Les bases de la sécurité réseau

Une attaque réseau exploite une faiblesse pour causer des dommages. Nommer la faiblesse et la ressource sollicitée t’aide à choisir une protection réellement efficace.

Relie l’attaque à la faiblesse

Une menace peut causer des dommages : un attaquant, une personne interne ou un incendie. Une vulnérabilité est une faiblesse, comme un ancien micrologiciel ou un mot de passe par défaut. Un exploit est la technique ou le code utilisé contre cette faiblesse. Une mesure d’atténuation supprime la faiblesse ou en réduit les effets. Pour un service de connexion VPN vulnérable, la faille est la vulnérabilité, le code d’attaque est l’exploit et l’installation du correctif du fournisseur est la mesure d’atténuation. Désactiver le service exposé peut réduire l’exposition en attendant la mise à jour.

La surface d’attaque est l’ensemble des points qu’un attaquant peut viser : services, ports, comptes, appareils et réseaux sans fil. Désactiver un service d’administration inutilisé supprime un point d’entrée. Ajouter un autre mot de passe à ce service inutilisé laisse le point d’entrée en place.

Distingue trois types de surcharge

Une attaque par déni de service (DoS) rend un service indisponible. Une attaque par déni de service distribué (DDoS) utilise de nombreuses sources, souvent des appareils compromis contrôlés au sein d’un réseau de robots. Bloquer une adresse n’empêche pas les autres sources d’envoyer du trafic.

Lors d’une inondation SYN, de nombreux échanges d’établissement de connexion TCP s’arrêtent après l’envoi de SYN-ACK par le serveur. L’ACK final n’arrive jamais, ce qui laisse des connexions semi-ouvertes dans une file d’attente. Les cookies SYN permettent au serveur de différer la conservation de l’état de connexion jusqu’à ce que le client termine l’échange. Des limites du nombre de connexions par unité de temps et des délais d’attente plus courts peuvent aussi réduire la pression.

Analyse la réflexion et l’amplification

Avec la réflexion, un attaquant falsifie l’adresse source des requêtes envoyées à d’autres serveurs en y indiquant celle de la victime. Ces serveurs répondent à la victime. Avec l’amplification, les réponses sont plus volumineuses que les requêtes. Les services utilisant UDP sont intéressants pour les attaquants car aucun échange initial d’établissement de connexion ne permet de valider la source déclarée.

Supposons que 500 robots envoient chacun 4 Mbit/s de requêtes. Leur débit cumulé est de 2 000 Mbit/s, soit 2 Gbit/s. Une requête de 60 octets produisant une réponse de 3 000 octets donne un facteur d’amplification de 50. Sans tenir compte des autres surcharges, la victime reçoit environ 100 Gbit/s. Les réponses volumineuses viennent des serveurs utilisés pour la réflexion, même si l’attaquant a envoyé beaucoup moins de trafic.

Place la protection avant le goulot d’étranglement

Si la liaison entrante est déjà saturée, le pare-feu de l’organisation ne reçoit que le trafic qui parvient à la traverser. Y rejeter les paquets d’attaque ne peut pas rétablir la capacité perdue en amont. Le fournisseur d’accès à Internet ou un service de nettoyage dans le cloud doit filtrer une grande inondation volumétrique avant qu’elle n’atteigne la connexion de l’entreprise. Éviter les résolveurs DNS ouverts et filtrer les adresses sources falsifiées réduit aussi l’intérêt d’un réseau pour les attaquants.

Un pic de trafic ne suffit pas à lui seul à identifier une attaque. Compare le nombre de connexions, les sessions semi-ouvertes, les types de requêtes et la charge du processeur à la référence habituelle. Une opération commerciale très fréquentée peut aussi augmenter la demande légitime.

Les réseaux locaux s’appuient sur des informations apprises : quel port permet d’atteindre une adresse MAC, quelle adresse MAC appartient à une passerelle et quel serveur répond pour un nom. Les attaquants peuvent remplacer ces informations et rediriger le trafic.

Reconnais une position sur le chemin du trafic

Une attaque de l’homme du milieu fait passer les communications par l’attaquant. Celui-ci peut lire ou modifier le trafic non chiffré, ou le supprimer. HTTPS et SSH protègent le contenu même lorsque le chemin traverse un appareil non fiable, à condition que les vérifications d’identité réussissent.

La saturation de la table des adresses MAC envoie de nombreuses fausses adresses MAC sources pour remplir la table d’adresses d’un commutateur. Les trames à destination inconnue peuvent alors être diffusées dans le VLAN, exposant le trafic à d’autres ports. La sécurité des ports limite les adresses apprises sur un port. L’effet d’une table pleine dépend du commutateur : vérifie donc son comportement au lieu de supposer que chaque trame devient visible.

Suis une association ARP falsifiée

ARP associe une adresse IPv4 locale à une adresse MAC. Lors d’une usurpation ARP, un attaquant envoie de faux messages ARP. L’empoisonnement du cache ARP est la fausse entrée qui en résulte.

Un PC à l’adresse 192.168.1.50 s’attend à ce que la passerelle 192.168.1.1 ait l’adresse MAC 00:1A:2B:3C:4D:5E. Une réponse falsifiée affirme que la passerelle utilise 00:AA:BB:CC:DD:EE. Le PC envoie désormais les trames destinées à la passerelle à cette adresse. Si l’attaquant les transmet, la connexion peut continuer à fonctionner pendant qu’il se trouve sur le chemin du trafic. Compare le résultat de arp -a à l’adresse connue de la passerelle ; l’adresse IP propre de l’attaquant n’apparaît pas nécessairement dans le cache. L’inspection ARP dynamique (DAI) rejette les associations qui échouent à ses contrôles.

Distingue trois façons de rediriger les clients

Une fausse passerelle DHCP peut faire passer le trafic routé par l’attaquant. Un faux serveur DNS peut rediriger certains noms. La surveillance DHCP bloque les réponses de serveur provenant de ports non fiables. DNSSEC valide les données DNS signées ; il ne chiffre pas le trafic DNS. Une entrée empoisonnée du cache DNS reste présente jusqu’à sa suppression ou son expiration, tandis qu’une entrée malveillante du fichier hosts reste présente jusqu’à sa suppression.

Vérifie les frontières sans fil et VLAN

Un point d’accès non autorisé rejoint le réseau filaire sans approbation et y ouvre un accès sans fil indésirable. Un jumeau maléfique copie un SSID légitime pour attirer les clients. La surveillance sans fil, 802.1X sur les ports filaires et la validation correcte du certificat du serveur d’authentification contribuent à empêcher ces attaques. Un nom de réseau familier ne suffit pas à identifier un point d’accès de confiance.

Le saut de VLAN contourne la frontière de routage prévue. L’usurpation de commutateur réussit lorsqu’un terminal négocie une liaison trunk. Le double étiquetage exploite un VLAN d’accès qui est aussi le VLAN natif non étiqueté d’une liaison trunk : un commutateur retire l’étiquette externe, exposant l’étiquette interne du VLAN cible au commutateur suivant. Ce chemin est généralement à sens unique. Des ports d’accès configurés de façon statique, des liaisons trunk statiques, la désactivation de la négociation et un VLAN natif inutilisé ferment ces voies.

Un attaquant peut accéder au réseau en persuadant une personne, en volant un mot de passe ou en connectant un appareil. Un pare-feu techniquement fiable ne peut pas vérifier si une personne qui appelle en prétendant appartenir à l’assistance dit la vérité.

Lis la demande avant de réagir

L’ingénierie sociale joue sur l’urgence, l’autorité ou le désir d’aider pour obtenir un accès. L’hameçonnage utilise des messages trompeurs ; l’hameçonnage ciblé vise une personne ou une fonction précise. L’hameçonnage vocal utilise des appels et l’hameçonnage par SMS utilise des messages texte. Un message urgent qui te demande de te connecter sur un domaine inconnu doit t’inciter à t’arrêter et à vérifier par un canal connu. Signale le message et ouvre le service à son adresse connue.

Regarder quelqu’un saisir un mot de passe est de l’observation par-dessus l’épaule. Chercher dans des documents ou des équipements jetés est de la fouille des déchets. Suivre une personne munie d’un badge à travers une porte verrouillée est un passage en force derrière une personne autorisée. Ces méthodes exploitent les habitudes de travail quotidiennes : les procédures de badge, l’élimination sécurisée des déchets et l’accompagnement des visiteurs comptent donc autant que les mesures logicielles.

Distingue les logiciels malveillants par leur action

Ces catégories peuvent se recouper. WannaCry était un rançongiciel qui s’est aussi propagé comme un ver par des services SMBv1 vulnérables sur TCP 445 en mai 2017. L’installation de correctifs, la désactivation de SMBv1, le filtrage de ce service et la séparation des segments réseau ont limité sa propagation. La protection des terminaux aide à détecter les logiciels malveillants, mais les nouvelles menaces et le vol de mots de passe nécessitent encore d’autres mesures. Des sauvegardes conservées hors de portée des rançongiciels facilitent la reprise.

Identifie ce que l’attaquant essaie

La force brute essaie des combinaisons. Une attaque par dictionnaire essaie des mots probables, des mots de passe divulgués et leurs variantes. La pulvérisation de mots de passe essaie un petit nombre de mots de passe courants sur de nombreux comptes. Le bourrage d’identifiants teste des couples de noms d’utilisateur et de mots de passe volés sur d’autres services. La pulvérisation répartit les essais entre les utilisateurs ; le bourrage exploite la réutilisation des mots de passe.

Un attaquant en ligne se heurte aux délais et aux verrouillages du service actif. Un attaquant hors ligne teste des condensats de mots de passe volés sans contacter le service de connexion : les verrouillages de ce service ne peuvent donc pas ralentir les essais. Des mots de passe longs et uniques, un gestionnaire de mots de passe, la vérification des mots de passe divulgués et le stockage sous forme de condensats salés calculés avec une fonction lente répondent à différentes parties du problème.

Protège les autres voies d’accès

L’authentification multifacteur (MFA) exige des facteurs de types différents : un mot de passe seul ne suffit donc pas. Les clés de sécurité matérielles peuvent résister à l’hameçonnage qui capture les mots de passe et les codes à usage unique. L’authentification multifacteur ordinaire fondée sur un code reste vulnérable à l’hameçonnage : les utilisateurs doivent donc vérifier où ils se connectent.

Verrouille les salles et les baies réseau. Un accès console associé à un redémarrage peut permettre à un intrus d’utiliser la procédure de récupération de mot de passe d’un équipement. Un visiteur qui peut atteindre un port de commutateur ouvert peut connecter un appareil non autorisé même sans connaître de mot de passe Wi-Fi.

La segmentation sépare des groupes d’appareils et contrôle les communications entre eux. Elle limite le déplacement latéral, c’est-à-dire la progression d’un attaquant depuis un appareil compromis vers d’autres systèmes accessibles.

Sépare les groupes et contrôle les échanges

La segmentation physique utilise des équipements distincts ; une isolation physique ne comporte aucune connexion à d’autres réseaux. Les VLAN assurent une segmentation logique sur des commutateurs partagés. Chacun constitue un domaine de diffusion de couche 2, normalement doté de son propre sous-réseau.

Un routeur, un commutateur de couche 3 ou un pare-feu relie les VLAN. Applique-y des listes de contrôle d’accès ou des règles de pare-feu. Créer des VLAN sans filtrage laisse les communications routées ouvertes : la séparation des diffusions ne constitue pas à elle seule une politique d’accès.

Regroupe les appareils selon leurs besoins

Sépare le personnel, les serveurs, la voix, les invités, l’administration et les appareils IoT. Les appareils personnels utilisés dans un programme BYOD reçoivent généralement un accès limité. Les technologies opérationnelles (OT) contrôlent des processus physiques et nécessitent une isolation stricte, car les pannes ont des effets physiques et l’installation de correctifs peut être difficile.

Les interfaces d’administration ne doivent accepter que les connexions provenant de sources d’administration approuvées. Les invités ont besoin d’un accès à Internet sans accès interne ; les caméras ont besoin de leur enregistreur. Une isolation efficace peut aussi réduire le nombre de systèmes inclus dans une évaluation de la sécurité des cartes de paiement. Démontre cette isolation en examinant les chemins réellement autorisés.

Transforme les besoins en règles

Utilise le VLAN 10 Personnel sur 10.10.10.0/24, le VLAN 20 Serveurs sur 10.10.20.0/24, le VLAN 30 Invités sur 10.10.30.0/24, le VLAN 40 Caméras sur 10.10.40.0/24 et le VLAN 99 Administration sur 10.10.99.0/24.

Refuse les autres flux entre segments. C’est le refus par défaut : identifie la source, la destination, le protocole et le service nécessaires, puis bloque le reste. Une règle de la caméra vers l’enregistreur ne doit pas aussi ouvrir tous les serveurs au sous-réseau des caméras.

Teste le service réel

Depuis chaque segment, teste une connexion nécessaire et une connexion interdite. Un invité doit pouvoir charger un site public approuvé, mais ne pas pouvoir ouvrir l’interface HTTPS de l’imprimante interne. Une caméra doit pouvoir atteindre son enregistreur, mais pas les PC du personnel. Vérifie que le compteur ou le journal de la règle attendue change.

Ping ne teste qu’ICMP. Un ping infructueux ne montre pas si TCP 443 est accessible. Répète les tests des services après les changements de routage, de VLAN ou de pare-feu.

La sécurité des VLAN dépend du maintien des terminaux sur des ports d’accès et du contrôle des VLAN transportés par les liaisons trunk. Les étiquettes VLAN identifient le trafic ; elles ne le chiffrent pas et n’authentifient pas son expéditeur.

Empêche les terminaux de former des liaisons trunk

Un port d’accès dessert un VLAN de terminal. Une liaison trunk transporte plusieurs VLAN à l’aide d’étiquettes 802.1Q. Son VLAN natif transporte le trafic non étiqueté, sauf si l’étiquetage du VLAN natif est activé.

Lors d’une usurpation de commutateur, un terminal se fait passer pour un commutateur et négocie une liaison trunk au moyen de DTP de Cisco. Configure les ports des terminaux en mode accès statique, les véritables liaisons trunk en mode trunk statique et désactive la négociation.

Supprime la voie du double étiquetage

Le double étiquetage nécessite que le VLAN d’accès de l’attaquant corresponde au VLAN natif non étiqueté d’une liaison trunk. L’attaquant ajoute une étiquette externe pour le VLAN natif et une étiquette interne pour le VLAN cible. Le retrait de l’étiquette externe expose l’étiquette du VLAN cible au commutateur suivant. Le chemin habituel est à sens unique, mais il peut tout de même injecter du trafic nuisible.

Utilise un VLAN natif inutilisé sans terminal, ou active l’étiquetage du VLAN natif. Fais correspondre le VLAN natif aux deux extrémités : sinon, des trames non étiquetées peuvent entrer dans des VLAN différents aux extrémités opposées. Ne place pas d’utilisateurs, de serveurs ni d’interfaces d’administration dans le VLAN 1 ou le VLAN natif.

Configure et vérifie les rôles

Cet exemple Cisco IOS affecte un terminal du personnel et une liaison montante. Le VLAN 999 est inutilisé ; la liaison trunk ne doit transporter que les VLAN actifs répertoriés.

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
!
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,99

Les anciens commutateurs prenant en charge ISL peuvent d’abord nécessiter switchport trunk encapsulation dot1q. Limite la liste des VLAN autorisés aux besoins réels de l’extrémité distante. Vérifie les liaisons trunk opérationnelles, les VLAN natifs et les listes de VLAN autorisés avec show interfaces trunk, puis le fonctionnement en accès statique avec show interfaces GigabitEthernet1/0/5 switchport.

Ferme les ports inutilisés et isole les pairs

Désactive les ports inutilisés et affecte-les à un VLAN de parking non routé, comme le VLAN 998. Une prise libre active fournit toujours une connexion ; le VLAN de parking limite les accès possibles si un port est activé accidentellement.

Les ports isolés d’un VLAN privé peuvent atteindre le port promiscuous, normalement dirigé vers une passerelle, mais pas communiquer entre eux. Les ports de communauté peuvent aussi atteindre les ports de leur propre communauté. L’isolation des clients sans fil offre une séparation comparable entre pairs. Les règles à la frontière de routage contrôlent toujours le trafic qui quitte ces groupes.

Une liste de contrôle d’accès (ACL) vérifie les paquets à l’aide d’entrées ordonnées d’autorisation et de refus. La première entrée correspondante détermine le résultat. Si aucune entrée ne correspond, un refus implicite rejette le paquet.

Choisis les champs nécessaires

Une liste de contrôle d’accès IPv4 standard ne prend en compte que l’adresse source. Une liste étendue peut prendre en compte le protocole, la source, la destination et les ports TCP ou UDP. Les listes standard Cisco numérotées utilisent les numéros 1 à 99 ou 1300 à 1999 ; les listes étendues utilisent 100 à 199 ou 2000 à 2699. Les listes nommées rendent leur objectif plus facile à reconnaître et utilisent des numéros de séquence pour les modifications.

Les plages d’adresses des listes Cisco utilisent des masques génériques. Un bit à zéro doit correspondre ; un bit à un est ignoré. Pour un sous-réseau, soustrais son masque de 255.255.255.255. Un /24 utilise 0.0.0.255. La plage 192.168.10.64/26 utilise 0.0.0.63 et couvre les adresses de .64 à .127. host 10.10.20.10 correspond à une seule adresse ; any correspond à toutes les adresses. Saisir 255.255.255.0 comme masque générique ignorerait les trois premiers octets et exigerait un dernier octet égal à zéro, au lieu de correspondre au /24 voulu.

Lis une politique complète

Cette liste nommée filtre le trafic provenant du personnel qui arrive au routeur :

ip access-list extended STAFF-IN
 10 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.10 eq 443
 15 permit udp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 16 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
 30 permit ip 10.10.10.0 0.0.0.255 any

Suis les paquets un par un :

1. Le PC du personnel 10.10.10.25 envoie du trafic TCP 443 à 10.10.20.10. L’entrée 10 correspond : le trafic est donc autorisé.
2. Le même PC envoie du trafic TCP 3389 à ce serveur. Les entrées 10, 15 et 16 ne correspondent pas ; l’entrée 20 correspond et le refuse.
3. Le PC envoie du trafic TCP 443 au serveur public 203.0.113.80. L’entrée 20 ne correspond pas à cette destination ; l’entrée 30 l’autorise.
4. Un paquet ayant pour source l’adresse invitée 10.10.30.7 ne correspond à aucune de ces entrées visant le personnel. Le refus implicite le rejette.

DNS a besoin d’UDP 53 et de TCP 53, notamment de TCP pour les réponses qui ne peuvent pas être achevées par UDP. Déplacer l’entrée 30 au-dessus de l’entrée 20 autoriserait le trafic du personnel vers tous les serveurs et rendrait le refus inaccessible. Supprimer l’entrée 30 bloquerait le reste du trafic du personnel, y compris l’accès à Internet.

Applique la liste au passage des paquets

Sur l’interface du VLAN du personnel, ip access-group STAFF-IN in filtre les paquets entrant dans le routeur depuis le personnel. Le sens est défini par rapport à l’interface du routeur, et non à l’utilisateur. out vérifie les paquets qui quittent cette interface. Une interface accepte une liste par protocole et par sens.

Les listes étendues sont généralement placées près de la source pour rejeter tôt le trafic indésirable. Les listes standard sont généralement placées près de la destination : comme elles ne peuvent pas distinguer les destinations, un refus fondé uniquement sur la source et placé trop tôt pourrait bloquer d’autres chemins nécessaires.

Vérifie les réponses comme les requêtes

Ces listes de routeur sont sans état. Une réponse vérifiée par une autre liste nécessite sa propre autorisation. Le mot-clé Cisco established vérifie les drapeaux TCP ACK ou RST ; ce n’est pas une table d’états et il ne sert pas pour UDP.

Utilise show access-lists pour examiner les compteurs de correspondances et show ip interface pour confirmer l’application et le sens. Un compteur à zéro peut indiquer une entrée masquée par une règle antérieure. Un deny ip any any log explicite en fin de liste rend le trafic refusé visible. Pour les listes IPv6 Cisco, conserve les autorisations nécessaires à la découverte des voisins : un refus général explicite placé avant ces autorisations peut empêcher la liaison locale de fonctionner.

Un pare-feu applique une politique au trafic entre des réseaux ou sur un hôte individuel. Choisis sa méthode d’inspection selon la décision qu’il doit prendre.

Compare les méthodes d’inspection

Un pare-feu à états qui enregistre une connexion TCP de 10.10.10.25:51514 vers 203.0.113.80:443 peut reconnaître la réponse inverse. Une connexion entrante sans rapport n’est pas autorisée simplement parce qu’elle utilise le port source 443. Un filtre sans état nécessite, lui, des règles adaptées aux réponses.

Un proxy applicatif termine la connexion du client et en ouvre une autre vers le serveur. Un pare-feu d’applications web est spécialisé dans les requêtes web et les attaques qu’elles peuvent contenir, comme l’injection SQL. Un pare-feu de nouvelle génération ajoute l’identification des applications, une politique par utilisateur et des fonctions comme la prévention des intrusions ou le filtrage d’URL. Un équipement de gestion unifiée des menaces regroupe des fonctions de sécurité pour les petites organisations.

Vérifie les adresses et le contenu transféré

Le filtrage d’URL vérifie les adresses web ou leurs catégories. Le filtrage de contenu examine les éléments transférés, comme les fichiers exécutables ou les documents confidentiels. L’autorisation de TCP 443 ne suffit pas à distinguer un site professionnel d’un logiciel malveillant ou d’un outil d’accès distant utilisant HTTPS.

L’inspection TLS déchiffre le trafic, l’inspecte et le chiffre à nouveau. Les clients doivent faire confiance à son autorité de certification. Applique les exigences de l’organisation et celles relatives à la confidentialité, notamment les exclusions pour les catégories sensibles.

Lis une politique ordonnée

Considère ces règles appliquées à la première correspondance :

1. Autoriser l’intérieur vers l’extérieur sur TCP 80/443 et DNS approuvé, UDP/TCP 53.
2. Autoriser l’extérieur vers le serveur web 172.16.1.10 de la zone démilitarisée sur TCP 443.
3. Autoriser les PC d’administration 10.10.10.5 et .6 vers ce serveur sur TCP 22.
4. Refuser et journaliser le trafic de la zone démilitarisée vers l’intérieur.
5. Refuser et journaliser le reste.

Un navigateur interne correspond à la règle 1. Une connexion SSH extérieure vers le serveur web atteint la règle 5, car elle ne correspond ni au service HTTPS publié ni au trafic provenant d’un administrateur désigné. Un serveur public compromis qui établit une connexion SMB vers l’intérieur correspond à la règle 4. Les réponses correspondantes suivent la politique à états.

Utilise des sources, destinations et services précis, avec des exceptions limitées avant les règles plus larges. Consigne l’objectif, le responsable et la date de révision. Examine les journaux et supprime les ouvertures obsolètes ou les règles masquées.

Un pare-feu sur hôte protège un appareil, y compris un ordinateur portable en déplacement. Un pare-feu réseau protège le trafic qui traverse sa frontière. Les attaques internes peuvent éviter le périmètre Internet : conserve donc les deux.

Un serveur public doit accepter une partie du trafic Internet, mais cela ne signifie pas qu’il doit disposer d’un accès sans restriction aux systèmes internes. Les zones de sécurité rendent visibles ces différences d’autorisation.

Place les services publics dans une zone démilitarisée

Une zone de sécurité regroupe des interfaces ou des réseaux soumis à une politique commune. L’intérieur est généralement la zone de confiance, l’extérieur correspond à Internet et une zone démilitarisée accueille les services publics. Le terme « de confiance » décrit le regroupement selon la politique ; des appareils infectés peuvent néanmoins s’y trouver.

N’autorise de l’extérieur vers la zone démilitarisée que les services publiés. Refuse le trafic de l’extérieur vers l’intérieur, tout en acceptant les réponses aux connexions que le pare-feu à états a autorisées depuis l’intérieur. Refuse les connexions établies depuis la zone démilitarisée vers l’intérieur, sauf pour des dépendances précisément désignées et limitées. Par exemple, un serveur web peut avoir besoin d’un port de base de données vers une base de données interne. L’accès d’administration doit provenir d’hôtes d’administration désignés.

Un pare-feu à trois interfaces peut faire respecter ces frontières. Une autre solution consiste à placer la zone démilitarisée entre un pare-feu externe et un pare-feu interne. Cette solution crée des frontières de sécurité distinctes, mais nécessite davantage d’équipements et d’administration. Un attaquant qui atteint un serveur public grâce à une règle externe d’autorisation doit encore franchir les règles internes ; les dépendances autorisées déterminent les accès qui lui restent possibles.

Combine publication et autorisation

Publie le serveur web privé 172.16.1.10 en traduisant l’adresse publique 203.0.113.10 sur TCP 443 vers son service privé sur TCP 443. C’est la traduction d’adresses de destination, ou redirection de port. Le pare-feu a besoin à la fois de la traduction et d’une règle autorisant la connexion publiée. La traduction modifie l’adressage ; la règle décide de l’autorisation. Selon le produit, une règle désigne l’adresse avant ou après traduction : vérifie donc l’adresse à laquelle la règle correspond réellement.

Choisis la détection ou la prévention

Un système de détection d’intrusion reçoit une copie du trafic par un port miroir ou un TAP et émet des alertes. Il ne peut pas rejeter directement les paquets d’origine. Un système de prévention d’intrusion est placé en ligne et peut bloquer le trafic, y compris un trafic légitime classé à tort comme malveillant. En cas de panne, un système configuré pour rester ouvert laisse passer le trafic ; un système configuré pour rester fermé le bloque.

La détection par signatures reconnaît les motifs connus et nécessite des signatures à jour. La détection par anomalies compare le comportement à une référence normale et peut signaler un nouveau motif. Elle nécessite aussi des réglages : une sauvegarde planifiée volumineuse peut ressembler à un vol de données.

Seuls les résultats positifs produisent des alertes. Une alerte est un signal à examiner, tandis qu’une attaque manquée peut ne produire aucune alerte. Réduire la sensibilité peut diminuer les faux positifs et augmenter les faux négatifs ; l’augmenter peut avoir l’effet inverse.

Place la surveillance là où les données sont disponibles

Un capteur réseau situé à l’extérieur d’une extrémité HTTPS ou VPN voit les adresses, les moments et les volumes, mais ne peut pas lire le contenu chiffré. Inspecte le trafic déchiffré au niveau du terminal, derrière la passerelle VPN ou à un point d’inspection TLS approuvé. La détection sur hôte peut voir l’activité sur le serveur après déchiffrement.

Un pot de miel est un leurre isolé sans utilisateur légitime. Les connexions à ce système méritent une enquête. Un réseau de pots de miel combine plusieurs leurres. Garde-les isolés pour qu’un leurre compromis ne devienne pas une voie d’accès aux systèmes réels.

Les protections des commutateurs arrêtent plusieurs attaques avant que les paquets n’atteignent un routeur ou un pare-feu. Elles vérifient différents éléments : une limite d’adresses MAC, l’origine d’une offre DHCP ou une liaison entre adresse IP et adresse MAC.

Limite les adresses sur un port

La sécurité des ports limite les adresses MAC autorisées sur un port. Les commutateurs Cisco autorisent par défaut une adresse lorsque la fonction est activée. Les adresses peuvent être saisies manuellement, apprises dynamiquement ou acquises par apprentissage rémanent. Ces dernières entrent dans la configuration courante et sont conservées après un redémarrage si cette configuration est enregistrée.

Pour un bureau équipé d’un seul PC, utilise cet exemple Cisco IOS :

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Un autre ordinateur portable ne peut pas transmettre par le port une fois l’adresse du PC apprise. En mode restrict, le PC d’origine peut être rebranché sans que le port soit en état err-disabled. Vérifie avec show port-security interface GigabitEthernet1/0/5. Le mode shutdown nécessite une remise en service par un administrateur, par exemple avec shutdown suivi de no shutdown, ou une récupération automatique configurée. Les adresses MAC peuvent être copiées : la sécurité des ports n’est donc pas une authentification forte des appareils.

N’accepte les réponses DHCP que dans le bon sens

La surveillance DHCP bloque les messages de serveur DHCP sur les ports non fiables et construit une table des liaisons contenant l’adresse IP du client, son adresse MAC, son port et son VLAN. Active-la globalement et pour les VLAN nécessaires avec ip dhcp snooping et ip dhcp snooping vlan 10,20. Sur le chemin vérifié vers le serveur autorisé, configure ip dhcp snooping trust. Les ports des terminaux restent non fiables. Une limite de débit sur les ports utilisateurs, comme ip dhcp snooping limit rate 10, contribue à limiter les requêtes visant à épuiser les adresses DHCP.

Si le chemin d’entrée depuis le serveur légitime reste non fiable, les offres légitimes sont elles aussi rejetées. La confiance dépend du sens du trafic ; elle ne signifie pas que toute liaison montante est sûre. Une liaison provenant d’un commutateur d’accès non protégé peut transporter des offres non autorisées.

Réutilise les liaisons pour inspecter les adresses

L’inspection ARP dynamique (DAI) compare les messages ARP aux liaisons valides entre adresses IP et MAC sur les ports non fiables. IP Source Guard vérifie l’adressage source du trafic IP à l’aide des liaisons. Pour les clients DHCP, établis les liaisons de surveillance avant d’appliquer l’une ou l’autre fonction. Les hôtes à adresse statique nécessitent des entrées de liste de contrôle d’accès ARP pour l’inspection ARP dynamique et des liaisons source manuelles pour IP Source Guard ; ils n’acquièrent pas de liaison DHCP simplement en envoyant du trafic.

Ajoute des protections pour les autres trafics de contrôle

Le contrôle des tempêtes de trafic limite les débits de diffusion, de multidiffusion ou de monodiffusion inconnue. La protection BPDU désactive un port périphérique qui reçoit des messages Spanning Tree. La protection contre les annonces de routeur non autorisées bloque les annonces de routeur IPv6 non autorisées sur les ports utilisateurs. Aucune de ces fonctions n’effectue le même contrôle que l’inspection ARP dynamique.

Teste ces changements en laboratoire ou pendant une fenêtre de maintenance, avec une solution de retour arrière disponible : un paramètre de confiance incorrect ou une liaison manquante peut déconnecter des appareils légitimes.

Une connexion par câble ou une adresse MAC connue ne permet pas d’identifier un utilisateur approuvé. Le contrôle d’accès au réseau (NAC) décide si un appareil peut se connecter et quels accès il reçoit, à partir de l’identité, d’informations sur l’appareil et souvent d’un contrôle de son état de sécurité.

Suis les trois rôles de 802.1X

802.1X assure un contrôle d’accès par port sur les réseaux filaires et sans fil. Le client d’authentification du terminal demande l’accès. Le commutateur ou le point d’accès est l’authentificateur qui contrôle la connexion. Le serveur d’authentification, souvent RADIUS, vérifie les identifiants. Avant la réussite de l’authentification, le trafic de données normal est bloqué tandis que les messages d’authentification EAP sur réseau local (EAPOL) passent.

Un ordinateur portable se connecte au port GigabitEthernet1/0/12. Son client d’authentification échange des messages EAP avec le commutateur. Celui-ci les relaie dans des messages RADIUS vers le serveur. Après validation du certificat de l’ordinateur, le serveur renvoie Access-Accept avec le VLAN 10. Le commutateur admet l’ordinateur dans le VLAN Personnel. Une identité refusée reste bloquée ou reçoit un accès restreint selon la politique.

Choisis et valide la méthode d’authentification

EAP-TLS authentifie le client et le serveur avec des certificats. Le client prouve qu’il possède sa clé privée sans l’envoyer. PEAP crée un tunnel TLS avec le certificat du serveur et y vérifie un nom d’utilisateur et un mot de passe.

Les deux méthodes exigent que le client valide le certificat du serveur d’authentification. Un client PEAP qui accepte le serveur d’un attaquant peut exposer son échange d’authentification par mot de passe à une tentative de cassage. EAP-TLS n’envoie pas la clé privée, mais accepter un faux serveur peut tout de même conduire un appareil sur le réseau d’un attaquant. Configure l’autorité de confiance et l’identité attendue du serveur, pas seulement le SSID.

Traite les appareils selon leurs capacités

Une imprimante sans client d’authentification peut utiliser le contournement de l’authentification par adresse MAC (MAB). Le commutateur transmet son adresse MAC à RADIUS comme identité. Cette adresse pouvant être copiée, place l’imprimante dans un segment restreint qui ne lui donne que les accès nécessaires.

Une évaluation de la posture de sécurité vérifie l’état de l’appareil, par exemple les mises à jour installées, la protection active du terminal et l’activation du pare-feu. Un appareil qui échoue peut être placé dans un VLAN de quarantaine qui autorise les services de mise en conformité. Après les mises à jour et un nouveau contrôle, il peut recevoir un accès normal. Un portail captif pour les invités présente une page web pour accepter des conditions ou saisir un code ; il répond à un besoin différent de l’authentification des appareils par certificat.

Applique les mêmes principes au Wi-Fi

WPA3-Personal utilise SAE et résiste mieux aux tentatives de devinette hors ligne que WPA2-Personal. Utilise le mode Entreprise pour le personnel et un réseau invité distinct. Désactive WPS ainsi que les protocoles obsolètes WEP et WPA fondé sur TKIP.

Le contrôle d’accès au réseau détermine l’admission et le placement. Les listes de contrôle d’accès et les pare-feu limitent toujours le trafic de l’appareil admis. Introduis l’application des contrôles par étapes : observe les échecs, teste un petit groupe, puis élargis le déploiement. Répertorie les appareils sans client d’authentification et conserve une voie de secours administrative documentée si RADIUS devient inaccessible.

Le durcissement des équipements supprime les points d’entrée inutiles et sécurise les services restants. Applique-le aux commutateurs, routeurs, pare-feu, points d’accès et caméras, puis vérifie-le à nouveau après les changements de logiciel ou de configuration.

Supprime les points d’entrée faciles

Change les identifiants d’usine lors de l’installation. En 2016, Mirai a utilisé les identifiants par défaut courants d’appareils connectés à Internet pour constituer un grand réseau de robots. Désactive les ports de commutateur inutilisés et les services inutiles, notamment Telnet, l’administration par HTTP non chiffré, UPnP et WPS. Désactive les protocoles de découverte comme CDP et LLDP sur les ports tournés vers des réseaux non fiables lorsque la divulgation d’informations sur l’équipement crée une exposition.

Le chiffrement protège les identifiants pendant leur transit. Les identifiants stockés nécessitent aussi des condensats robustes. Le type 9 de Cisco utilise scrypt et le type 8 utilise PBKDF2 avec SHA-256. Le type 5 est dépassé. service password-encryption produit un masquage réversible de type 7 ; ce n’est pas un stockage robuste des mots de passe.

Mets en place un accès uniquement par SSH

Cet exemple Cisco IOS suppose que le commutateur prend en charge les commandes indiquées. Crée le compte de manière interactive avec un secret long et unique ; ne réutilise pas un mot de passe tiré d’un exemple.

hostname SW1
ip domain-name example.com
crypto key generate rsa modulus 2048
ip ssh version 2

Crée le compte d’administrateur nommé avec username netadmin privilege 15 algorithm-type scrypt secret suivi du secret choisi. Configure ensuite les lignes d’accès distant :

line vty 0 15
 login local
 transport input ssh
 exec-timeout 10 0
 access-class MGMT-ONLY in

MGMT-ONLY est une liste de contrôle d’accès définie séparément qui n’autorise que les sources d’administration approuvées. login local sélectionne les comptes locaux ; transport input ssh exclut Telnet ; le délai d’inactivité est de 10 minutes. Vérifie qu’une connexion SSH autorisée réussit et qu’une connexion depuis un segment utilisateur ordinaire est refusée.

Restreins le chemin d’administration

Utilise un VLAN d’administration et des autorisations de source limitées. Un bastion d’administration est un serveur durci auquel les administrateurs se connectent d’abord, ce qui permet aux équipements d’accepter les sessions d’administration provenant de cette seule source. L’administration en bande utilise le réseau de production ; l’administration hors bande utilise un réseau distinct ou un chemin console qui peut rester disponible pendant une panne du réseau de production.

Les délais ou verrouillages de connexion réduisent les tentatives de devinette en ligne. Par exemple, login block-for 120 attempts 5 within 60 bloque les connexions pendant 120 secondes après cinq échecs en 60 secondes. Les paramètres des équipements doivent respecter la politique de mots de passe de l’organisation ; une longueur minimale imposée par un équipement ne recommande pas de choisir le secret le plus court autorisé.

Mets à jour et audite l’équipement

Lis l’avis du fournisseur, procure-toi l’image officielle et vérifie son condensat ou sa signature. Sauvegarde la configuration, mets à jour un équipement pendant la fenêtre prévue, teste le résultat et conserve une image pour le retour arrière. Remplace les équipements en fin de vie qui ne reçoivent plus de correctifs.

Envoie les journaux à un service syslog central et synchronise les horloges avec NTP pour pouvoir comparer les événements. Syslog utilise couramment UDP 514. Conserve des configurations de référence approuvées et des sauvegardes ; compare-les aux paramètres courants pour trouver les changements inattendus. Une bannière de connexion indique les règles d’utilisation autorisée et de surveillance. Les journaux et les configurations de référence ne sont utiles que si leur accès est contrôlé et si les changements sont examinés.

Une connexion réussie ne répond qu’à une question : qui s’est connecté ? L’administration réseau nécessite aussi une décision sur les actions autorisées et un enregistrement de ce qui s’est passé.

Distingue les trois fonctions AAA

L’authentification vérifie l’identité. L’autorisation accorde le droit d’effectuer des actions. La comptabilisation enregistre l’activité. Ensemble, elles forment AAA. Un ingénieur peut réussir son authentification sans avoir le droit de modifier une route. La comptabilisation peut alors enregistrer la tentative de commande.

Les comptes locaux se trouvent sur chaque équipement. Un système AAA central donne à de nombreux équipements un annuaire de comptes et un journal communs. Supprimer une seule fois le compte d’un administrateur qui part est plus sûr et plus facile à vérifier que de modifier les comptes sur 40 commutateurs. Utilise des comptes personnels et des autorisations fondées sur les rôles pour que les journaux identifient une personne et que le personnel d’assistance puisse consulter l’état sans modifier les configurations.

RADIUS classique transporte couramment l’authentification 802.1X, Wi-Fi d’entreprise et VPN. TACACS+ permet d’autoriser et de comptabiliser les commandes de façon détaillée. Les anciens équipements RADIUS peuvent utiliser UDP 1645 et 1646.

Comprends le recours local avant de l’activer

Sur Cisco IOS, aaa authentication login default group tacacs+ local essaie d’abord le groupe de serveurs. L’authentification locale est utilisée lorsqu’aucun serveur ne répond, pas lorsqu’un serveur accessible refuse la connexion. Un mot de passe incorrect refusé par le serveur ne déclenche pas de second essai sur les comptes locaux.

aaa new-model active AAA. aaa authorization exec default group tacacs+ local sélectionne les méthodes d’autorisation, et aaa accounting commands 15 default start-stop group tacacs+ enregistre les commandes de niveau de privilège 15. Le groupe de serveurs, les clés et la connectivité doivent aussi être configurés. Conserve un compte local d’urgence protégé et teste l’accès de secours avant de compter sur la disponibilité du service central.

Choisis des mots de passe résistants aux essais

Des secrets longs et uniques et la vérification des mots de passe divulgués comptent davantage qu’un mélange prévisible de symboles. Les recommandations américaines du NIST de 2025 préconisent au moins 15 caractères pour un mot de passe utilisé seul et permettent un minimum de 8 avec un autre facteur. Les systèmes doivent autoriser au moins 64 caractères, éviter les mélanges obligatoires de types de caractères et éviter les changements périodiques imposés sans indice de compromission.

Pour des lettres minuscules réellement aléatoires, chaque caractère ajouté multiplie le nombre de combinaisons possibles par 26. À raison de 10 milliards d’essais par seconde, essayer toutes les combinaisons de huit lettres prend environ 21 secondes ; pour douze lettres, environ 110 jours ; pour seize lettres, environ 138 000 ans. Un mot de passe réutilisé ou une phrase prévisible ne bénéficie pas de cette protection liée aux combinaisons aléatoires. Le stockage sous forme de condensats salés calculés avec une fonction lente réduit aussi la vitesse des essais hors ligne.

Ajoute un facteur différent et protège les enregistrements

L’authentification multifacteur combine des facteurs de connaissance, de possession ou d’inhérence : par exemple, un mot de passe et une clé de sécurité matérielle. Un mot de passe accompagné d’un code PIN reste uniquement un facteur de connaissance. Utilise l’authentification multifacteur pour l’administration distante et l’accès VPN.

Les enregistrements de comptabilisation contiennent des données personnelles, notamment des noms, des adresses et des heures de connexion. Limite leur accès et leur durée de conservation selon la politique de l’organisation et la loi applicable. Sur le réseau d’un client, n’examine que les données nécessaires au travail autorisé.

Un VPN protège le trafic entre ses extrémités à travers un réseau non fiable. Choisis d’abord l’organisation des extrémités, puis décide quel trafic l’utilise.

Adapte le VPN au travail

Les hôtes d’une agence situés derrière une passerelle VPN site à site n’ont pas besoin de client VPN individuel. Un client d’accès distant s’authentifie, de préférence avec l’authentification multifacteur, et reçoit généralement une adresse d’un pool interne. Un portail sans client convient à un prestataire qui ne peut pas installer de logiciel, mais n’expose que les applications qu’il prend en charge et publie.

Suis les paquets interne et externe

L’agence utilise 10.20.0.0/16 et le siège 10.10.0.0/16. Leurs passerelles publiques sont 198.51.100.1 et 203.0.113.1. Un PC de l’agence à l’adresse 10.20.5.7 envoie un paquet au serveur de fichiers 10.10.1.20.

1. Le routage et la politique VPN sélectionnent le paquet pour l’extrémité du tunnel située dans l’agence.
2. Le traitement ESP en mode tunnel chiffre le paquet d’origine et ajoute un en-tête externe allant de 198.51.100.1 à 203.0.113.1.
3. Les routeurs Internet utilisent les adresses publiques externes ; la destination privée reste protégée à l’intérieur.
4. Le siège vérifie et déchiffre le paquet, puis le transmet à 10.10.1.20.

La protection s’arrête à ces extrémités. Les chemins locaux au-delà nécessitent des protocoles applicatifs et des contrôles d’accès adaptés.

Choisis le routage intégral ou fractionné

Un tunnel intégral envoie tout le trafic de l’appareil distant par l’organisation, y compris la navigation publique. Le filtrage de l’entreprise peut inspecter ce trafic, mais il utilise la bande passante centrale et peut ajouter un délai.

Un tunnel fractionné envoie certaines destinations par le VPN. Par exemple, le trafic vers 10.0.0.0/8 entre dans le tunnel tandis qu’un service vidéo public utilise la connexion Internet directe du travailleur. Ce trafic contourne le filtrage de la passerelle de l’entreprise ; la sécurité du terminal reste nécessaire.

Choisis un tunnel intégral lorsque la politique exige un traitement central de toute la navigation. Choisis un tunnel fractionné lorsque le trafic direct autorisé consommerait autrement la capacité limitée du siège.

Limite les appareils admis

Le chiffrement VPN ne supprime pas les logiciels malveillants. Associe l’accès distant à l’authentification multifacteur, à des contrôles de posture et à des règles de pare-feu limitant les utilisateurs aux ressources nécessaires. Un ordinateur portable infecté et authentifié peut attaquer les systèmes accessibles. L’exploitant de la passerelle peut voir le trafic après déchiffrement : un VPN ne lui masque donc pas non plus l’activité.

IPsec sépare l’établissement entre pairs du trafic utilisateur protégé. Vérifier ces étapes indépendamment aide à comprendre pourquoi un VPN peut indiquer une connexion alors que les applications ne fonctionnent toujours pas.

Établis les clés et les associations de sécurité

Internet Key Exchange (IKE), généralement IKEv2, commence sur UDP 500. Les pairs s’authentifient avec une clé prépartagée ou des certificats, conviennent d’algorithmes compatibles et dérivent des clés. Une association de sécurité enregistre les paramètres de protection et les éléments de clé. IKE établit son canal de contrôle protégé et négocie les associations de sécurité IPsec pour les données.

Les associations de sécurité IPsec pour les données sont unidirectionnelles : le trafic dans les deux sens nécessite donc une paire. Chaque pair applique sa propre politique de durée de vie ; chacun peut renouveler les clés avant expiration. Avec IKEv2, des durées de vie configurées différentes n’empêchent pas à elles seules l’établissement.

Distingue les protocoles de données et les modes

Les VPN entre passerelles utilisent normalement ESP en mode tunnel. AH couvre des champs d’adresse que NAT modifie, ce qui le rend inadapté à la traversée de NAT. ESP est le protocole IP 50, pas le port TCP 50 ni le port UDP 50. Autorise IKE, NAT-T lorsqu’il est utilisé et ESP natif lorsqu’il est utilisé entre les adresses des passerelles.

GRE encapsule sans chiffrer. GRE sur IPsec combine le transport par GRE du trafic de multidiffusion ou de routage avec la protection d’IPsec. L’encapsulation ajoutée ne fournit à elle seule aucune confidentialité.

Tiens compte de la taille des paquets

Un tunnel ESP ajoute couramment environ 50 à 80 octets par paquet ; NAT-T ajoute un en-tête UDP de 8 octets. Un paquet d’origine complet de 1 500 octets accompagné de ces en-têtes dépasse une unité de transmission maximale de chemin de 1 500 octets. Selon le protocole et les paramètres, il doit être fragmenté ou est rejeté. Une unité de transmission maximale de tunnel plus petite, souvent d’environ 1 400 octets, et une taille maximale de segment TCP ajustée aident le trafic à passer. Si les petites requêtes fonctionnent tandis que les transferts plus volumineux se bloquent, c’est un indice utile d’un problème d’unité de transmission maximale.

Compare les autres choix de VPN

Les VPN TLS, traditionnellement appelés VPN SSL, utilisent couramment TCP 443 et peuvent aussi prendre en charge UDP. Ils conviennent aux clients distants et aux portails accessibles par navigateur. WireGuard utilise UDP, souvent sur le port 51820, et un petit ensemble d’algorithmes modernes. L2TP/IPsec combine l’ancienne tunnellisation L2TP sur UDP 1701 avec la protection d’IPsec. PPTP est obsolète et non sécurisé.

Des clés prépartagées longues et aléatoires sont gérables pour quelques pairs, mais peu pratiques à grande échelle. Les certificats délivrés par une autorité de certification dans une infrastructure à clés publiques permettent leur renouvellement et leur révocation individuels. Garde les clés privées secrètes, vérifie l’expiration et la confiance, et révoque les identifiants qui ne doivent plus fonctionner. Un certificat autosigné nécessite une relation de confiance établie explicitement.

Localise l’étape défaillante

Vérifie d’abord la connectivité des passerelles, la version d’IKE, les algorithmes et les identifiants des pairs. Examine ensuite séparément les associations de sécurité IKE et IPsec. Confirme que les sélecteurs de réseaux protégés se correspondent en miroir, que les autorisations nécessaires du pare-feu sont présentes et que les routes mènent au tunnel. Enfin, teste des transferts applicatifs de petite et de grande taille. Une association de sécurité IKE prouve l’établissement du canal de contrôle ; elle ne prouve pas que le chemin de données sélectionné, les règles du pare-feu et les tailles de paquets sont corrects.