Cartographie du réseau interne

Définition

La cartographie du réseau interne désigne le processus par lequel un attaquant ayant obtenu un premier accès reconstitue la topologie du réseau d'une organisation depuis l'intérieur : plages d'adresses IP en usage, segments et VLAN, serveurs critiques comme les contrôleurs de domaine et les serveurs de fichiers, relations de confiance entre systèmes, et chemins de communication autorisés entre segments. Cette phase suit généralement l'obtention d'un accès initial et précède le mouvement latéral, en s'appuyant sur des techniques d'énumération réseau, des requêtes DNS internes, l'interrogation d'annuaires Active Directory et l'analyse du trafic réseau observable depuis le poste compromis. Une cartographie précise permet à l'attaquant d'identifier les cibles à plus forte valeur et les chemins les plus courts pour les atteindre, tout en évitant les segments les plus surveillés. Des outils comme BloodHound automatisent une grande partie de cette cartographie en environnement Active Directory en modélisant les relations d'autorisation sous forme de graphe. Pour les équipes défensives, la détection repose sur la journalisation des requêtes réseau internes atypiques, en particulier les balayages de plages d'adresses depuis un poste utilisateur standard qui n'a normalement aucune raison de scanner le réseau, ainsi que sur une segmentation stricte limitant la visibilité réseau accordée à chaque zone de confiance, réduisant ainsi la portée effective d'une cartographie réussie.