Segmentation réseau

general

Définition

La segmentation réseau est la pratique qui consiste à diviser un réseau informatique en segments (sous-réseaux, VLANs, zones) plus petits et isolés, dans lesquels le trafic est contrôlé par des règles de pare-feu ou des politiques de sécurité. L'objectif est de contenir la propagation des attaques, de réduire la surface d'attaque, et d'appliquer des contrôles différenciés selon la sensibilité des actifs. La segmentation réseau est l'un des contrôles de sécurité les plus efficaces contre la propagation des ransomwares et le mouvement latéral des attaquants. Sans segmentation (réseau plat — flat network), un seul appareil compromis peut atteindre directement n'importe quel autre appareil du réseau. Avec une segmentation efficace, un ransomware qui s'exécute sur un poste utilisateur ne peut pas atteindre les serveurs de production ou les contrôleurs de domaine — il est confiné dans le segment utilisateur. Les niveaux de segmentation vont du macro au micro. La segmentation classique divise le réseau en grandes zones fonctionnelles : DMZ (Demilitarized Zone) pour les serveurs accessibles depuis Internet, réseau interne pour les serveurs et utilisateurs, réseau de gestion pour les équipements réseau, réseau OT/ICS séparé du réseau IT. La micro-segmentation pousse le concept plus loin en appliquant des politiques de sécurité au niveau de chaque workload individuel — deux serveurs web dans le même VLAN ne peuvent pas communiquer directement l'un avec l'autre si leur rôle ne le nécessite pas. Les technologies de segmentation incluent les VLANs (Virtual LANs — segmentation de niveau 2), les ACLs (Access Control Lists sur les routeurs), les pare-feux inter-zones (firewalls entre les segments), les Software-Defined Networking (SDN) et NSX-T (VMware — micro-segmentation dans les environnements virtualisés), et les Security Groups AWS/Azure (équivalents cloud des pare-feux hôte). La segmentation doit équilibrer sécurité et opérabilité : une segmentation trop granulaire sans gestion adéquate peut créer des blocages applicatifs et des problèmes opérationnels. La documentation de la matrice de flux (quels systèmes doivent communiquer avec quels autres, sur quels ports et protocoles) est indispensable avant d'implémenter la segmentation.

Segmentation PCI-DSS — environnement porteur de cartes bancaires

La segmentation réseau est exigée par PCI-DSS pour isoler l'environnement porteur de données de cartes bancaires (CDE — Cardholder Data Environment) du reste du réseau. L'objectif PCI-DSS est de réduire le scope de l'audit en limitant au maximum les systèmes qui "touchent" les données de cartes. Sans segmentation adéquate, tous les systèmes qui peuvent communiquer avec le CDE sont dans le scope PCI-DSS — ce qui peut inclure des milliers de systèmes dans une grande organisation. Avec une segmentation correcte (pare-feu entre le CDE et le reste du réseau, aucun accès direct depuis le réseau corporatif), le scope est limité aux seuls systèmes dans le CDE. Les auditeurs QSA (Qualified Security Assessor) testent rigoureusement l'efficacité de la segmentation — un test de pénétration démontrant qu'un système hors-scope peut atteindre le CDE invalide la segmentation revendiquée.

DMZ — zone démilitarisée

La DMZ (Demilitarized Zone — Zone Démilitarisée) est le segment réseau qui héberge les serveurs accessibles depuis Internet (serveurs web, serveurs de messagerie, DNS autoritatif, portails VPN) tout en étant isolé du réseau interne. L'architecture classique à double pare-feu (dual-homed DMZ) utilise un premier pare-feu entre Internet et la DMZ (autorise uniquement le trafic légitime vers les services exposés) et un second pare-feu entre la DMZ et le réseau interne (très restrictif — seules les connexions nécessaires entre les serveurs DMZ et les backends internes sont autorisées). Si un serveur DMZ est compromis, l'attaquant ne peut pas directement atteindre le réseau interne — il est bloqué par le second pare-feu. Une DMZ correctement configurée limite la portée d'une compromission d'un serveur web exposé.

Zero Trust et la fin du modèle "réseau de confiance"

Le modèle de sécurité périmétrique traditionnel supposait que tout ce qui est à l'intérieur du réseau est "de confiance" et tout ce qui est à l'extérieur est "non fiable". La segmentation classique renforce ce périmètre (DMZ, firewalls de périmètre). Zero Trust remet en question ce modèle : avec le cloud, le télétravail, et le BYOD, le périmètre réseau n'existe plus. Un employé en télétravail sur un réseau domestique partagé n'est pas "de confiance" simplement parce qu'il a accès au VPN. Zero Trust stipule "ne jamais faire confiance, toujours vérifier" — chaque accès doit être authentifié, autorisé, et chiffré, quel que soit l'emplacement réseau. La micro-segmentation et les ZTNA remplacent progressivement la segmentation périmétrique traditionnelle dans les architectures modernes, sans pour autant la supprimer (les deux coexistent dans les architectures hybrides).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis