Que se passe-t-il lorsque tout voit tout ?
Un réseau à plat est un réseau dans lequel chaque appareil peut communiquer avec tous les autres. L’ordinateur portable du secrétariat peut atteindre le serveur de base de données. La caméra peut atteindre l’ordinateur des ressources humaines. Le téléphone d’un visiteur peut atteindre l’imprimante et le contrôleur Wi-Fi. Tant qu’il ne se passe rien, tout fonctionne et personne n’a de raison d’y toucher. Un tel réseau résulte rarement d’un choix. Le plus souvent, il grandit simplement, d’un commutateur dans la baie à plusieurs commutateurs. Personne ne s’arrête pour le structurer.
Le problème apparaît le jour où un appareil est infecté. Le logiciel malveillant ne fait rien de sophistiqué. Il analyse les adresses de son réseau, recherche les partages de fichiers ouverts et essaie des mots de passe sur tout ce qui répond. Dans un réseau à plat, il peut explorer toute l’entreprise, pas seulement un service.
Il en va de même pour une simple erreur. Une personne branche un appareil sur la mauvaise prise réseau, une autre connecte un routeur personnel pour améliorer la couverture dans son bureau. Dans un réseau segmenté, l’incident reste limité à un seul segment. Dans un réseau à plat, il affecte tout le monde.
La segmentation ne sert pas seulement à se défendre contre une attaque
La segmentation du réseau apporte trois bénéfices à la fois. Premièrement, elle limite les dommages, car une panne ou une infection reste confinée à son segment. Deuxièmement, elle rend les flux plus lisibles. Il devient ainsi possible de voir qui communique avec qui, et le temps nécessaire pour trouver la cause d’un ralentissement diminue. Troisièmement, les échanges lors d’un audit sont plus sereins, car la séparation du réseau fait partie des premières questions posées.
La version 2022 de la norme ISO 27001 consacre une mesure spécifique au cloisonnement des réseaux. La norme PCI DSS, qui s’applique aux entreprises traitant des paiements par carte, n’impose pas explicitement la segmentation. Sans elle, l’ensemble du réseau de l’entreprise entre toutefois dans le périmètre de l’audit. C’est généralement l’option la plus coûteuse qui soit.
Ce qu’il faut séparer et pourquoi
Il n’existe pas de segmentation adaptée à toutes les entreprises. Certaines catégories doivent toutefois presque toujours être séparées :
- Wi-Fi invité. Il doit uniquement donner accès à Internet. Aucun accès aux imprimantes, aux lecteurs réseau ni aux systèmes de l’entreprise.
- Ordinateurs des collaborateurs. C’est là que se concentre l’essentiel du trafic et que les occasions d’infection sont les plus nombreuses, car c’est là que les pièces jointes et les sites web sont ouverts.
- Serveurs et systèmes de production. L’accès se fait par des services précis, pas de manière indifférenciée. Les contrôleurs de machines et les systèmes de production sont parfois anciens et ne peuvent pas recevoir de correctifs. C’est une raison supplémentaire de ne pas les placer sur le même réseau que les ordinateurs portables.
- Comptabilité et ressources humaines. Il ne s’agit pas d’un manque de confiance envers les personnes. Ces services détiennent les données dont la perte est la plus préjudiciable et dont la fuite coûte le plus cher.
- Imprimantes et équipements de bureau. Ils sont rarement mis à jour et peuvent disposer de leur propre interface d’administration avec un mot de passe d’usine.
- Caméras, contrôle d’accès et gestion technique du bâtiment. Ces systèmes sont généralement installés par une entreprise externe, souvent avec un accès à distance dont plus personne dans l’entreprise ne se souvient.
- Administration du réseau. Les interfaces d’administration des commutateurs, des points d’accès, du pare-feu et des baies de stockage ne devraient être accessibles que depuis des postes dédiés. Elles constituent la cible la plus précieuse de tout le réseau.
Comment procéder en pratique
La segmentation elle-même repose sur des VLAN, c’est-à-dire des réseaux logiques fonctionnant sur le même matériel. La norme qui définit le marquage du trafic VLAN est IEEE 802.1Q. Tous les commutateurs administrables la prennent en charge. Il n’est généralement pas nécessaire d’ajouter du matériel. Il faut configurer correctement l’équipement existant.
Un VLAN ne bloque à lui seul aucun flux entre les segments. Les règles appliquées sur l’équipement qui les relie, c’est-à-dire le pare-feu ou un commutateur de niveau 3, déterminent ce qui peut passer d’un segment à l’autre. Le principe est simple. Par défaut, rien ne passe. Seules les connexions nécessaires au travail sont autorisées.
Reste à savoir comment un équipement rejoint le bon segment. Il est possible d’associer un segment de façon fixe à une prise réseau, mais le déplacement d’un poste de travail impose alors de modifier la configuration. L’authentification au sein du réseau, définie par la norme IEEE 802.1X, fonctionne mieux. Lors de la connexion, l’équipement ou l’utilisateur s’authentifie, puis le réseau lui attribue un segment sur cette base. Ce mécanisme fonctionne aussi bien par câble qu’en Wi-Fi.
En Wi-Fi, l’équivalent est le mode entreprise, à savoir WPA2-Enterprise ou WPA3-Enterprise avec un serveur RADIUS. Chaque personne se connecte avec ses propres identifiants ou un certificat, au lieu de saisir un mot de passe unique connu de toute l’entreprise et de la moitié des anciens salariés. Le réseau invité reste séparé, avec un mot de passe que vous pouvez modifier sans en informer tout le monde.
Nous avons des VLAN, donc notre réseau est segmenté
C’est la phrase que l’on entend le plus souvent avant un état des lieux du réseau, et elle est généralement fausse. Les VLAN peuvent être en place et les plages d’adresses séparées, tandis qu’une seule règle autorise tous les flux entre les segments. Le trafic circule exactement comme dans un réseau à plat. Seul le schéma paraît ordonné.
La deuxième variante du même problème concerne les règles ajoutées un jour pendant une panne et jamais supprimées. Quelqu’un avait temporairement besoin d’accéder à un serveur depuis les postes de travail. Tout un segment a été ouvert. La panne a pris fin, mais la règle est restée. Après quelques années d’exceptions de ce type, la segmentation n’existe plus que dans la documentation.
La segmentation ne s’évalue donc pas au nombre de VLAN, mais à ce qui circule réellement entre eux. Si personne ne peut répondre de mémoire à cette question, il suffit d’exporter les règles et de les examiner une à une.
Ce qu’il faut prendre en compte avant de modifier quoi que ce soit
La segmentation semble être une tâche de configuration, mais il s’agit en pratique d’un travail d’état des lieux. Avant de créer le premier nouveau VLAN, vous devez disposer de trois éléments :
- Inventaire des équipements. Quels équipements sont présents sur le réseau, où ils se trouvent, qui en est responsable et s’ils sont encore utilisés. On découvre presque toujours quelques équipements dont plus personne ne se souvenait.
- Plan d’adressage. Des plages distinctes pour chaque segment et une marge pour la croissance, afin de ne pas devoir refaire le même travail dans deux ans.
- Cartographie des connexions. Qui doit réellement communiquer avec qui et par quel moyen. Il ne s’agit pas de savoir qui communique avec qui aujourd’hui, puisque tout communique avec tout, mais de déterminer les connexions nécessaires au travail.
Le troisième point réserve le plus de surprises. Des imprimantes détectées par diffusion sur le réseau local, qui ne sont plus visibles après la segmentation. Un logiciel de gestion de stock dont l’adresse du serveur est inscrite en dur dans un fichier de configuration. Un agent de sauvegarde qui doit accéder à chaque machine. Un équipement maintenu à distance par le fabricant. Toutes ces connexions peuvent être anticipées, à condition de les recenser au préalable.
Ce qu’il ne faut pas changer d’un seul coup en pleine journée
Déployer la segmentation sur l’ensemble du réseau de l’entreprise en une seule soirée produit partout le même résultat. Le lendemain matin, plusieurs éléments ne fonctionnent plus en même temps. Personne ne sait quelle modification en est responsable et, sous la pression, l’on revient à l’état initial.
L’ordre logique est l’inverse. Il faut commencer par les segments qui ne gênent personne, à savoir le Wi-Fi invité, les caméras et les imprimantes. Viennent ensuite, un par un, les segments utilisés pour le travail. Il est préférable d’activer d’abord les règles entre les segments dans un mode qui autorise le trafic tout en le journalisant. Au bout d’une semaine, les journaux montrent quels systèmes communiquent réellement entre eux. Ce n’est qu’ensuite que le trafic est restreint.
Chaque étape de ce type est réalisée pendant une fenêtre de maintenance. La configuration est sauvegardée avant la modification et les conditions imposant un retour arrière sont définies à l’avance. Cette prudence n’est pas une simple formalité. La segmentation du réseau concerne tout le monde. Une seule connexion oubliée peut donc interrompre le travail de personnes qui ignoraient même que le réseau était en cours de modification.
Par où commencer
Si vous ne savez pas si votre réseau est segmenté, un test rapide suffit. Depuis un poste de travail standard du bureau, essayez d’accéder à l’interface d’administration du commutateur, à une caméra et au serveur de base de données. Si les trois sont accessibles, le réseau est à plat, indépendamment de ce qu’indique le schéma.
La suite repose sur des étapes classiques : inventaire des équipements, cartographie des connexions, plan d’adressage, puis mise en place des segments l’un après l’autre, chacun pendant une fenêtre de maintenance. Le matériel déjà installé dans la baie informatique suffit généralement. Le coût principal correspond au temps nécessaire pour déterminer quels systèmes doivent réellement communiquer entre eux.
Nous concevons et maintenons des réseaux d’entreprise, avec la segmentation VLAN et les règles de trafic entre les segments. Pour savoir par quel segment commencer dans votre environnement, un bref échange et un examen de la configuration actuelle suffisent généralement.