Défense en Profondeur (Defense in Depth)

La défense en profondeur (en anglais Defense in Depth, souvent abrégée DiD) est une stratégie de sécurité qui consiste à superposer plusieurs couches de contrôles indépendants — réseau, endpoint, identité, application et données — de sorte que la défaillance ou le contournement d'une seule mesure ne suffise jamais à compromettre l'ensemble du système d'information. Héritée de la doctrine militaire des fortifications successives, elle repose sur un postulat simple et réaliste : aucun contrôle n'est infaillible, donc la sécurité doit naître de la redondance et de la diversité des barrières, pas de la perfection d'un rempart unique.

Principe fondateur : accepter l'échec d'un contrôle

Le modèle du « fromage suisse » illustre bien la logique : chaque couche comporte des trous (vulnérabilités, mauvaises configurations, angles morts), mais un incident ne se produit que si les trous de toutes les couches s'alignent. La défense en profondeur s'oppose au modèle historique du château fort, où un pare-feu périmétrique protégeait un réseau interne considéré comme sûr : dès l'intrusion initiale, l'attaquant se déplaçait librement.

La condition critique — et la plus souvent négligée — est l'indépendance réelle des couches. Empiler cinq contrôles qui reposent tous sur le même annuaire, le même hyperviseur ou le même compte d'administration ne crée pas cinq couches, mais une seule avec cinq façades. On parle alors de domaine de défaillance commun.

Les couches de contrôle

• Périmètre et réseau : pare-feu nouvelle génération, filtrage DNS, passerelle de messagerie, IDS/IPS, segmentation VLAN et micro-segmentation limitant les déplacements latéraux.
• Endpoint : EDR/XDR, durcissement système (CIS Benchmarks), contrôle applicatif par liste d'autorisation, chiffrement disque, gestion des correctifs.
• Identité : authentification multifacteur, moindre privilège, comptes à privilèges isolés (modèle en tiers pour l'Active Directory), rotation des secrets, gestion des accès à privilèges (PAM).
• Application : revue de code, tests SAST/DAST, WAF, gestion des dépendances, contrôles d'autorisation côté serveur.
• Données : classification, chiffrement au repos et en transit, DLP, sauvegardes immuables et hors ligne selon la règle 3-2-1-1-0.
• Détection et réponse : journalisation centralisée, SIEM, corrélation d'alertes, plan de réponse à incident testé.

Fonctionnement face à une attaque réelle

Une chaîne d'attaque ransomware typique met le modèle à l'épreuve à chaque étape. L'accès initial par phishing peut être arrêté par la passerelle de messagerie ; s'il passe, la macro malveillante est bloquée par la politique d'exécution de l'endpoint ; si elle s'exécute, l'EDR détecte l'injection de processus ; si l'attaquant tente une escalade de privilèges via Kerberoasting, les comptes de service à mot de passe fort et le MFA sur les comptes d'administration l'entravent ; le déplacement latéral en SMB se heurte à la micro-segmentation ; l'exfiltration déclenche une alerte de volume sortant anormal dans le SIEM ; et si le chiffrement finit malgré tout par survenir, les sauvegardes immuables permettent la restauration sans paiement de rançon.

Chaque contrôle pris isolément est contournable. C'est leur accumulation qui augmente le coût, le bruit et le temps d'exposition de l'attaquant — donc la probabilité de détection avant l'impact.

Articulation avec le Zero Trust

Le Zero Trust n'est pas un remplaçant de la défense en profondeur : c'est un modèle de confiance qui s'applique à travers ses couches. La DiD répond à la question « combien de barrières ? », le Zero Trust à la question « sur quoi fonde-t-on la décision d'autoriser ? » en supprimant la confiance implicite liée à la localisation réseau. Les deux se complètent, et la vérification systématique du Zero Trust renforce précisément l'indépendance des couches.

La démarche s'appuie utilement sur MITRE ATT&CK pour cartographier la couverture technique par tactique, et répond directement aux exigences de mesures de gestion des risques de la directive NIS 2 comme aux contrôles de l'annexe A de l'ISO 27001.

Bonnes pratiques de mise en œuvre

• Cartographier les couches existantes et identifier les domaines de défaillance communs avant d'ajouter tout nouvel outil.
• Privilégier la diversité technologique sur les contrôles critiques plutôt que l'empilement d'outils d'un même éditeur.
• Aligner chaque couche sur des techniques ATT&CK précises pour objectiver la couverture et révéler les angles morts.
• Valider empiriquement l'efficacité par des tests d'intrusion, du purple teaming et des exercices de simulation d'adversaire.
• Traiter la détection comme une couche à part entière : un contrôle préventif non journalisé ne produit aucun signal quand il est contourné.
• Tester régulièrement la restauration des sauvegardes — la dernière couche est celle dont on vérifie le moins souvent le fonctionnement.
• Documenter les exceptions et les dérogations : elles constituent les trous connus du dispositif.

Correctement appliquée, la défense en profondeur ne vise pas l'invulnérabilité, objectif illusoire, mais la résilience : garantir qu'aucune erreur unique — un correctif manquant, un mot de passe faible, une règle de pare-feu trop permissive — ne puisse à elle seule déclencher un sinistre majeur.