
| Type | Type de point d'accès (physique, réseau, sans fil, distant…) |
| Protocole | |
| Exposé ext. | Bascule Oui/Non |
| Chiffrement | Bascule ✓/✗ |
| Authentification | Mécanisme en place |
| Description |
Les lignes correspondant à un point d'accès exposé sont surlignées.
Diagramme SUC
Éditeur graphique SVG permettant de positionner visuellement équipements, zones et conduits.
Barre d'outils
| Bouton | Fonction |
|---|---|
| ☰ Palette | Affiche/masque la palette latérale |
| ↖ Sélection | Mode sélection |
| ↔ Lien | Créer un lien entre deux nœuds |
| ▭ Zone | Dessiner une zone par glisser |
| ⇥ Conduit | Créer un conduit entre deux zones |
| ✕ Supprimer | Supprime l'élément sélectionné |
| ⊘ Effacer tout | Vide le diagramme (confirmation requise) |
| ↓ Export SVG | Télécharge le diagramme en image SVG |
| ＋ Équipements / ＋ Zones | Importe les éléments pas encore placés sur le diagramme |
| ⟳ Import ZCR3 | Importe zones, équipements et conduits définis dans ZCR3 (voir ci-dessous) |
| ⊕ Anchors | Affiche/masque les points d'ancrage des conduits |
Sélecteurs additionnels : épaisseur de trait du conduit sélectionné (2/4/6/8/12), style de trait — ━ Droit, 〜 Courbe, ⌐ Orthogonal.
La palette latérale liste les éléments disponibles (glisser-déposer), filtrables par domaine OT/IT/Les deux. Double-clic sur un nœud pour le renommer ; touche Suppr pour l'effacer.
Import ZCR3 et synchronisation avec ZCR3 — Zones & Conduits
Le bouton ⟳ Import ZCR3 rapatrie sur le diagramme tout ce qui existe dans ZCR3 — Zones & Conduits mais n'y est pas encore dessiné :
- Zones — chaque zone ZCR3 absente du diagramme est ajoutée sous forme de rectangle, avec son nom et son niveau cible SL-T (badge coloré).
- Équipements — les équipements rattachés à une zone ZCR3 sont placés automatiquement à l'intérieur du rectangle de leur zone.
- Conduits — les conduits ZCR3 dont les deux zones sont présentes sur le diagramme sont tracés.
Le badge sur le bouton indique le nombre d'éléments restant à importer. L'import est incrémental : rien n'est dupliqué ni écrasé, seuls les éléments manquants sont ajoutés — on peut donc cliquer à nouveau après avoir complété ZCR3.
Synchronisation continue
Une fois liés (import ou création), le diagramme et ZCR3 restent cohérents :
| Action sur le diagramme | Effet dans ZCR3 |
|---|---|
| Dessiner une zone | Crée la zone ZCR3 correspondante |
| Tracer un conduit (ou raccorder une zone à un conduit existant) | Crée le conduit ZCR3 correspondant |
| Renommer une zone ou un conduit | Renomme l'objet ZCR3 lié |
| Supprimer une zone ou un conduit | Supprime l'objet ZCR3 lié |
| Déplacer un équipement dans/hors d'une zone | Met à jour la liste des équipements de la zone ZCR3 |
Dans l'autre sens, les informations ZCR3 (niveau cible SL-T, description, exigences applicables) sont affichées en direct sur le diagramme et dans le panneau latéral — le SL-T peut d'ailleurs y être modifié directement. En revanche, une zone ou un conduit créé dans ZCR3 n'apparaît pas automatiquement : il alimente le compteur du bouton ⟳ Import ZCR3, qui permet de l'ajouter au diagramme.
Source de vérité
ZCR3 reste la référence pour les données d'analyse (SL-T, exigences, appartenance des équipements) ; le diagramme est la vue graphique de ce partitionnement.
Analyse CVE équipements
Accessible via le bouton Analyse CVE de l'onglet Équipements (route dédiée /iec62443/zcr1-vulnerabilites), cette analyse croise l'inventaire ZCR1 avec les bases publiques de vulnérabilités (NVD/ICS-CERT) pour préparer les scénarios de menace de ZCR5.
Onglets
Inventaire équipements · Analyse CVE · Scénarios suggérés.
Inventaire équipements
Barre d'outils : recherche, Importer CSV / Nmap XML, Analyser tous les CVE. Tableau : Nom, Type, Vendor/Fabricant, Modèle, Firmware/Version, Localisation, colonne CVE (statut de chargement ou badge « N CVE » coloré par score maximal, bouton « Analyser » par ligne).
Analyse CVE
Filtre par sévérité (Tous niveaux, Critique ≥9, Élevé ≥7, Moyen ≥4, Faible). Un bloc par équipement avec un tableau : CVE ID (lien NVD), Score CVSS, CWE, Vulnérabilité canonique, Description, Date de publication.
Scénarios suggérés
Tableau sélectionnable (case à cocher) : Équipement, CVE, Score, Vulnérabilité canonique, Description, Statut (Injecté / En attente). Bouton Injecter dans ZCR5.2 (N).
Bouton ✦ IA « Suggérer des CVE »
Si l'IA est activée, ce bouton génère 3 à 6 CVE réelles ou typiques pour un équipement donné (vendor/modèle), fusionnées avec celles déjà trouvées.
Rate-limit NVD
L'analyse séquence les requêtes (environ 700 ms entre chaque) pour respecter la limite de l'API publique NVD (5 requêtes / 30 s sans clé API). Une analyse complète d'un grand inventaire peut donc prendre plusieurs minutes.