Lexique · Sécurité des données
Segmentation réseau
Découpage d'un réseau informatique en zones distinctes (postes, serveurs métiers, administration), entre lesquelles les échanges sont filtrés. Elle limite la propagation d'une intrusion et la possibilité, pour un attaquant, de rebondir d'un poste compromis vers des serveurs critiques.
Ce que ça change pour une organisation
Dans un réseau « à plat », sans aucun mécanisme de cloisonnement, chaque machine peut accéder à n’importe quelle autre : la compromission d’un poste utilisateur permet alors à un attaquant de rebondir jusqu’aux serveurs critiques. La mesure 19 du guide d’hygiène informatique de l’ANSSI recommande donc de raisonner dès la conception par zones regroupant des systèmes aux besoins de sécurité homogènes (serveurs, postes de travail, postes d’administration, téléphonie sur IP). Chaque zone se caractérise par des VLAN et des sous-réseaux IP dédiés, voire par des infrastructures dédiées selon sa criticité, et un filtrage IP par pare-feu est appliqué entre les zones, avec une attention particulière pour les équipements et les flux d’administration.
Lorsque le cloisonnement d’un réseau existant n’est pas aisé, l’ANSSI conseille d’intégrer la démarche à chaque extension du réseau et à chaque renouvellement d’équipements. La CISA insiste de son côté sur la séparation entre les réseaux informatiques (IT) et les réseaux industriels (OT), qui réduit de nombreux risques propres au réseau IT.
La segmentation ne remplace ni la supervision ni la gestion des accès, mais elle réduit l’ampleur des dégâts lorsqu’une première défense cède.
Exemple
Exemple générique : dans une PME dont le réseau est « à plat », un poste de la comptabilité est infecté par une pièce jointe piégée, et l’attaquant atteint depuis ce poste le serveur de fichiers, la base clients et la console d’administration. Avec des zones distinctes pour les postes, les serveurs métiers et l’administration, et un pare-feu qui n’autorise entre elles que les flux nécessaires, le même incident reste cantonné à la zone des postes, ce qui laisse le temps de le détecter et de l’isoler.
À ne pas confondre avec
- Le pare-feu : équipement qui filtre les flux entre les zones, alors que la segmentation désigne l’architecture qui définit ces zones et ne se réduit pas à l’équipement.
- Le principe de moindre privilège : il limite les droits accordés aux comptes et aux services, tandis que la segmentation limite les flux autorisés entre les systèmes.