Liste de contrôle d'accès réseau

Définition

Une liste de contrôle d'accès réseau, ou ACL (Access Control List), est un ensemble ordonné de règles appliquées sur un équipement réseau, tel qu'un routeur, un commutateur ou un pare-feu, qui autorise ou refuse le trafic selon des critères précis : adresse IP source et destination, port, protocole ou interface. Chaque règle est évaluée séquentiellement jusqu'à correspondance, la première règle correspondante déterminant le sort du paquet, d'où l'importance de l'ordre de définition et de l'ajout d'une règle implicite de refus par défaut en fin de liste selon le principe du moindre privilège. On distingue les ACL standard, filtrant uniquement sur l'adresse source, des ACL étendues, capables de filtrer sur l'ensemble des critères de couche 3 et 4. Les ACL constituent un mécanisme fondamental de segmentation réseau, permettant d'isoler des zones sensibles comme les environnements industriels OT, les serveurs de gestion ou les réseaux invités, limitant ainsi la surface d'attaque et le mouvement latéral en cas de compromission, technique documentée sous TA0008 dans MITRE ATT&CK. Elles s'appliquent également sur les groupes de sécurité des environnements cloud (security groups AWS ou Azure NSG). Une gestion rigoureuse des ACL, incluant leur revue périodique et leur documentation, est recommandée par les référentiels de durcissement de l'ANSSI et constitue une exigence implicite des normes ISO 27001 relatives au contrôle d'accès réseau.