Segmentation réseau
Découpage du réseau en zones séparées et filtrées, pour qu’une machine compromise ne donne pas accès à tout le système.
Définition complète
La segmentation réseau, que l’ANSSI désigne aussi par cloisonnement, consiste à découper le système d’information en zones regroupant des éléments aux fonctions et aux besoins de sécurité proches (postes utilisateurs, serveurs, administration, Wi-Fi invités, machines de production), puis à filtrer les flux entre ces zones pour ne laisser passer que les communications nécessaires.
Le guide d’hygiène informatique de l’ANSSI en fait une mesure standard (mesure 19 : « Segmenter le réseau et mettre en place un cloisonnement entre ces zones »). Il explique que, dans un réseau « à plat », chaque machine peut accéder à n’importe quelle autre : la compromission de l’une d’elles met alors en péril l’ensemble des machines connectées.
La segmentation se réalise avec des réseaux virtuels (VLAN), des pare-feu internes et des règles de filtrage. Elle ne bloque pas l’intrusion initiale, mais elle freine la propagation d’un attaquant ou d’un rançongiciel et limite l’étendue des dégâts.
Source : ANSSI, Guide d’hygiène informatique
Exemple concret
Dans une imprimerie de 50 salariés, les postes de bureau, les serveurs, les caméras et les machines d’impression partagent le même réseau. Un rançongiciel arrivé par la pièce jointe d’un commercial chiffre en une heure les serveurs de production. Après l’incident, l’entreprise sépare les zones : bureautique, serveurs, production, objets connectés et Wi-Fi invités, avec un pare-feu qui n’autorise que les flux indispensables entre elles.
Comment se protéger
- Cartographier les équipements et les flux réellement nécessaires avant de découper le réseau.
- Séparer au minimum les postes utilisateurs, les serveurs, l’administration, les objets connectés et le Wi-Fi invités.
- Filtrer les flux entre zones avec un pare-feu en appliquant la règle « tout ce qui n’est pas autorisé est interdit ».
- Réserver l’administration des serveurs et équipements à une zone dédiée, accessible aux seuls administrateurs.
- Isoler les systèmes industriels ou de production du réseau bureautique.
- Revoir régulièrement les règles de filtrage et supprimer celles qui ne servent plus.
Questions fréquentes
Non. Les équipements courants (commutateurs gérables, pare-feu, bornes Wi-Fi) permettent de créer quelques zones séparées à coût raisonnable. Même un découpage simple, bureautique, serveurs et invités, réduit fortement l’impact d’une infection.
Le Zero Trust pousse la logique plus loin : aucun accès n’est accordé sur la seule base de la position dans le réseau, chaque accès est vérifié. La segmentation en est une brique essentielle.
Termes liés
Pare-feu
Dispositif filtrant le trafic réseau entrant et sortant.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Sécurité du Wi-Fi (WPA3)
Ensemble des mesures qui protègent un réseau sans fil, dont le protocole WPA3 qui chiffre et authentifie les connexions Wi-Fi.
Vulnérabilité zero-day
Faille de sécurité exploitée avant d’avoir été rendue publique ou avant qu’un correctif soit disponible.
Vous avez besoin d'un expert en Segmentation réseau ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.