Segmenter le réseau d'une petite entreprise

Un réseau à plat fait confiance à tout ce qui s'y branche. Or les équipements les moins sûrs sont justement ceux qu'on ne met jamais à jour : caméras, imprimantes, badgeuses, thermostats, télévisions connectées, box. Ils tournent avec un micrologiciel ancien, souvent un mot de passe d'usine, et personne ne les surveille. Une fois l'un d'eux pris, l'attaquant se déplace latéralement vers le serveur de fichiers ou le poste de la comptabilité, sans avoir besoin de percer quoi que ce soit d'autre.

Le cloisonnement du réseau fait partie des mesures du guide d'hygiène informatique de l'ANSSI. Il limite la casse : un équipement compromis ne donne accès qu'à sa zone. Les questionnaires des assureurs cyber demandent de plus en plus souvent cette mesure, et elle s'inscrit dans la gestion des risques attendue par la directive NIS2 pour les entités concernées.

Un VLAN (réseau local virtuel, norme IEEE 802.1Q) est un réseau logique séparé qui partage le même câblage physique. Les VLAN, à eux seuls, ne protègent pas : ils isolent au niveau 2. Ce qui apporte la sécurité, c'est de faire passer la communication entre les zones par un pare-feu avec une règle simple : tout est interdit entre les zones, sauf ce qui est explicitement autorisé.

Il n'y a pas de découpage universel, mais six zones couvrent la grande majorité des petites structures :

Si le budget ou la taille impose de simplifier, l'ordre de priorité est : isoler les invités, puis isoler les objets connectés, puis séparer les serveurs des postes. Les deux premiers coûtent presque rien et suppriment les risques les plus fréquents.

• Un pare-feu qui sait faire du routage entre VLAN avec des règles, de préférence mis à jour régulièrement par le fabricant. C'est la pièce centrale. La box de l'opérateur ne fait généralement pas ce travail : on la met en mode pont ou derrière le pare-feu.
• Des commutateurs administrables compatibles 802.1Q, pour transporter plusieurs VLAN sur un même câble (liaison « trunk ») et affecter chaque prise à une zone.
• Des bornes Wi-Fi capables de plusieurs SSID rattachés chacun à un VLAN : un réseau pour les postes, un pour les invités, un pour les objets connectés.

Inutile en revanche d'acheter du matériel d'entreprise surdimensionné. Ce qui compte, c'est la compétence de configuration et la tenue des mises à jour. Un pare-feu mal réglé ou jamais mis à jour est pire qu'un petit modèle bien administré.

Voici le jeu de règles type, à adapter. L'idée est de partir de « tout refuser » et d'ajouter ce qui est nécessaire, un flux à la fois, en le documentant.

1. Invités vers Internet seulement : refuser tout vers les autres zones et vers les adresses privées. Activer l'isolation des clients sur le Wi-Fi invités pour qu'ils ne se voient pas entre eux. Limiter si besoin le débit.
2. IoT vers Internet limité : n'autoriser que les destinations nécessaires, ou à défaut Internet seul. Aucun flux initié vers les postes ou les serveurs.
3. Postes vers imprimantes : autoriser les ports d'impression (selon le protocole utilisé) du poste vers l'imprimante, jamais l'inverse.
4. Postes vers serveurs : seulement les ports des services utilisés (partage de fichiers, application métier), pas tout.
5. Serveurs vers Internet : restreindre aux flux de mise à jour et de sauvegarde. Un serveur qui peut joindre n'importe quelle destination facilite l'exfiltration de données.
6. Gestion : l'interface d'administration du pare-feu et des commutateurs n'est joignable que depuis une adresse ou un poste d'administration, jamais depuis Internet, jamais depuis les invités.
7. Journaliser les refus et les consulter : une série de tentatives d'un équipement IoT vers un serveur interne est un signal utile.

Cas particulier fréquent : l'imprimante-scanner qui envoie des courriels ou dépose des fichiers sur un partage. Il faut documenter ce flux (qui, vers où, quel port) et l'autoriser précisément, au lieu d'ouvrir la zone entière. C'est la raison pour laquelle la segmentation se prépare avec un inventaire.

Le Wi-Fi est le point d'entrée physique le plus exposé, puisque le signal sort des murs. Quelques règles de configuration :

• WPA3 dès que les équipements le permettent. La Wi-Fi Alliance indique que WPA3 est obligatoire pour les appareils certifiés Wi-Fi et que les trames de gestion protégées (PMF) y sont exigées (Wi-Fi Alliance, sécurité). WPA3-Personal renforce la protection contre les attaques par devinette de mot de passe.
• Mode mixte WPA2/WPA3 en transition si des équipements anciens ne savent pas faire WPA3, avec l'objectif de les remplacer. Un seul appareil ancien ne doit pas figer toute l'entreprise sur le protocole le plus faible : placez-le sur son propre SSID et son propre VLAN.
• Mot de passe long et unique par SSID, changé à chaque départ d'une personne qui le connaissait. Mieux : WPA2/WPA3-Enterprise (802.1X) avec identifiants individuels si l'entreprise dépasse quelques dizaines de personnes ou a un annuaire, ce qui évite de changer le mot de passe commun.
• WPS désactivé sur toutes les bornes.
• Réseau invités séparé, avec portail ou mot de passe distinct, jamais le même SSID que les postes.
• Administration des bornes par un contrôleur ou une interface protégée par mot de passe unique et MFA quand c'est proposé.

Le télétravail et les prestataires créent des accès entrants. C'est le deuxième grand risque après le Wi-Fi, et il se traite avec trois principes :

1. Ne jamais exposer de service d'administration directement à Internet, notamment le bureau à distance (RDP), les interfaces du NAS, de l'imprimante ou du pare-feu. Un service ouvert est scanné en quelques minutes par des robots.
2. Passer par un VPN (WireGuard, IPsec ou le VPN du pare-feu) ou par un accès applicatif qui authentifie l'utilisateur, avec MFA. L'utilisateur distant arrive dans une zone dédiée, pas directement dans la zone des serveurs.
3. Droits au plus juste : un salarié qui a besoin du logiciel de gestion n'a pas besoin d'accéder aux commutateurs. Les prestataires reçoivent des accès nominatifs, limités dans le temps, et supprimés à la fin de la mission.

Pour le cas du poste nomade, de la clé d'accès et du travail depuis la maison, voir notre page télétravail sécurisé.

Une segmentation mal conduite coupe l'imprimante ou le logiciel métier le lundi matin. La méthode qui évite cela :

1. Inventaire : lister chaque équipement (nom, adresse, rôle, fabricant, version du micrologiciel). C'est souvent là qu'on découvre une caméra oubliée ou un vieux serveur.
2. Cartographie des flux : qui parle à qui, sur quels ports. Les journaux du pare-feu pendant quelques semaines aident à l'établir.
3. Plan d'adressage : un sous-réseau par zone, des plages lisibles et documentées.
4. Mise en place par étapes : d'abord les invités, puis l'IoT, puis les imprimantes, puis les serveurs. Chaque étape est testée avant la suivante, avec un retour arrière possible.
5. Sauvegarde de la configuration du pare-feu et des commutateurs avant chaque changement, et une copie hors ligne.
6. Documentation et contrôle : schéma du réseau, tableau des règles et de leur justification, test annuel (un poste invité essaie réellement de joindre un serveur).

Le cloisonnement réduit les dégâts, il n'empêche pas l'incident. Il se combine avec les autres couches : mises à jour régulières, authentification multifacteur, antivirus ou EDR sur les postes, et surtout des sauvegardes immuables et testées. Pour la vue d'ensemble des protections d'une TPE, voir la checklist cybersécurité ; côté messagerie et comptes cloud, la checklist Microsoft 365.

• Inventaire des équipements à jour, avec version de micrologiciel.
• Au moins trois zones : postes et serveurs, objets connectés, invités.
• Pare-feu avec règle « tout interdit sauf autorisé » entre les zones.
• Wi-Fi invités isolé, avec isolation des clients.
• WPA3 ou WPA2/WPA3 en transition, WPS désactivé.
• Aucune interface d'administration ni RDP exposé à Internet.
• Accès distant par VPN avec MFA, droits limités.
• Configuration sauvegardée, schéma et règles documentés, test annuel.