Référence des ports
Port 102 (TCP) – S7comm
Communication Siemens S7 sur ISO-on-TCP (COTP/TPKT) — contrôle et programme les automates SIMATIC S7.
État par défaut
Ouvert sur les automates Siemens S7-300/400/1200/1500 et les CP, généralement sans authentification sur le protocole lui-même.
Attaques courantes
- Commandes de démarrage/arrêt d'automate sans authentification stoppant un procédé
- Lecture et téléversement de la logique et de la configuration de l'automate
- Écriture en mémoire/blocs pour manipuler le procédé contrôlé
- Énumération de l'appareil : CPU, firmware, série via s7-info
Durcissement
- Ne jamais exposer le port 102 à Internet — garder les automates sur un réseau OT isolé
- Segmenter avec pare-feu/DMZ et utiliser des passerelles unidirectionnelles si possible
- Activer la protection d'accès S7 et les listes connues/restrictions de communication sur les CPU récentes
- Surveiller le trafic OT avec un IDS spécialisé ICS pour les commandes S7 anormales
Commande nmap
nmap -p102 --script s7-info <target>Remplacez <target> par l’hôte ou la plage que vous êtes autorisé à scanner.
Ce qui s'exécute sur le port 102
Le port 102 véhicule S7comm, le protocole propriétaire de Siemens pour les automates SIMATIC S7, encapsulé dans ISO-on-TCP (TPKT/COTP, RFC 1006). Les outils d'ingénierie comme TIA Portal et STEP 7 l'utilisent pour lire et écrire la mémoire de l'automate, téléverser et télécharger des blocs de programme, et démarrer ou arrêter la CPU sur les contrôleurs S7-300, S7-400, S7-1200 et S7-1500 et leurs processeurs de communication.
Pourquoi c'est important pour la sécurité
Le S7comm classique a été conçu pour des réseaux isolés et de confiance et n'a aucune authentification. Tout hôte pouvant atteindre le port 102 peut lire les données de procédé, téléverser la logique de l'automate, écrire de nouveaux blocs ou émettre un arrêt qui stoppe un procédé physique. C'est le canal qu'a abusé Stuxnet pour reprogrammer les contrôleurs de centrifugeuses, donc un automate S7 exposé est traité comme un risque critique de sûreté et de disponibilité, pas seulement informatique.
Comment il est attaqué
Les attaquants trouvent les automates avec le script nmap s7-info ou Shodan, en
énumérant type de CPU, firmware et numéro de série. Ils émettent ensuite des commandes
démarrage/arrêt sans authentification, extraient ou modifient la logique de
programme, et écrivent en mémoire pour manipuler le procédé. Même sans accès en
écriture, la reconnaissance de l'installation contrôlée est précieuse pour une
attaque ultérieure.
Liste de durcissement
N'exposez jamais le port 102 à Internet — gardez les automates sur un réseau OT dédié derrière des pare-feu et une DMZ, et utilisez des passerelles unidirectionnelles pour l'export de données. Sur les CPU récentes, activez la protection d'accès S7, les listes connues de communication et la protection des blocs de programme. Déployez un IDS spécialisé ICS pour signaler les commandes S7 anormales, et restreignez l'accès des stations d'ingénierie. N'utilisez la commande nmap ci-dessus que sur les automates que vous êtes autorisé à évaluer.
Ports liés
Questions fréquentes
- S7comm dispose-t-il d'une authentification ?
- Le S7comm classique n'a aucune authentification. Quiconque atteint le port 102 peut lire, écrire, démarrer ou arrêter l'automate. Les CPU S7-1500 récentes ajoutent des niveaux d'accès et S7comm-plus, mais les déploiements hérités restent grands ouverts.
- Le port 102 est-il lié à Stuxnet ?
- Oui. Stuxnet ciblait les automates Siemens S7 et manipulait leur logique via ce canal de communication S7, c'est pourquoi un port 102 exposé est considéré comme un risque OT critique.