La sécurité des réseaux est un enjeu majeur pour les entreprises. En effet, l’importance croissante des actifs informatiques, l’interconnexion des systèmes d’information et leur exposition, ont multiplié les risques d’attaques. Dans le même temps, l’information (les données) est produite, traitée, échangée et exploitée par des systèmes et sur des réseaux qui peuvent présenter des vulnérabilités au niveau de tous les composants ou de la configuration : serveurs, postes de travail, segmentation, Wi-Fi, accès utilisateurs, applications, etc.
Les réseaux sont l’une des principales cibles d’attaques car, leur conception n’intègre que très rarement la prise en compte des risques sécurité. Cela se manifeste généralement par :
Nous concédons que la conception d’une architecture réseau est un processus complexe. Néanmoins, une conception appropriée ne doit pas reposer uniquement sur les besoins fonctionnels. Elle doit également tenir compte des considérations de sécurité pour se prémunir de vulnérabilités critiques pouvant compromettre l’ensemble du système d’information. Il est donc nécessaire d’inclure les contraintes et les exigences de sécurité dès la phase de conception du réseau qui doivent assurer les objectifs de :
Pour résumer en une phrase : la continuité de l’activité d’une organisation, donc sa pérennité, implique celle de son système d’information. Cependant, cette continuité ne peut être assurée que par la mise en place d’une politique et de mesures de sécurité adaptés aux enjeux spécifiques de l’entreprise. Seulement, une information sans système pour la mettre en œuvre est vaine, et un système coupé de ses utilisateurs l’est tout autant. C’est pourquoi la sécurité des réseaux doit être une des priorités de toute entreprise, quel que soit son secteur, son activité ou sa taille.
Sécuriser un réseau interne est donc vital et cela passe nécessairement par l’implémentation des meilleures pratiques en termes de configuration, d’intégration, de suivi et de tests sécurité.
Cet article ne vise pas l’exhaustivité. Il abordera la sécurité réseau uniquement sous l’angle des bonnes pratiques, avec quelques informations complémentaires sur les risques, les types d’attaques et les vulnérabilités qui peuvent être exploitées par des attaquants pour compromettre un réseau interne. Nous vous invitons donc à consulter notre article : Comment renforcer la sécurité de votre infrastructure réseau pour contrer les attaques les plus courantes ? afin d’avoir une vision plus globale sur les enjeux et risques sécurité, liés au réseau interne.
La segmentation consiste en la séparation du réseau en domaines physiques et logiques protégés chacun par un périmètre de sécurité bien défini. Dans la pratique, il s’agit de diviser le réseau en segments de réseau plus petits et isolés les uns des autres au sein de réseaux locaux virtuels (VLANs) ou de réseaux physiques (LANs).
D’un côté, cela permet de regrouper les postes de travail, les périphériques, les applications, les serveurs, et autres systèmes ayant différentes échelles de criticité dans des zones distinctes afin d’en optimiser la gestion et le niveau de sécurité. De l’autre, la segmentation permet de restreindre les connexions autorisées en différenciant, par exemple, un réseau interne pour lequel aucune connexion venant d’Internet n’est autorisée d’un réseau accessible depuis Internet. On parle généralement de zone démilitarisée ou DMZ. Par ailleurs, la mise en œuvre d’une telle DMZ nécessite l’installation de pare-feux entre les réseaux segmentés afin de contrôler les flux d’information entrants et sortants.
Les VLANs permettent donc de créer des réseaux virtuels connectés à un équipement physique (switch), permettant de séparer le trafic entre les différents réseaux logiques définis. Cela permet de s’assurer que les machines d’un VLAN ne pourront pas communiquer avec celles appartenant à un autre VLAN, sauf interconnexion souhaitée. Ainsi, les VLANs offrent non seulement un meilleur contrôle mais facilitent la gestion du réseau.
Cependant, soyons clairs, ils ne fournissent aucun mécanisme de sécurité à proprement parler. En effet, la segmentation du réseau en VLANs ne permet pas déjouer des attaques, mais reste une mesure de sécurité essentielle, car elle est un des principaux moyens de réduire les impacts d’une attaque réussie.
Les réseaux Wi-Fi peuvent également servir de vecteurs d’attaques. Il est donc nécessaire de distinguer les connexions Wi-Fi des terminaux personnels ou des visiteurs, de ceux des systèmes de l’organisation, et de filtrer les flux des postes se connectant au réseau Wi-Fi. Pour ce faire, plusieurs réseaux Wi-Fi cloisonnés peuvent être mis en place afin de restreindre l’accès à certaines ressources critiques tout en faisant en sorte de donner accès seulement aux éléments nécessaires aux différents groupes d’utilisateurs prédéfinis.
Pour réduire le risque de compromission de votre réseau, il faut s’assurer de :
L’utilisation de réseaux Wi-Fi s’impose dans la plupart des entreprises, généralement pour des raisons de confort et d’optimisation des performances. Seulement, comme évoqué auparavant, il convient, de la même manière que pour les réseaux Ethernet, de séparer les usages via la mise en œuvre de dispositifs de segmentation. Cela fournit une sécurité supplémentaire.
De plus, la sécurité physique des points d’accès Wi-Fi et des infrastructures connexes ne doit pas être négligée. Il convient donc de mettre en place les contrôles appropriés visant à protéger le matériel.
Enfin, les communications d’un réseau Wi-Fi doivent être sécurisées et chiffrées via un protocole reconnu de type WPA2 et WPA3. D’une manière générale et si possible, il faut éviter le déploiement de réseaux Wi-Fi sur des systèmes d’information manipulant des données sensibles ou, à défaut, mettre en œuvre de mesures spécifiques.
Pour sécuriser les réseaux Wi-Fi, il est donc nécessaire de :
L’administration et la gestion des équipements actifs du réseau est un aspect critique qui doit être géré d’une façon adéquate, avec des mesures de sécurité adaptée pour empêcher toute intrusion non autorisée. Pour revenir sur le sujet de la segmentation du réseau, il est fortement recommandé de créer une zone dédiée à l’administration des équipements du réseau. Cette zone permettra de gérer efficacement et de vérifier le bon fonctionnement de tous les composants d’un périmètre de sécurité donné.
De plus, il convient aussi de séparer le trafic de gestion et d’administration du reste des communications afin d’éliminer la possibilité qu’il puisse être intercepté durant le transit. Le cas échéant, le trafic d’administration doit transiter via un protocole sécurisé.
Ainsi, l’administration et la gestion des équipements réseau étant par nature particulièrement sensibles, elles doivent être protégées de manière adéquate, avec des filtrages, restrictions et protocoles appropriés. Pour ce faire, il est donc nécessaire de :
Des informations et données qui transitent en clair sur un réseau, c’est-à-dire de manière non chiffrée, constituent un risque majeur en termes de confidentialité et d’intégrité. Le risque est d’autant plus grand sur les réseaux Wi-Fi, dans la mesure où les communications peuvent être interceptées dans tout le périmètre couvert par le point d’accès.
Dans cette configuration, identifiants, mots de passe, documents d’architecture et autres données sensibles (personnelles, informations de paiement, etc.), peuvent facilement être récupérés par des attaquants disposant d’outils d’écoute du trafic adéquats. Ce type d’attaque est connu sous le nom de « sniffing ».
Compte tenu des risques, le chiffrement des informations et données qui circulent sur le réseau est nécessaire. Pour se protéger, il est primordial d’intégrer une couche de chiffrement sur des protocoles déjà existants (http, rtp, ftp, etc.) afin de garantir la confidentialité et l’intégrité des communications.
Le contrôle d’accès est sûrement l’aspect le plus central dans la sécurité du réseau. Il doit être fondé sur les autorisations et les droits d’accès à un périmètre de sécurité bien défini. Pour se prémunir de tout accès non autorisé ou une intrusion réseau, il convient d’utiliser des mécanismes d’authentification pour les utilisateurs et les équipements.
En effet, l’accès des systèmes et des utilisateurs doit toujours être préalablement authentifié et autorisé. Cela afin de confirmer l’identification du propriétaire d’un compte avant de lui attribuer des droits (selon son rôle, sa fonction, son groupe, etc.) et de garder un enregistrement et un suivi de ses actions (via les logs).
Cependant, compte tenu de la taille, la nature et la complexité de certains réseaux, propres aux spécificités de certaines organisations, la gestion des bases de données d’authentification peut s’avérer difficile. Généralement, la mise en place d’une solution centralisée assurant une authentification unique (SSO) permet de répondre à cette problématique, à condition que celle-ci soit correctement intégrée et bien sécurisée.
La sécurité de l’authentification passe naturellement par la mise en place d’une politique de mot de passe efficace. Sur ce point, trois mots d’ordre :
En résumé, pour sécuriser les accès utilisateurs et renforcer le contrôle, il s’agit donc de :
Pour plus de détails sur ces bonnes pratiques, nous vous renvoyons vers notre article : Comment sécuriser les systèmes d’authentification, de gestion des sessions et de contrôle d’accès ?
La journalisation (logging) est un mécanisme de contrôle qui permet de surveiller le réseau et d’assurer la traçabilité. Par ailleurs, des bonnes pratiques de logging et monitoring n’assurent pas de protections quelconques face à des attaques, mais permettent de détecter et d’investiguer des événements inhabituels et des intrusions.
Pour faciliter la gestion et l’exploitation des logs, il convient de les centraliser dans une zone dédiée permettant une administration plus aisée. Pour ce faire, il est nécessaire de mettre en œuvre sur toutes les machines à monitorer des programmes (agents) afin de remonter au serveur tous les événements listés sur les fichiers de logs. Ceci est d’autant plus important car, dans l’éventualité de compromission d’une machine, il est probable que les logs soient détruits par l’attaquant. Centraliser, synchroniser et dupliquer les logs permettra alors de toujours garder une copie.
Enfin, il est recommandé d’utiliser des équipements disposant nativement d’une fonctionnalité de journalisation.
En résumé, de bonnes pratiques de logging impliquent de :
Pour plus d’informations sur le principe et les bonnes pratiques de logging et monitoring, vous pouvez consulter notre article : Logging et Monitoring : définition et bonnes pratiques.
Sécuriser une application est vital et cela passe nécessairement par l’implémentation des meilleures pratiques en termes de développement, d’intégration, de suivi et de tests sécurité.
Nous avons longuement traité la question de la sécurité des applications dans un article précédent. Nous vous invitons à le consulter pour avoir une vision d’ensemble des bonnes pratiques à implémenter, en termes de réduction de surface d’attaque, de sécurité des serveurs, de sécurité de l’authentification, de protection des données sensibles, etc. : Comment sécuriser un site ou une application web ?
Et pour plus d’informations sur les failles inhérentes aux applications web, nous vous renvoyons vers notre article : comment renforcer la sécurité de vos applications web pour contrer les attaques les plus courantes ?
Les risques d’intrusion dans les systèmes sont importants et les postes de travail sont souvent une porte d’entrée pour les attaquants. En effet, un poste de travail sans protection adéquate peut mettre en péril non seulement les informations traitées et stockées sur le poste, mais également servir de vecteur d’attaque pour compromettre les systèmes auxquels il a accès.
Il est donc essentiel que les pratiques élémentaires de sécurité soient connues et mises en œuvre par l’équipe chargée de la sécurité des systèmes et les utilisateurs. Ces mesures reposent sur :
Au-delà des risques techniques, la faille la plus souvent exploitée pour compromettre un système d’information reste l’humain, via des attaques d’ingénierie sociale. Ces attaques consistent à utiliser des compétences sociales pour obtenir ou compromettre des informations sur une entreprise ou ses systèmes.
L’email (via le phishing) reste le vecteur d’attaque principal, comme le montre la plupart des études et les exemples d’attaques d’ingénierie sociale réussies sur des petites, moyennes et grandes entreprises. Et les conséquences sont souvent dévastatrices et irréversibles. Il existe cependant des mesures simples pour limiter l’impact de ce type d’attaques :
Un test d’intrusion réseau reste la solution par excellence pour tester la sécurité de vos systèmes face à des attaques. L’objectif : identifier des vulnérabilités potentielles et proposer des correctifs de sécurité.
En effet, ce type d’audit offensif suit une méthodologie éprouvée, permettant d’analyser en profondeur les risques inhérents des réseaux internes dont certains ont été évoqués dans le cœur de cet article. Dans cette optique, un test d’intrusion réseau consiste à cartographier le réseau puis à réaliser des tests sur les éléments identifiés : serveurs, postes de travail, Wi-Fi, équipements réseau, postes de travail, etc.
Le rapport délivré suite aux tests permet comprendre les mécanismes des vulnérabilités découvertes afin de les reproduire et les corriger.
