Défense
Segmentation réseau
Aussi appeléCloisonnement réseauMicrosegmentationNetwork segmentation
En résumé
Le découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites. Elle empêche qu’une machine compromise puisse atteindre librement toutes les autres, et circonscrit les conséquences d’une intrusion à la zone où elle a commencé.
Segmentation réseau, en détail
Dans un réseau « à plat », tout poste peut joindre tout serveur. Un attaquant qui compromet un poste d’utilisateur accède alors à des systèmes sans rapport avec lui : bases de données, serveurs de fichiers, équipements d’administration. La segmentation introduit des frontières : postes de travail, serveurs, production, administration, invités, équipements industriels, chacun dans sa zone avec des flux autorisés explicitement entre elles.
Les techniques vont du découpage en réseaux virtuels (VLAN) filtrés par un pare-feu à la microsegmentation, qui applique des règles à l’échelle de chaque charge de travail, y compris dans le cloud. Le principe est de refuser par défaut et d’autoriser seulement les flux documentés. Les règles les plus utiles sont celles qui interdisent les rebonds entre postes de travail et l’accès à l’administration depuis des zones non dédiées. La difficulté est opérationnelle : on ne peut pas filtrer des flux qu’on ne connaît pas. Un projet de segmentation commence donc par cartographier les échanges réels, procède par zones prioritaires et passe d’abord en mode observation avant d’appliquer le blocage. Une segmentation sans revue périodique se dégrade, par accumulation de règles « temporaires » devenues permanentes.
Qu’est-ce que cela change pour vous ?
La segmentation détermine si un incident reste limité à un périmètre ou touche toute l’organisation. Elle est particulièrement utile contre les rançongiciels, dont la propagation dépend de la facilité à rebondir de machine en machine.
Exemple illustratif (fictif)
Prenons un site industriel dont le réseau de production est relié au réseau bureautique par une règle ouverte héritée d’un projet ancien. Après cartographie des flux, quatre règles précises la remplacent, et un poste de bureautique compromis ne peut plus joindre les automates.
La confusion fréquente
Croire que l’EDR ou le pare-feu en périphérie remplace la segmentation interne. L’EDR détecte et bloque des comportements sur les machines qui en disposent ; il ne limite pas ce qu’une machine non protégée peut atteindre dans un réseau plat.
Qui peut vous aider à le mettre en place ?
- Sécurité OT industrielle : la prestationProtéger la production sans l’arrêter, avec des méthodes pensées pour les automates.
- Durcissement : la prestationAprès le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
Aller plus loin
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
Termes liés
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
- DéfenseZero trust : définitionUn modèle d’architecture selon lequel aucune connexion n’est présumée fiable du seul fait de sa provenance, y compris depuis le réseau interne.
- DéfenseDéfense en profondeur : définitionUne stratégie qui superpose plusieurs mesures de sécurité indépendantes, de sorte que la défaillance ou le contournement de l’une ne suffise pas à compromettre le système.
- AttaqueRançongiciel : définitionUn logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début