Sécurité réseau traditionnelle

1. Ce qu'il faut savoir

Sécuriser un réseau repose sur plusieurs mécanismes complémentaires : filtrage (pare-feu, ACL), segmentation, contrôle d'accès au port, VPN pour les accès distants, et le principe du moindre privilège.

2. Définitions essentielles

• Pare-feu (firewall) : filtre le trafic réseau selon des règles (adresses, ports, protocoles autorisés ou bloqués).
• ACL (Access Control List) : liste de règles précises appliquées à une interface réseau ou un équipement pour autoriser/bloquer certains flux.
• 802.1X (port security réseau) : authentification avant d'autoriser un appareil à utiliser un port réseau.
• Port security (sur switch) : limite/contrôle quelles adresses MAC peuvent utiliser un port physique donné.
• VPN (Virtual Private Network) : tunnel chiffré permettant un accès distant sécurisé à un réseau privé via Internet.
• DMZ (zone démilitarisée) : sous-réseau isolé hébergeant les services exposés à Internet (serveur web public...), séparé du réseau interne sensible.
• Moindre privilège : n'accorder à chaque utilisateur/service QUE les droits strictement nécessaires à sa fonction.

3. Notions principales

• Un pare-feu et une ACL remplissent un rôle similaire (filtrage) mais à des niveaux différents : le pare-feu est souvent un équipement/logiciel dédié, l'ACL une règle appliquée directement sur un routeur/switch.
• La segmentation (VLAN, voir MC24) limite la portée d'un incident de sécurité à une seule zone du réseau.
• Une DMZ évite qu'un serveur exposé à Internet, s'il est compromis, donne directement accès au réseau interne.
• Le VPN chiffre le trafic entre l'utilisateur distant et le réseau de l'entreprise, empêchant l'interception en clair sur un réseau public.

4. Procédure / méthode

Concevoir une architecture simple sécurisée : réseau interne sensible séparé (VLAN) → DMZ pour les services publics → pare-feu entre chaque zone avec des règles minimales (seuls les flux nécessaires autorisés) → VPN pour les accès distants au réseau interne.

5. Exemple concret

Un serveur web public compromis ne doit PAS permettre à l'attaquant d'accéder directement aux postes internes de l'entreprise : le placer en DMZ, séparé par un pare-feu du réseau interne, limite les dégâts en cas de compromission.

6. Pièges fréquents

• Placer un serveur exposé à Internet directement sur le réseau interne.
• Donner des droits larges « au cas où » plutôt qu'appliquer le moindre privilège.
• Confondre chiffrement (VPN) et simple filtrage (pare-feu/ACL) — ce sont deux mécanismes différents et complémentaires.

À retenir