Segmentation réseau : contrôle d'accès, trafic sortant et exposition des ports

La segmentation réseau divise le réseau en zones distinctes avec des contrôles d'accès entre elles. L'objectif n'est pas d'empêcher toutes les communications, mais de s'assurer que seules les communications nécessaires sont autorisées. Un réseau sans segmentation permet à un attaquant qui compromet un poste utilisateur de communiquer directement avec les serveurs de base de données, les systèmes de sauvegarde et les équipements réseau.

Architecture de zones

Une architecture en zones typique sépare le réseau en plusieurs niveaux de confiance. DMZ (zone démilitarisée) : serveurs accessibles depuis internet (web, email, VPN). Réseau interne : postes utilisateurs, services internes. Réseau serveurs : applications métier, bases de données. Réseau d'administration : équipements réseau, systèmes de sauvegarde, outils d'administration. Réseau de gestion hors bande (OOB) : IPMI, consoles de gestion.

Contrôle d'accès au réseau

Le contrôle d'accès réseau (NAC) garantit que seuls les équipements autorisés et conformes peuvent se connecter au réseau. 802.1X permet d'authentifier les équipements avant de leur accorder l'accès au réseau (avec un certificat ou des identifiants). Sans NAC, un attaquant qui connecte un équipement au réseau physique (ou au Wi-Fi) obtient immédiatement un accès au réseau interne.

Contrôles du trafic sortant

La plupart des pare-feux contrôlent le trafic entrant mais laissent le trafic sortant non restreint. Un attaquant qui compromet un serveur interne peut établir une connexion sortante (reverse shell, tunnel DNS, HTTPS vers un serveur C2) sans être bloqué. Des règles de sortie strictes limitent les canaux d'exfiltration disponibles. Les serveurs d'application n'ont généralement besoin que de contacter les services avec lesquels ils interagissent directement.

Principe des règles de sortie (iptables)

# Par défaut : rejeter tout le trafic sortant
iptables -P OUTPUT DROP

# Autoriser uniquement les connexions nécessaires :
# DNS vers le serveur DNS interne
iptables -A OUTPUT -p udp --dport 53 -d 10.0.0.5 -j ACCEPT

# HTTPS vers l'API externe
iptables -A OUTPUT -p tcp --dport 443 -d 203.0.113.10 -j ACCEPT

# Connexions établies (réponses)
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Exposition incontrôlée des ports réseau

Des services exposés sur des ports réseau non nécessaires augmentent la surface d'attaque. Audit à réaliser régulièrement : scanner les ports ouverts sur les serveurs (nmap -sV), identifier les services qui écoutent sur toutes les interfaces (0.0.0.0) alors qu'ils ne devraient écouter que sur l'interface locale ou interne, vérifier les règles de pare-feu et de groupes de sécurité cloud.

Isolation des clients sans fil

Sans isolation des clients Wi-Fi, les appareils connectés au même réseau sans fil peuvent communiquer directement entre eux. Dans un réseau d'invités ou un espace partagé, cela permet à un attaquant connecté au Wi-Fi de cibler les autres clients. L'isolation des clients (client isolation ou AP isolation) empêche cette communication directe : les clients ne peuvent communiquer qu'avec la passerelle, pas entre eux.

Protection de l'accès à distance

L'accès à distance (VPN, SSH, RDP) doit être strictement contrôlé. VPN avec MFA pour tous les accès distants. Accès SSH restreint à des IP sources spécifiques ou via un bastion. RDP uniquement via VPN, jamais directement exposé sur internet. Journalisation de toutes les connexions distantes. Les solutions d'accès à distance obsolètes (PPTP, L2TP sans IPsec) doivent être remplacées.