Le simulateur
Val-d’Ondine — un simulateur de cyberdéfense OT/ICS qui se joue dans le navigateur
Un barrage hydroélectrique fictif subit une intrusion coordonnée. Commandant de crise, vous disposez de trois équipes et de 72 heures simulées pour contenir l’attaquant et garder la retenue sous contrôle pendant l’évacuation de la vallée. Gratuit, sans compte, sans téléchargement. Le jeu est en anglais.
Le scénario
L’attaque part d’un accès distant détourné et peut atteindre le poste d’ingénierie, la supervision, l’automate et les vannes. Les crues amont arrivent par vagues annoncées par des bulletins ; leur moment et leur force changent d’une mission à l’autre. Quand les vannes ne suivent plus leur consigne, il faut trouver pourquoi avant de réparer quoi que ce soit.
Ce que vous pratiquez
- Suivre une intrusion à travers les couches d’un réseau industriel, de l’accès distant jusqu’au procédé physique.
- La contenir : fermer les chemins dont l’attaquant a besoin, révoquer des accès, filtrer les écritures à une frontière.
- Décider sur preuves : chaque observation a une source, une heure et une limite. Un poste silencieux n’est pas la preuve d’un poste sain.
- Reprendre le contrôle : comparer la logique de l’automate, la tester, se replier sur une conduite locale indépendante dont le temps d’équipe est limité.
- Arbitrer : investigation, confinement, reprise et opérations de terrain se disputent les mêmes équipes et les mêmes heures.
Pour qui
Étudiants en cybersécurité ou en génie industriel, professionnels de la sécurité informatique qui découvrent l’informatique industrielle, automaticiens et ingénieurs procédé, formateurs qui cherchent un exercice de décision court.
Questions fréquentes
- Est-ce gratuit ?
- Oui. Le jeu tourne entièrement dans le navigateur, sans compte ni installation.
- Combien de temps dure une mission ?
- À la vitesse la plus lente, l’horloge simulée prend environ 15 minutes. La lecture et la planification se font pendant que le jeu est en pause.
- Est-ce difficile ?
- Extrêmement. Sur 3 000 missions réservées, un joueur qui lit les preuves a tenu le site à chaque fois. La meilleure séquence d’ordres fixée d’avance, trouvée parmi 16 000 plans candidats, a tenu 30 %. Un jeu au hasard n’a jamais tenu.
- S’agit-il d’un vrai barrage ?
- Non. Le site, son réseau et ses procédures sont fictifs. Ce n’est ni une procédure d’exploitation ni une évaluation de sûreté. Le modèle de Purdue, l’IEC 62443 et MITRE ATT&CK for ICS servent de vocabulaire, pas de certification.
- Le site collecte-t-il des données ?
- Aucun cookie, aucun stockage dans le navigateur, aucun pistage. Une fois chargé, le jeu ne fait aucune requête réseau.