Un attaquant qui compromet un poste utilisateur ne devrait pas pouvoir accéder librement aux serveurs de production, aux sauvegardes ou aux interfaces d'administration. Pourtant, un réseau trop plat, dans lequel de nombreux équipements peuvent communiquer sans restriction, facilite les déplacements latéraux après une intrusion. La segmentation réseau réduit ce risque en séparant les systèmes selon leur fonction et en contrôlant les communications entre eux.
Pourquoi la segmentation réseau limite-t-elle la propagation d'une cyberattaque ?
La segmentation réseau consiste à diviser une infrastructure en plusieurs zones et à contrôler les échanges autorisés entre elles. Son objectif n'est pas seulement de séparer les équipements : il est de limiter les chemins qu'un attaquant peut emprunter après avoir compromis un premier système.
Imaginons qu'un collaborateur ouvre une pièce jointe malveillante. Si son poste peut communiquer directement avec de nombreux serveurs, l'attaquant peut tenter de récupérer des identifiants, d'exploiter d'autres machines ou d'atteindre des ressources sensibles.
Un réseau cloisonné impose davantage de barrières. Le poste utilisateur peut accéder à l'application métier nécessaire, mais pas directement à son serveur de base de données, à l'hyperviseur ou au réseau de sauvegarde.
L'ANSSI explique dans son guide sur le cloisonnement système que cette approche réduit les actions possibles depuis une partie compromise et limite les conséquences d'une corruption. Le cloisonnement réseau est l'un des mécanismes possibles, complémentaire aux protections appliquées au système et aux communications.
Source : ANSSI — Recommandations pour la mise en place de cloisonnement système, 22 décembre 2017.
Point essentiel : la segmentation ne garantit pas qu'une intrusion sera empêchée. Elle vise à limiter sa propagation, réduire les ressources accessibles et faciliter le confinement d'un incident.
VLAN, sous-réseaux et pare-feu : comprendre les mécanismes
Plusieurs mécanismes contribuent au cloisonnement. Ils remplissent des rôles différents et doivent être associés de manière cohérente.
Les VLAN séparent les domaines de niveau 2
Un VLAN (Virtual Local Area Network) permet de séparer logiquement des équipements sur une infrastructure de commutation. Une entreprise peut, par exemple, utiliser des VLAN distincts pour les postes utilisateurs, les serveurs, les équipements techniques et l'administration.
Cette séparation ne suffit pas à elle seule. Dès que les équipements de VLAN différents doivent communiquer, le routage inter-VLAN doit être contrôlé par des règles de filtrage adaptées. Sans ces règles, les VLAN peuvent être reliés par un routeur qui autorise trop largement les échanges.
Les sous-réseaux organisent l'adressage IP
Un sous-réseau définit une plage d'adresses IP. Il facilite l'organisation et le routage des équipements, mais ne constitue pas automatiquement une frontière de sécurité.
Créer deux sous-réseaux sans contrôler leurs communications ne garantit donc pas un cloisonnement efficace.
Les pare-feu contrôlent les flux
Un pare-feu (firewall) applique des règles qui autorisent ou bloquent les communications en fonction de critères tels que les adresses IP, les ports et les protocoles. Il permet d'appliquer une politique précise entre les zones.
Une règle restrictive pourrait autoriser les postes utilisateurs à accéder à une application Web en HTTPS, tout en interdisant les connexions directes vers le serveur de base de données.
| Mécanisme | Fonction | Limite à connaître |
|---|---|---|
| VLAN | Séparer les équipements au niveau du réseau local | Ne filtre pas automatiquement les échanges routés |
| Sous-réseau IP | Organiser l'adressage et le routage | Ne constitue pas, à lui seul, une barrière de sécurité |
| Pare-feu | Autoriser ou bloquer les flux entre zones | Des règles trop permissives réduisent son efficacité |
| Contrôle d'accès réseau | Limiter la connexion d'équipements selon la politique définie | Dépend de la couverture et de la configuration du dispositif |
La bonne architecture combine ces mécanismes selon les risques et les besoins réels des applications.
Comment concevoir des zones de confiance efficaces ?
Une segmentation pertinente part des usages, des dépendances techniques et des conséquences d'une compromission. Il ne suffit pas de créer un VLAN par service ou par étage.
Pour une PME ou une ETI, une architecture de départ peut distinguer les zones suivantes :
- Postes utilisateurs : ordinateurs des collaborateurs et outils bureautiques.
- Serveurs applicatifs : applications métier et services internes.
- Bases de données : données accessibles uniquement aux applications autorisées et aux administrateurs habilités.
- Administration : outils de gestion des serveurs, équipements réseau et plateformes de virtualisation.
- Sauvegardes : dépôts et systèmes de sauvegarde protégés contre les accès ordinaires.
- Équipements techniques : imprimantes, caméras, objets connectés et systèmes industriels, lorsque leur environnement le justifie.
- Zone exposée : services accessibles depuis Internet, isolés des systèmes internes sensibles.
Exemple de flux autorisés
Considérons une application métier composée d'un frontal Web, d'un serveur applicatif et d'une base de données.
Le frontal reçoit les requêtes HTTPS des utilisateurs. Il transmet les demandes nécessaires au serveur applicatif. Ce dernier communique avec la base de données sur le seul port requis. Les utilisateurs n'accèdent jamais directement à cette base.
Le principe peut être représenté ainsi :
Internet → frontal Web → application → base de données
Chaque flèche représente un flux explicitement autorisé, pas une confiance générale entre les zones.
Les accès d'administration suivent un chemin séparé, depuis un poste ou un bastion dédié. Les sauvegardes utilisent également des flux distincts et des droits limités.
Cette architecture réduit le nombre de chemins possibles entre les composants. Elle doit néanmoins être adaptée aux dépendances réelles : supervision, résolution DNS, synchronisation horaire, mises à jour et collecte des journaux peuvent nécessiter des communications supplémentaires.
Mettre en place le filtrage des flux sans bloquer la production
Une politique de segmentation efficace doit être suffisamment stricte pour limiter les risques, mais assez précise pour préserver le fonctionnement des applications.
La première étape consiste à cartographier les flux existants. Il faut identifier les systèmes sources et destinations, les protocoles utilisés, les dépendances techniques et les responsables métier.
À partir de cette cartographie, l'équipe informatique définit les communications nécessaires. Tout flux non justifié doit être examiné avant d'être bloqué, afin d'éviter une interruption de service.
Exemple de matrice de filtrage
| Source | Destination | Règle cible |
|---|---|---|
| Utilisateurs | Frontal Web | HTTPS autorisé |
| Frontal Web | Serveur applicatif | Port applicatif requis uniquement |
| Serveur applicatif | Base de données | Port de base de données requis uniquement |
| Utilisateurs | Base de données | Refusé |
| Poste d'administration autorisé | Serveurs administrés | Accès limité aux protocoles nécessaires |
| Réseau utilisateur | Dépôt de sauvegarde | Refusé par défaut, sauf flux justifiés |
Les ports exacts doivent être déterminés à partir de la stack utilisée et de la configuration réelle. Il serait imprudent d'appliquer une matrice générique sans vérifier les dépendances.
Une mise en œuvre progressive est préférable :
- Observer les flux et établir une référence du fonctionnement normal.
- Définir les règles attendues avec les responsables des applications.
- Tester les changements dans un environnement adapté ou sur un périmètre limité.
- Déployer progressivement et surveiller les refus inattendus.
- Documenter chaque règle, son objectif et son propriétaire.
- Réexaminer périodiquement les règles devenues inutiles.
Le filtrage doit aussi couvrir les flux sortants. Une machine compromise ne devrait pas pouvoir joindre librement tous les services externes si ses besoins sont limités.
Séparer les environnements de production, de test et d'administration
Les environnements de développement, de test et de production n'ont pas les mêmes exigences de sécurité. Les réunir sur un réseau trop permissif peut permettre à une machine de test vulnérable d'atteindre des ressources de production.
La séparation doit couvrir les réseaux, les identités, les secrets et les droits d'administration. Une application de test ne devrait pas disposer par défaut des mêmes accès qu'une application en production.
Cette séparation est particulièrement importante pour les infrastructures virtualisées et les environnements Cloud. Les réseaux des machines virtuelles, les interfaces d'administration des hyperviseurs, les outils de déploiement et les systèmes de sauvegarde doivent faire l'objet de politiques d'accès distinctes.
Le principe du moindre privilège consiste à accorder uniquement les permissions nécessaires à une tâche. Il doit s'appliquer aux utilisateurs, aux comptes de service et aux communications réseau.
La segmentation s'inscrit également dans une approche Zero Trust, ou « confiance zéro ». Le NIST rappelle qu'une ressource ne doit pas être considérée comme fiable simplement parce qu'elle se trouve sur le réseau interne. L'accès doit dépendre de contrôles explicites, notamment de l'identité et des autorisations.
Source : NIST — Zero Trust Architecture, SP 800-207, août 2020.
Ce que ça change pour votre entreprise
La segmentation réseau peut réduire l'étendue d'un incident et faciliter son confinement. Son intérêt économique dépend cependant de la valeur des systèmes protégés, du coût d'une interruption et de la complexité de l'infrastructure.
Trois bénéfices sont à rechercher.
Réduire le risque de propagation. Une compromission d'un poste ne doit pas donner automatiquement accès aux serveurs, aux données ou aux sauvegardes.
Limiter les interruptions. Des zones mieux isolées permettent de circonscrire certaines opérations de confinement à un périmètre plus réduit. Le résultat dépend de la qualité du cloisonnement et des dépendances entre services.
Améliorer la visibilité et la maintenance. Une matrice de flux documentée aide à comprendre les communications nécessaires, à identifier les règles excessives et à préparer les changements d'infrastructure.
La segmentation implique aussi un coût : conception, configuration, tests, supervision et maintenance des règles. Une architecture trop complexe peut devenir difficile à exploiter. Pour maîtriser ce coût, commencez par les actifs les plus critiques et les flux présentant le risque le plus élevé.
Un audit peut aider à établir une cartographie, repérer les accès trop permissifs et prioriser les actions selon leur impact sur la sécurité et la continuité d'activité.
Conclusion : trois priorités pour un réseau mieux cloisonné
Une segmentation efficace repose sur trois principes :
- Définir des zones cohérentes en fonction des usages, de la criticité des systèmes et des risques de compromission.
- Contrôler les communications entre les zones avec des règles de filtrage documentées et testées.
- Réévaluer régulièrement les accès afin de suivre l'évolution des applications, des prestataires et des environnements de production.
Les VLAN sont un outil d'organisation, pas une protection complète. La sécurité dépend de l'ensemble des règles de routage, de filtrage, des identités et des contrôles appliqués aux systèmes.
Vous souhaitez évaluer le cloisonnement de votre infrastructure ? Échangez avec Pilot Systems sur votre environnement Cloud et vos besoins d'infogérance.
FAQ : segmentation réseau et cybersécurité
Qu'est-ce que la segmentation réseau ?
La segmentation réseau consiste à séparer une infrastructure en zones distinctes et à contrôler les communications entre elles. Elle vise notamment à limiter la propagation d'une attaque et l'accès aux ressources sensibles.
Les VLAN suffisent-ils à empêcher une cyberattaque de se propager ?
Non. Les VLAN séparent les domaines de niveau 2, mais les communications entre réseaux doivent être contrôlées. Des règles de routage et de filtrage restrictives sont nécessaires pour empêcher les échanges non autorisés.
Quelle différence entre segmentation réseau et microsegmentation ?
La segmentation réseau sépare généralement des groupes de systèmes ou des zones. La microsegmentation applique des contrôles plus granulaires, parfois jusqu'aux communications entre charges de travail individuelles. Le niveau de granularité dépend de l'architecture et des mécanismes utilisés.
Faut-il séparer les environnements de développement et de production ?
Oui, lorsque les risques et les contraintes opérationnelles le justifient. La séparation doit porter sur les accès réseau, les identités, les secrets et les droits d'administration. Les flux nécessaires doivent être explicitement autorisés.
Comment vérifier qu'une segmentation réseau est efficace ?
Il faut examiner la cartographie des flux, vérifier les règles de filtrage et tester les chemins d'accès autorisés et interdits. Les résultats doivent être documentés, puis réévalués lors des changements d'architecture ou d'application.