Comprendre la segmentation en zones de sécurité, le rôle d'une DMZ, le contrôle d'accès réseau 802.1X et les principes d'une PKI.
Maîtrise des VLAN et du pare-feu (voir fiches Réseau et Pare-feu). Cette fiche est au programme du Bloc 3 SISR (B3.5A — Assurer la cybersécurité d'une infrastructure réseau).
La segmentation consiste à diviser un réseau en zones distinctes selon leur niveau de confiance, limitant la propagation d'une attaque si une zone est compromise.
| Zone | Niveau de confiance | Exemples de ressources |
|---|---|---|
| LAN (réseau interne) | Élevé | Postes utilisateurs, serveurs internes |
| DMZ | Modéré | Serveurs accessibles depuis Internet (web, mail) |
| WAN / Internet | Aucun (non fiable) | Tout le trafic externe |
| Zone d'administration | Très élevé (restreint) | Accès aux équipements réseau, consoles de gestion |
La DMZ (DeMilitarized Zone) est une zone intermédiaire entre le réseau interne et Internet, hébergeant les services qui doivent être accessibles depuis l'extérieur, sans exposer directement le réseau interne.
Architecture classique avec DMZ :
Internet ──[Pare-feu externe]──> DMZ ──[Pare-feu interne]──> LAN interne
│
Serveur web, serveur mail
(accessibles depuis Internet)
Règles typiques :
- Internet → DMZ : autorisé (ports 80/443 uniquement)
- DMZ → LAN interne : interdit ou très restreint
- LAN interne → DMZ : autorisé pour l'administration
- LAN interne → Internet : autorisé selon politique
| Principe | Pourquoi |
|---|---|
| Isolation des services exposés | Si un serveur de la DMZ est compromis, l'attaquant n'accède pas directement au LAN interne |
| Double pare-feu (ou règles distinctes) | Filtre le trafic Internet→DMZ et DMZ→LAN séparément |
| Accès DMZ→LAN minimal | Seuls les flux strictement nécessaires sont autorisés (ex: connexion à une base de données interne) |
Le protocole 802.1X impose une authentification avant même d'obtenir une adresse IP et un accès réseau complet — contrairement à un réseau ouvert où n'importe quel appareil branché obtient automatiquement un accès.
| Acteur 802.1X | Rôle |
|---|---|
| Suppliant (Supplicant) | L'appareil qui demande l'accès au réseau (poste, téléphone) |
| Authentificateur | L'équipement réseau (switch, borne WiFi) qui relaie la demande |
| Serveur d'authentification (RADIUS) | Vérifie les identifiants et autorise ou refuse l'accès |
Déroulement simplifié d'une connexion 802.1X : 1. L'appareil se connecte physiquement au port du switch 2. Le port reste bloqué (sauf trafic d'authentification) 3. L'appareil envoie ses identifiants au switch (authentificateur) 4. Le switch transmet la demande au serveur RADIUS 5. Le serveur RADIUS valide ou refuse l'authentification 6. Si validé → le port s'ouvre et l'appareil obtient un accès réseau complet (éventuellement avec affectation dynamique à un VLAN spécifique)
Une PKI (Public Key Infrastructure) est l'ensemble des éléments permettant de gérer des certificats numériques : leur émission, leur validation et leur révocation, garantissant l'authenticité et la confidentialité des communications.
| Élément de la PKI | Rôle |
|---|---|
| Autorité de certification (CA) | Émet et signe les certificats numériques |
| Certificat numérique | Associe une clé publique à une identité (personne, serveur, organisation) |
| Clé publique / clé privée | Paire de clés asymétriques liées au certificat — la privée reste secrète |
| Liste de révocation (CRL) | Liste des certificats invalidés avant leur date d'expiration normale |
Principe simplifié d'un certificat HTTPS : 1. Le serveur web possède un certificat signé par une autorité de certification (CA) 2. Le navigateur du visiteur fait confiance aux CA reconnues (intégrées au système/navigateur) 3. Lors de la connexion, le serveur présente son certificat 4. Le navigateur vérifie la signature de la CA → confirme l'authenticité du serveur 5. Une clé de session est échangée de façon sécurisée → la communication est chiffrée
Face à un schéma réseau, l'administrateur doit savoir identifier les zones de sécurité, vérifier la cohérence des règles de filtrage entre elles, et repérer les anomalies potentielles.
| Question à se poser face à un schéma | Ce qu'elle révèle |
|---|---|
| Quelles zones sont définies (LAN, DMZ, WAN) ? | La structure générale de la segmentation |
| Quels flux sont autorisés entre les zones ? | Le niveau réel d'isolation entre zones |
| Où sont placés les serveurs sensibles ? | S'ils sont correctement isolés du WAN direct |
| Le trafic d'administration est-il séparé ? | Une zone de gestion dédiée limite les risques |