Segmentation réseau et VLAN

La segmentation réseau divise un grand réseau plat en zones plus petites et isolées. Sans segmentation, un seul hôte compromis peut communiquer avec tous les autres appareils du réseau, laissant aux attaquants toute latitude une fois à l’intérieur. La segmentation applique le principe du moindre privilège au niveau réseau : un poste de travail ne devrait pas pouvoir atteindre directement un serveur de base de données, et un appareil Wi-Fi invité ne devrait jamais voir les partages de fichiers internes. La segmentation réduit considérablement le rayon d’impact d’une compromission.

Un VLAN (réseau local virtuel) est un réseau logique créé sur un commutateur, qui regroupe des ports indépendamment de leur emplacement physique. Les appareils appartenant au même VLAN communiquent comme s’ils se trouvaient sur le même segment physique ; les appareils de VLANs différents ne peuvent pas communiquer sans passer par un routeur ou un commutateur de Layer 3 qui applique un contrôle d’accès. Les VLANs sont marqués par un en-tête 802.1Q contenant un ID de VLAN (1-4094), ce qui permet à une seule liaison physique (port trunk) de transporter simultanément le trafic de plusieurs VLANs.

Alors que les VLAN segmentent au niveau de la couche 2, les sous-réseaux segmentent au niveau de la couche 3 (IP). Chaque VLAN correspond généralement à son propre sous-réseau, et le routage entre les sous-réseaux est contrôlé par un pare-feu ou un routeur qui applique des listes de contrôle d’accès. Cela crée une séparation nette : le VLAN 10 peut être 10.10.10.0/24 pour les utilisateurs de l’entreprise, tandis que le VLAN 20 peut être 10.20.20.0/24 pour les invités. Les règles du pare-feu entre les sous-réseaux déterminent quel trafic est autorisé et quel trafic est bloqué au niveau IP.

Une DMZ (zone démilitarisée), également appelée sous-réseau filtré, est une zone réseau située entre Internet et le réseau interne. Les serveurs accessibles au public — serveurs Web, serveurs de messagerie et serveurs DNS — sont placés dans la DMZ afin que les utilisateurs externes puissent y accéder sans disposer d’un accès direct aux systèmes internes. Si un hôte de la DMZ est compromis, le pare-feu interne empêche l’attaquant d’atteindre les ressources internes sensibles. La DMZ est un concept essentiel de la segmentation, largement évalué dans l’examen Security+.

La microsegmentation étend l’isolation du réseau jusqu’au niveau des charges de travail, en appliquant des règles de sécurité entre des machines virtuelles, des conteneurs ou des applications individuelles, plutôt qu’entre de simples zones réseau. Les réseaux définis par logiciel (SDN) et les outils basés sur des hyperviseurs (VMware NSX, AWS Security Groups) appliquent ces règles sans nécessiter de modifications matérielles. La microsegmentation est un composant essentiel de l’architecture zéro confiance, car elle supprime la confiance implicite entre les charges de travail exécutées dans le même centre de données ou la même région cloud.

Le saut de VLAN est une attaque qui permet au trafic de sortir de son VLAN et d’atteindre un autre VLAN sans passer par un routeur. Deux méthodes existent : l’usurpation de Switch, dans laquelle un attaquant configure sa NIC pour utiliser le trunking 802.1Q et négocie une liaison trunk avec le Switch, obtenant ainsi l’accès à tous les VLAN ; et le double marquage, dans lequel un attaquant encapsule une trame avec deux en-têtes 802.1Q afin de lui donner l’apparence d’être destinée à un autre VLAN. Les mesures de défense comprennent la désactivation du protocole de trunking dynamique (DTP), la configuration explicite des ports d’accès et le fait de ne pas utiliser le VLAN natif pour le trafic utilisateur.

La forme la plus radicale de segmentation réseau est le réseau isolé — un réseau qui n’a aucune connexion physique ou logique avec des réseaux externes. Les systèmes isolés sont utilisés pour les réseaux gouvernementaux hautement classifiés, les systèmes de contrôle industriels et les commandes d’installations nucléaires. Le transfert de données nécessite des supports physiques (clés USB, CD), ce qui introduit lui-même des risques (Stuxnet s’est propagé par USB pour atteindre des centrifugeuses iraniennes isolées). Même les systèmes isolés ont besoin de mesures de contrôle : gestion stricte des supports, bloqueurs d’écriture matériels et protection des terminaux.

NAC (contrôle d’accès au réseau) applique les règles de sécurité avant d’autoriser un appareil à accéder au réseau. Les systèmes NAC vérifient l’état de l’appareil — niveau de correctifs, état de l’antivirus et certificat — avant d’accorder un accès complet au réseau. Les appareils qui échouent aux contrôles sont placés en quarantaine dans un VLAN de correction, où ils ne peuvent accéder qu’aux serveurs de mise à jour. NAC s’intègre à 802.1X pour l’authentification et communique avec les services d’annuaire afin d’appliquer des règles selon le rôle de l’utilisateur et le type d’appareil.

La sécurité périmétrique traditionnelle se concentrait sur le trafic nord-sud — les données entrant dans le centre de données ou en sortant depuis des sources externes. Les attaquants modernes exploitent le trafic est-ouest — les déplacements latéraux entre les serveurs au sein du centre de données ou de l’environnement cloud, qui étaient historiquement peu soumis à l’inspection. La microsegmentation et les pare-feu internes traitent les risques liés au trafic est-ouest. Les règles de corrélation SIEM doivent surveiller les schémas inhabituels de connexions est-ouest, par exemple lorsqu’un poste de travail communique soudainement avec des dizaines d’hôtes internes, ce qui peut indiquer un ver ou la présence d’un attaquant actif.

Les réseaux ICS/SCADA qui contrôlent des infrastructures physiques (réseaux électriques, traitement de l’eau, fabrication) nécessitent une segmentation stricte par rapport aux réseaux informatiques de l’entreprise. Le modèle Purdue définit des niveaux allant des appareils de terrain (Level 0) au contrôle de l’usine (Level 2), puis à l’informatique de l’entreprise (Level 4), avec une DMZ entre les niveaux 2 et 3 pour empêcher toute connectivité directe. Les normes NERC CIP imposent cette séparation aux organisations du secteur de l’énergie. Une compromission du réseau de l’entreprise ne doit jamais permettre de manipuler directement des actionneurs ou des capteurs physiques.

L’objectif ultime de la segmentation réseau est de réduire au minimum le rayon d’impact d’une compromission donnée — l’étendue des dommages qu’un attaquant peut causer après avoir pénétré dans un segment. Combinée à d’autres mesures de contrôle (détection sur les terminaux, IAM strict et gestion des correctifs), la segmentation crée une défense en profondeur : plusieurs couches indépendantes qu’un attaquant doit franchir successivement. La segmentation seule n’empêche pas la compromission initiale, mais elle ralentit les attaquants, crée des possibilités de détection et limite l’impact des rançongiciels et des vers qui reposent sur des déplacements latéraux sans restriction.

Évaluez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que les VLAN fournissent une segmentation logique de couche 2 qui limite les domaines de diffusion et les déplacements latéraux, qu’une DMZ (sous-réseau filtré) isole les serveurs accessibles au public entre un pare-feu externe et un pare-feu interne, et que les attaques par saut de VLAN peuvent être empêchées en désactivant le trunking dynamique, en modifiant le VLAN natif et en affectant les ports inutilisés à un VLAN inactif. Nous allons maintenant étudier les attaques réseau courantes, notamment DoS, l’usurpation et MITM.