La segmentation réseau, c’est tout simplement la division d’un réseau informatique en composants logiques ou physiques plus petits. Deux appareils situés sur un même réseau peuvent communiquer sans intermédiaire. En revanche, pour que des appareils situés sur des segments différents puissent échanger, le trafic doit passer par un point de démarcation externe (généralement un routeur ou un pare-feu). Cette stratégie permet d’analyser le trafic ou d’appliquer des politiques de sécurité, ce qui renforce la sécurité globale. La segmentation réseau constitue l’une des stratégies les plus efficaces contre les fuites de données, les infections par des ransomwares et les autres menaces pour la cybersécurité. Dans un réseau segmenté correctement, les groupes de terminaux, par exemple des serveurs ou des stations de travail, disposent uniquement de la connectivité réseau nécessaire à leur utilisation au sein de l’entreprise. La segmentation limite la propagation des ransomwares et empêche les attaquants de passer d’un système à l’autre. Pourtant, de trop nombreuses entreprises s’appuient sur un réseau non segmenté ou « plat ». C’est pour cette raison que nous avons décidé de nous pencher sur les points suivants :
- Mise en œuvre de la segmentation réseau
- Avantages de la segmentation réseau
- Bénéficiaires de la segmentation réseau
- Défis et nouvelles approches de la segmentation réseau
Mise en œuvre de la segmentation réseau
Il existe de nombreuses stratégies permettant de segmenter efficacement un réseau, mais les réseaux locaux virtuels (VLAN) et les sous-réseaux sont les plus populaires.
- Un VLAN est une structure logique permettant de séparer le trafic au niveau du commutateur.
- Les sous-réseaux, quant à eux, interviennent au niveau de l’adresse IP et du routeur.
Ces deux éléments sont souvent utilisés ensemble, à parité. De nombreuses approches de la segmentation réseau sont possibles. Il est par exemple courant pour les entreprises de diviser leur réseau en fonction des différents services, en attribuant un VLAN distinct au service financier, au service ingénierie, etc. Le trafic entre les services peut ainsi être inspecté ou limité en fonction des exigences métier. L’accès à une base de données des RH internes, par exemple, peut être limité aux appareils du sous-réseau ou du VLAN des RH. Autre approche fréquente : déployer des zones dont les exigences en matière de sécurité diffèrent. Les serveurs et bases de données, par exemple, sont souvent placés dans une « zone démilitarisée » (DMZ), bien plus sécurisée que le reste du réseau. Cette stratégie peut éviter qu’une station de travail infectée ne propage un malware jusqu’aux serveurs hébergeant des données stratégiques. La segmentation peut également se baser sur le type d’appareil. Les appareils IoT notamment sont souvent placés dans leur propre segment réseau pour renforcer la sécurité. Dans le monde de la santé, les machines à rayons X et autres dispositifs médicaux connectés peuvent être tenus à l’écart du reste du réseau. Enfin, il est possible d’associer différentes stratégies en fonction des exigences techniques et métier.
Avantages de la segmentation réseau
La conception d’un réseau joue un rôle clé dans l’efficacité avec laquelle une entreprise peut identifier les incidents de sécurité, s’en protéger et reprendre ses activités. Les statistiques sur les fuites de données montrent que les hackers s’attaquent plus volontiers au « périmètre » d’un réseau, là où ses défenses sont généralement placées. Un réseau bien compartimenté et disposant de segments isolés peut entraver les mouvements latéraux d’un attaquant et l’empêcher de passer d’un système à l’autre. Pour bien comprendre les risques que pose un réseau non segmenté ou plat, nous pouvons étudier un exemple concret, celui de la fuite de données dont a été victime la chaîne Target en 2013. D’après le rapport de KrebsOnSecurity, la fuite a commencé lorsqu’un employé d’un sous-traitant de Target spécialisé dans la réfrigération s’est laissé berner par un courriel de phishing. Après avoir compromis les systèmes du sous-traitant, les attaquants se sont intéressés au portail de gestion des fournisseurs que Target employait pour traiter sa facturation. Ensuite, ils ont pu se déplacer latéralement dans le réseau interne de Target, avant de parvenir à installer un malware sur les terminaux des points de vente des magasins de la chaîne. Après l’attaque, Target a mis en place une segmentation renforcée pour bloquer ces mouvements latéraux à l’avenir. Une segmentation réseau efficace permet aussi de repérer les signes d’une attaque plus facilement. Il n’est pas rare que le système de détection des intrusions (IDS) d’une entreprise génère tant d’alertes qu’un bon nombre d’entre elles sont ignorées. En concentrant les ressources sur les parties les plus sensibles du réseau, les équipes de sécurité peuvent donner la priorité aux incidents les plus susceptibles d’avoir un impact important sur l’entreprise. De plus, le trafic entre les différents segments peut également être analysé pour y détecter des schémas, notamment une activité inhabituelle pouvant trahir une attaque.
Bénéficiaires de la segmentation réseau
Les entreprises de tous types et de toutes tailles ont tout intérêt à concevoir avec soin leur réseau, mais une bonne segmentation est particulièrement importante dans certains secteurs.
- Santé : les entreprises du monde de la santé doivent veiller à protéger les données sensibles de leurs patients et peuvent donc sécuriser de manière robuste certaines parties de leur réseau pour y stocker les dossiers médicaux.
- Vente au détail : la segmentation du réseau PCI est essentielle pour les commerçants et implique de contrôler avec minutie les accès aux parties du réseau dans lesquelles les données des porteurs de carte sont traitées.
La segmentation réseau est également souvent utilisée pour offrir un accès à des visiteurs. Le trafic du VLAN ou du sous-réseau des invités reste alors distinct de celui du reste du réseau de l’entreprise, ce qui permet de garantir que les visiteurs ne puissent pas accéder à ses données.
Défis et nouvelles approches de la segmentation réseau
L’approche classique de la segmentation réseau, à savoir la division du réseau en VLAN et sous-réseaux, demande de nombreuses opérations manuelles et ne peut pas être étendue facilement. Les architectes réseau doivent déterminer avec soin quelles ressources doivent faire partie d’un même segment réseau, puis élaborer des politiques de sécurité appropriées régissant la communication entre les segments. Les ingénieurs doivent ensuite programmer tous les commutateurs, routeurs et pare-feu concernés, un processus à la fois pénible et souvent source d’erreurs. Dans les environnements complexes mis en place depuis des années, l’instauration de bonnes pratiques de segmentation peut s’avérer tout bonnement impossible sans perturber les opérations métier. Pour résoudre ces difficultés, les responsables informatiques se tournent vers de nouvelles approches, comme la microsegmentation et le software-defined networking (SDN). Ces approches dissocient l’application des politiques de segmentation de l’infrastructure réseau physique, offrant ainsi un contrôle plus granulaire et une administration simplifiée.
- La microsegmentation permet de contrôler le trafic jusqu’au niveau de l’application ou de la charge de travail.
- Le SDN permet quant à lui de mettre en place une structure à plusieurs tenants en présentant différents réseaux virtuels aux divers clients, tout en s’appuyant sur la même infrastructure physique sous-jacente.
Téléchargez un Livre-Blanc sur la stratégie de sécurité Zero Trust, portée par Forrester Research, et les plus importantes sociétés de cybersécurité
La microsegmentation et le SDN sont de plus en plus souvent utilisés pour mettre en œuvre ce que l’on appelle un modèle Zero Trust. Dans le cadre de ce modèle, les utilisateurs et les appareils sont considérés comme non dignes de confiance par défaut, même s’ils sont déjà à l’intérieur du réseau de l’entreprise. Pour être considérés comme fiables et être ainsi en mesure d’accéder aux ressources du réseau, les appareils ou leurs utilisateurs doivent répondre à certaines conditions, par exemple se soumettre à une analyse antivirus ou faire l’objet d’une authentification à deux facteurs. Que vous essayiez de vous conformer à la norme PCI ou simplement de renforcer la sécurité de votre entreprise, sachez que la segmentation réseau constitue un élément important d’un programme de sécurité de l’information plus vaste. La plateforme de protection des données Varonis peut vous aider à déterminer quelles sont les parties de votre réseau dans lesquelles résident des données importantes pour faciliter la création d’une stratégie de segmentation efficace. Vous voulez en savoir plus ? Demandez une démonstration personnelle dès aujourd’hui !
