Network Segmentation

Définition

La segmentation réseau est la pratique qui consiste à diviser un réseau en sous-réseaux isolés (segments) avec des contrôles d'accès entre eux, afin de limiter la propagation latérale des menaces, de protéger les actifs critiques, et d'améliorer les performances réseau. C'est l'un des contrôles de sécurité les plus efficaces pour contenir les cyberattaques. Sans segmentation réseau, un attaquant qui compromet un poste de travail peut librement explorer et attaquer tous les systèmes accessibles sur le réseau interne — une configuration "flat network" qui a conduit aux catastrophes comme le ransomware NotPetya (2017) qui s'est propagé librement dans les réseaux non segmentés de ses victimes. La segmentation réseau s'implémente à plusieurs niveaux. Les VLANs (Virtual Local Area Networks) au niveau Layer 2 séparent les broadcast domains, empêchant un hôte compromis de voir le trafic des autres segments. Les ACL (Access Control Lists) sur les routeurs et switches filtrent le trafic entre VLANs. Les firewalls internes (segmenteurs) imposent des règles strictes sur les flux autorisés entre zones. La micro-segmentation va plus loin en appliquant des contrôles au niveau de chaque workload individuel. Les zones de sécurité typiques dans une architecture segmentée incluent : la zone DMZ pour les services exposés Internet (web, email, DNS), le réseau des serveurs d'application (séparé de la DMZ), la zone des serveurs de bases de données (accessible uniquement depuis les serveurs d'application), le réseau des postes utilisateurs, la zone des serveurs d'administration, les réseaux industriels/OT (complètement isolés), et les réseaux invités/BYOD (Internet uniquement). Les principes directeurs de la segmentation incluent : définir des zones selon la sensibilité des données et le niveau de confiance, appliquer le principe du moindre privilège aux flux réseau (seuls les flux nécessaires sont autorisés), créer des segments distincts pour les systèmes legacy non patchables, et séparer les réseaux de management des réseaux de données. En pratique, la mise en œuvre de la segmentation nécessite un inventaire préalable des flux réseau légitimes (via des outils de cartographie comme Cisco Tetration, Illumio, ou une analyse des logs firewall), la définition d'une politique de segmentation, l'implémentation progressive en mode monitoring puis blocking, et des tests de pénétration pour valider l'efficacité des contrôles.