Principes fondamentaux de la sécurité réseau
Avant les outils, la sécurité réseau repose sur quelques principes durables : confidentialité, intégrité, disponibilité, défense en profondeur, moindre privilège. Les comprendre permet de prioriser les bonnes mesures.
Les produits de sécurité changent, les menaces évoluent, mais les principes qui guident une architecture défensive restent remarquablement stables. Sans eux, on accumule des outils sans cohérence ; avec eux, on sait quoi protéger, contre quoi, et dans quel ordre.
Objectif : maîtriser les principes fondamentaux de la sécurité réseau, connaître les menaces courantes par couche et identifier les mesures prioritaires. Cet article a une vocation strictement défensive.
La triade CIA
Toute mesure de sécurité vise à préserver au moins l'une de ces trois propriétés :
- Confidentialité : seules les personnes autorisées accèdent à l'information. Moyens : chiffrement (TLS, IPsec), contrôle d'accès, segmentation.
- Intégrité : l'information n'est pas modifiée de façon non autorisée. Moyens : signatures, codes d'authentification de message (HMAC), contrôle des modifications, journalisation.
- Disponibilité : le service est accessible quand on en a besoin. Moyens : redondance, protection contre les dénis de service, supervision, sauvegardes.
On y ajoute souvent la traçabilité (savoir qui a fait quoi) et l'authenticité (être certain de l'identité de l'interlocuteur).
Ces propriétés entrent parfois en tension : un chiffrement mal maîtrisé peut nuire à la disponibilité (certificat expiré), un contrôle d'accès trop strict peut empêcher le travail. La sécurité est une affaire d'équilibre fondé sur les risques.
Raisonner par les risques
Un risque combine une menace (qui ou quoi pourrait nuire), une vulnérabilité (une faiblesse exploitable) et un impact (les conséquences). La démarche :
- Identifier les actifs à protéger : données clients, systèmes de production, annuaire, sauvegardes.
- Évaluer les menaces réalistes : rançongiciel, compromission de comptes, erreur humaine, panne.
- Repérer les vulnérabilités : systèmes non corrigés, mots de passe faibles, services exposés.
- Prioriser selon la vraisemblance et l'impact.
- Traiter : réduire, transférer, accepter ou éviter le risque.
Des méthodes structurées existent pour cela, comme EBIOS Risk Manager, publiée par l'ANSSI.
La défense en profondeur
Aucune mesure n'est infaillible. La défense en profondeur superpose plusieurs couches indépendantes, de sorte que la défaillance de l'une n'entraîne pas la compromission totale :
| Couche | Exemples de mesures |
|---|---|
| Physique | Salles serveurs fermées, ports réseau inutilisés désactivés |
| Périmètre | Pare-feu, filtrage des flux entrants et sortants, protection anti-DDoS |
| Réseau interne | Segmentation, VLAN, filtrage inter-zones, 802.1X |
| Hôtes | Correctifs, durcissement, antivirus/EDR, pare-feu local |
| Applications | Développement sécurisé, authentification forte, WAF |
| Données | Chiffrement, sauvegardes hors ligne, contrôle d'accès |
| Humain et organisation | Sensibilisation, procédures, gestion des droits |
Un attaquant qui contourne le pare-feu périmétrique doit encore franchir la segmentation, l'authentification et la détection.
Le principe du moindre privilège
Chaque utilisateur, service ou système ne doit disposer que des droits strictement nécessaires à sa fonction, et seulement pour la durée nécessaire. Appliqué au réseau :
- un poste utilisateur n'a pas besoin d'atteindre l'interface d'administration des commutateurs ;
- un serveur web n'a pas besoin d'initier des connexions vers Internet, hormis vers ses dépôts de mises à jour ;
- un compte de supervision n'a besoin que de droits en lecture.
Voir Contrôle d'accès et principe du moindre privilège.
Réduire la surface d'attaque
La surface d'attaque est l'ensemble des points par lesquels un système peut être attaqué : ports ouverts, services, comptes, interfaces exposées. La réduire est souvent la mesure la plus efficace :
- désactiver les services et protocoles inutiles (Telnet, SMBv1, services de découverte non nécessaires) ;
- fermer les ports non utilisés, sur les pare-feu comme sur les commutateurs ;
- supprimer les comptes inactifs ;
- ne jamais exposer d'interface d'administration sur Internet.
Menaces courantes par couche
| Couche | Menace | Contre-mesure défensive |
|---|---|---|
| 1 – Physique | Branchement d'un équipement non autorisé | Ports désactivés, 802.1X, contrôle d'accès physique |
| 2 – Liaison | Usurpation ARP, saturation de table MAC, faux serveur DHCP, VLAN hopping | Dynamic ARP Inspection, port security, DHCP Snooping, trunks maîtrisés |
| 3 – Réseau | Usurpation d'adresse IP, faux messages de routage | Filtrage anti-usurpation (BCP 38), authentification des protocoles de routage |
| 4 – Transport | Inondation SYN, balayage de ports | SYN cookies, pare-feu à états, limitation de débit |
| 7 – Application | Hameçonnage, exploitation de vulnérabilités, vol d'identifiants | Correctifs, authentification multifacteur, filtrage applicatif, sensibilisation |
Les mesures prioritaires
Si vous ne deviez faire que quelques actions, celles-ci apportent le plus grand bénéfice :
- Inventorier les équipements, services et flux : on ne protège pas ce que l'on ignore.
- Appliquer les correctifs, en priorité sur les équipements exposés et les vulnérabilités activement exploitées.
- Activer l'authentification multifacteur sur les accès distants et les comptes à privilèges.
- Segmenter le réseau et filtrer les flux entre zones.
- Sauvegarder les données et configurations, avec une copie hors ligne et des tests de restauration.
- Journaliser et superviser pour détecter les anomalies.
- Préparer la réponse aux incidents avant d'en avoir besoin.
Ces mesures recoupent les recommandations du « Guide d'hygiène informatique » de l'ANSSI et les contrôles de base des référentiels internationaux.
Sécurité et facilité d'usage
Une mesure trop contraignante est contournée : un VPN trop lent pousse les utilisateurs vers des solutions non maîtrisées, une politique de mots de passe absurde produit des post-it. La sécurité efficace s'intègre dans le travail quotidien : authentification unique bien protégée, gestionnaire de mots de passe, accès conditionnel transparent.
Erreurs courantes
- Tout miser sur le périmètre et considérer le réseau interne comme sûr.
- Accumuler des outils sans politique ni personne pour les exploiter.
- Négliger les correctifs des équipements réseau eux-mêmes (pare-feu, VPN), cibles privilégiées.
- Ignorer la détection : sans journaux, une compromission peut durer des mois.
- Ne pas tester les sauvegardes.
Conclusion
Confidentialité, intégrité, disponibilité ; défense en profondeur ; moindre privilège ; réduction de la surface d'attaque : ces principes guident chaque décision technique. Pour les traduire en architecture concrète, consultez Conception d'une architecture réseau sécurisée et Segmentation réseau et réduction de la surface d'attaque.
