Un poste de travail qui peut joindre sans restriction les serveurs de production, les partages de fichiers, les interfaces d’administration et les équipements de sauvegarde : la situation reste fréquente dans les systèmes d’information construits par ajouts successifs, où chaque nouveau besoin s’est traduit par une ouverture supplémentaire. Le réseau « à plat » qui en résulte fonctionne sans accroc au quotidien. Son coût n’apparaît que le jour où un attaquant prend pied sur une machine, par un courriel piégé ou un identifiant volé : rien ne le sépare plus du reste du système.
La segmentation réseau vise précisément ce scénario : réduire ce qu’un intrus peut atteindre depuis son point d’entrée et l’obliger, pour aller plus loin, à franchir des barrières qui laissent des traces. La compromission initiale, elle, reste du ressort d’autres mesures.
Des zones aux échanges contrôlés
Segmenter un réseau consiste à le découper en zones regroupant des ressources de sensibilité et d’usage comparables, puis à n’autoriser entre ces zones que les échanges nécessaires au fonctionnement des applications. Tout flux non prévu est bloqué et, dans la mesure du possible, journalisé. Ce cloisonnement figure parmi les mesures du guide d’hygiène informatique publié par l’ANSSI, au même titre que la maîtrise des interconnexions avec l’extérieur.
Le filtrage fonctionne alors en « interdit par défaut » : une communication entre zones n’est ouverte que sur justification d’un besoin applicatif, et chaque règle a un propriétaire identifié.
Face au mouvement latéral
Les opérateurs de rançongiciels ont fait de la propagation interne une étape à part entière de leurs attaques. Dans les campagnes analysées par le CERT-FR, l’accès initial ne constitue qu’un préalable : les intrus explorent le réseau, collectent des identifiants, élèvent leurs privilèges et se déplacent de serveur en serveur jusqu’à atteindre les contrôleurs de domaine et l’infrastructure de sauvegarde, avant de déclencher un chiffrement simultané sur un maximum de machines. Cette phase de mouvement latéral peut durer plusieurs jours, voire plusieurs semaines.
Un réseau cloisonné ralentit cette progression et la rend bruyante : chaque déplacement suppose d’emprunter un flux autorisé ou de compromettre un équipement intermédiaire, ce qui allonge le délai dont disposent les outils de détection déployés sur les postes et les serveurs pour repérer l’intrusion. Le périmètre touché par un chiffrement s’en trouve aussi réduit, ce qui pèse directement sur la capacité à redémarrer : les enseignements tirés des attaques par rançongiciel montrent que la survie des sauvegardes et des zones épargnées conditionne la reprise. La menace rançongiciel s’étant durablement installée, ce confinement garde sa valeur quelle que soit la variante employée.
Du zonage à la micro-segmentation
Plusieurs approches coexistent et se combinent. Le zonage par criticité regroupe les ressources selon leur sensibilité et leur exposition, avec un filtrage assuré par des pare-feux internes entre zones ; c’est le modèle historique, hérité de la défense en profondeur, que la CISA présente comme un moyen de limiter les déplacements d’un intrus. La micro-segmentation descend à une maille plus fine : les règles s’appliquent à chaque serveur ou charge applicative, souvent au travers des couches de virtualisation, si bien que deux machines voisines sur le même segment physique peuvent s’ignorer complètement. Cette granularité exige en contrepartie une gestion outillée des règles, faute de quoi leur nombre devient ingérable.
Cette évolution rejoint le modèle zero trust, formalisé par le NIST dans sa publication SP 800-207, qui cite la micro-segmentation parmi ses approches de mise en œuvre : l’emplacement d’une machine sur le réseau ne vaut plus preuve de légitimité, chaque accès étant évalué selon l’identité et le contexte. La segmentation en fournit l’assise réseau ; le contrôle des identités machine et des secrets qui authentifient les flux applicatifs en est le prolongement côté identités.
Les zones d’un SI financier
Dans un établissement bancaire ou financier, certains regroupements reviennent de façon constante. Les postes de travail, exposés par la messagerie et la navigation, forment une zone considérée comme compromissible, qui n’accède aux applications que par des chemins définis. Les serveurs métiers — cœur bancaire, chaînes de paiement, référentiels clients — occupent des zones dédiées, parfois subdivisées par application. L’administration appelle un traitement particulier : l’ANSSI préconise, dans ses recommandations relatives à l’administration sécurisée des systèmes d’information, des réseaux d’administration cloisonnés du reste du SI et accessibles au travers de bastions ; la gestion des comptes à privilèges encadre l’usage de ces points de passage et enregistre les sessions qui y transitent. Les environnements exposés à Internet — sites institutionnels, API ouvertes aux partenaires — sont isolés dans des zones démilitarisées, de sorte qu’une compromission ne débouche pas directement sur les systèmes internes. La séparation entre production, test et développement obéit à la même logique.
Cartographier avant de cloisonner
La principale difficulté d’un projet de segmentation tient à la connaissance des flux que les règles de filtrage devront respecter. Un SI ancien héberge des échanges que personne n’a documentés : une application métier qui interroge une base oubliée, un traitement nocturne qui dépose des fichiers sur un serveur absent des inventaires. Fermer sans cette connaissance revient à provoquer soi-même des incidents de production ; beaucoup de projets de segmentation s’enlisent à ce stade. La démarche passe par une phase d’observation, durant laquelle les équipements de filtrage journalisent sans bloquer, le temps de reconstituer la matrice des flux réels puis de la confronter aux besoins légitimes. Ce travail recoupe la cartographie des systèmes et de leurs dépendances menée dans les démarches de résilience opérationnelle ; les deux chantiers s’alimentent mutuellement. Le cloisonnement se déploie ensuite zone par zone, en commençant par les périmètres les plus sensibles.
Les franchissements comme signaux
Une fois les cloisons posées, la segmentation produit un second bénéfice, moins visible que le confinement : elle transforme les déplacements de l’attaquant en événements observables. Sur un réseau à plat, la connexion d’un poste bureautique vers un serveur de sauvegarde se fond dans le trafic ordinaire. Sur un réseau segmenté, la même tentative rencontre un point de contrôle qui la bloque et la consigne ; le refus constitue en lui-même une alerte exploitable, puisque ce flux n’avait aucune raison légitime d’exister. Ces journaux, centralisés dans un SIEM, offrent aux équipes d’un SOC des signaux bien moins ambigus que la plupart des alertes qu’elles traitent. Un leurre placé dans une zone sensible prolonge cette logique : rien ne devant s’y connecter, tout contact entrant traduit une activité anormale. Ces détections interviennent pendant la phase de propagation, au moment où l’attaque peut encore être arrêtée avant le chiffrement.
