8 Min. de lecture<\/p>\n
Dans la plupart des r\u00e9seaux de PME, un attaquant qui s’y trouve peut aller presque partout. Imprimantes, serveurs, comptabilit\u00e9, production, tout est connect\u00e9 sur le m\u00eame r\u00e9seau plat. C’est pr\u00e9cis\u00e9ment ce qui rend les ransomwares si efficaces : un seul poste compromis suffit \u00e0 se propager partout. La segmentation r\u00e9seau renverse cette logique. Elle limite les syst\u00e8mes qu’un poste compromis peut atteindre, privant ainsi les attaquants de leur capacit\u00e9 de mouvement au sein du r\u00e9seau interne.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Connexe :<\/span>Zero Trust chez le fournisseur d’\u00e9nergie<\/a> \/<\/span> PAM sans budget entreprise<\/a><\/p>\n Qu’est-ce que la segmentation r\u00e9seau ?<\/strong> La segmentation r\u00e9seau consiste \u00e0 diviser un r\u00e9seau en plusieurs sections distinctes, entre lesquelles le trafic est contr\u00f4l\u00e9. Au lieu d’un r\u00e9seau unique et ouvert, des zones se forment, par exemple pour les bureaux, les serveurs, la production ou les visiteurs. Une menace dans une section ne peut pas s’\u00e9tendre librement aux autres, car des r\u00e8gles et des points de contr\u00f4le s’interposent.<\/p>\n Un r\u00e9seau plat est pratique. Tout trouve tout, rien n’a besoin d’\u00eatre configur\u00e9, les nouveaux appareils fonctionnent imm\u00e9diatement. C’est pr\u00e9cis\u00e9ment cette commodit\u00e9 qui constitue la faiblesse. Si chaque poste peut en atteindre un autre, le logiciel malveillant qui en a pris le contr\u00f4le le peut aussi. Le premier poste infect\u00e9 devient un tremplin pour l’ensemble du r\u00e9seau.<\/p>\n Ce mouvement lat\u00e9ral n’est pas un ph\u00e9nom\u00e8ne marginal, c’est la norme dans les attaques r\u00e9ussies. L’acc\u00e8s initial via un e-mail de phishing ou une faille non corrig\u00e9e n’est que le d\u00e9but. Les d\u00e9g\u00e2ts r\u00e9els surviennent lorsque l’attaquant progresse de l\u00e0 vers les cibles de valeur : le serveur de fichiers, la sauvegarde des donn\u00e9es, la gestion du domaine.<\/p>\n Un cas p\u00e9dagogique bien document\u00e9 est celui d’une attaque qui s’est propag\u00e9e il y a quelques ann\u00e9es sur un r\u00e9seau d’entreprise plat, causant des dommages \u00e0 trois chiffres en millions d’euros, faute de cloisons internes. Dans les PME, le m\u00eame m\u00e9canisme op\u00e8re \u00e0 plus petite \u00e9chelle, mais il touche souvent directement la production, la comptabilit\u00e9 et la reprise d’activit\u00e9. L’ampleur des d\u00e9g\u00e2ts ne d\u00e9pend donc pas seulement de l’acc\u00e8s initial, mais de jusqu’o\u00f9 l’attaquant peut progresser ensuite.<\/p>\n La segmentation commence g\u00e9n\u00e9ralement par quelques zones et peut aller jusqu’au contr\u00f4le de syst\u00e8mes individuels. Pour d\u00e9buter, l’essentiel est que les zones critiques ne communiquent plus sans contr\u00f4le entre elles.<\/p>\n La s\u00e9paration classique par zones via les VLAN constitue le point d’entr\u00e9e pragmatique et isole les domaines \u00e9vidents : le Wi-Fi invit\u00e9 du r\u00e9seau interne, la production de l’informatique de bureau, les serveurs dans leur propre segment. L’\u00e9l\u00e9ment crucial, souvent n\u00e9glig\u00e9, est le suivant : une zone seule ne freine rien si le trafic entre les zones circule sans filtrage. Ce n’est qu’en ajoutant un pare-feu avec des r\u00e8gles pr\u00e9cises que des zones s\u00e9par\u00e9es deviennent de v\u00e9ritables cloisons. La microsegmentation va plus loin en appliquant des r\u00e8gles entre syst\u00e8mes individuels, ind\u00e9pendamment de leur position dans le r\u00e9seau. C’est l’outil le plus puissant contre les d\u00e9placements lat\u00e9raux, mais aussi le plus complexe \u00e0 d\u00e9ployer.<\/p>\n L’erreur la plus fr\u00e9quente consiste \u00e0 vouloir tout s\u00e9parer d’un coup et \u00e0 ne finalement rien entreprendre. Il est plus judicieux de se demander o\u00f9 une propagation serait la plus co\u00fbteuse, et d’\u00e9riger la premi\u00e8re cloison pr\u00e9cis\u00e9ment \u00e0 cet endroit.<\/p>\n Trois s\u00e9parations produisent un premier effet mesurable dans de nombreux r\u00e9seaux de PME. Premi\u00e8rement, isoler strictement le r\u00e9seau Wi-Fi invit\u00e9 du r\u00e9seau interne, car les appareils \u00e9trangers n’ont jamais leur place dans la m\u00eame zone que la comptabilit\u00e9. Deuxi\u00e8mement, s\u00e9parer la production ou les syst\u00e8mes de contr\u00f4le des machines de l’informatique de bureau, ces syst\u00e8mes \u00e9tant souvent anciens, non corrig\u00e9s et particuli\u00e8rement vuln\u00e9rables. Troisi\u00e8mement, placer les serveurs critiques – sauvegarde et administration en t\u00eate – dans un segment propre, \u00e9troitement contr\u00f4l\u00e9. Ces trois s\u00e9parations suffisent \u00e0 r\u00e9duire les chemins par lesquels une attaque peut se propager lat\u00e9ralement.<\/p>\n Une s\u00e9paration sur le papier ne prot\u00e8ge pas. La question de savoir si la segmentation est efficace ou ne procure qu’un sentiment rassurant se d\u00e9cide \u00e0 la mise en \u0153uvre. Les sch\u00e9mas suivants distinguent l’une de l’autre.<\/p>\n Fausse s\u00e9curit\u00e9<\/p>\n S\u00e9paration r\u00e9elle<\/p>\n Le fil conducteur est le principe de l’autorisation explicite : entre les zones, tout est d’abord interdit, et seules les connexions n\u00e9cessaires sont lib\u00e9r\u00e9es de mani\u00e8re cibl\u00e9e. C’est plus de travail qu’une r\u00e8gle unique qui laisse tout passer, mais c’est la diff\u00e9rence entre une cloison et une porte toujours ouverte. La segmentation r\u00e9seau n’emp\u00eache pas une attaque. Elle fait en sorte qu’un incident ne devienne pas un sinistre total – et c’est, le moment venu, la diff\u00e9rence d\u00e9cisive.<\/p>\n Un VLAN s\u00e9pare les zones de mani\u00e8re logique, mais ne bloque pas en lui-m\u00eame une menace si le trafic entre les VLAN circule sans filtrage. Au sein d’un VLAN, tout reste par ailleurs accessible. La s\u00e9curit\u00e9 n’\u00e9merge que lorsqu’un pare-feu avec des r\u00e8gles claires se trouve entre les zones et n’autorise que les connexions n\u00e9cessaires. Le VLAN est la fronti\u00e8re, la r\u00e8gle de filtrage est la protection.<\/p>\n La segmentation classique divise le r\u00e9seau en quelques grandes zones, par exemple le bureau, les serveurs et la production. La micro-segmentation est plus fine et d\u00e9finit des r\u00e8gles entre des syst\u00e8mes ou des charges de travail individuels, souvent sur la base de l’identit\u00e9 et ind\u00e9pendamment de la position dans le r\u00e9seau. Elle limite le plus efficacement les mouvements lat\u00e9raux, mais est plus complexe \u00e0 mettre en place et \u00e0 maintenir.<\/p>\n Aux trois endroits pr\u00e9sentant le plus grand potentiel de dommages : le r\u00e9seau invit\u00e9s et Wi-Fi s\u00e9par\u00e9 du r\u00e9seau interne, la production ou la commande des machines s\u00e9par\u00e9e de l’informatique de bureau, et les serveurs critiques ainsi que les sauvegardes dans une zone d\u00e9di\u00e9e. Ces trois cloisons limitent la majeure partie des dommages r\u00e9alistes, sans qu’il soit n\u00e9cessaire de reconstruire l’ensemble du r\u00e9seau d’un coup.<\/p>\n Elle augmente la charge de maintenance, c’est le prix \u00e0 payer. Mais la complexit\u00e9 reste ma\u00eetrisable si l’on commence par quelques zones claires et ne lib\u00e8re que les connexions n\u00e9cessaires. L’effort n’est pas proportionnel aux dommages d’un incident qui se propage sans entrave. Il est essentiel de documenter les r\u00e8gles afin qu’elles restent compr\u00e9hensibles et faciles \u00e0 maintenir.<\/p>\n Oui, et pr\u00e9cis\u00e9ment l\u00e0 o\u00f9 c’est d\u00e9cisif. Les ransomwares vivent de leur capacit\u00e9 \u00e0 se propager apr\u00e8s la premi\u00e8re infection et \u00e0 chiffrer le plus grand nombre de syst\u00e8mes possible. Une s\u00e9paration rigoureuse limite cette propagation \u00e0 une zone, au lieu de la laisser s’\u00e9tendre \u00e0 l’ensemble du r\u00e9seau. Combin\u00e9e \u00e0 une sauvegarde s\u00e9par\u00e9e et prot\u00e9g\u00e9e, elle constitue l’une des mesures les plus efficaces contre une panne totale.<\/p>\n\n
Pourquoi les r\u00e9seaux plats acc\u00e9l\u00e8rent les ransomwares<\/h2>\n
3 niveaux rendent les r\u00e9seaux r\u00e9silients<\/h2>\n
\n\n
\n \nNiveau<\/th>\n Principe<\/th>\n Limite<\/th>\n<\/tr>\n<\/thead>\n \n Zones VLAN<\/strong><\/td>\n s\u00e9paration grossi\u00e8re par domaine<\/td>\n tout reste ouvert au sein de la zone<\/td>\n<\/tr>\n \n Pare-feu entre les zones<\/strong><\/td>\n les r\u00e8gles r\u00e9gissent les transitions<\/td>\n aussi efficace que la maintenance des r\u00e8gles<\/td>\n<\/tr>\n \n Microsegmentation<\/strong><\/td>\n r\u00e8gles par syst\u00e8me, bas\u00e9es sur l’identit\u00e9<\/td>\n plus complexe \u00e0 mettre en place<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Par o\u00f9 les PME commencent sans se perdre<\/h2>\n
Ce que la segmentation apporte et ce qui en fait une fausse s\u00e9curit\u00e9<\/h2>\n
\n
\n
Foire aux questions<\/h2>\n
Un VLAN suffit-il pour assurer la s\u00e9curit\u00e9 ?<\/h3>\n
Quelle est la diff\u00e9rence entre la segmentation et la micro-segmentation ?<\/h3>\n
Par o\u00f9 une PME devrait-elle commencer \u00e0 segmenter ?<\/h3>\n
La segmentation ne rend-elle pas le r\u00e9seau trop compliqu\u00e9 ?<\/h3>\n
La segmentation est-elle \u00e9galement utile contre les ransomwares ?<\/h3>\n
Recommandations de la r\u00e9daction<\/h3>\n