Réseau d'entreprise non segmenté : la faille silencieuse

Une caméra de vidéosurveillance mal sécurisée, un mot de passe usine jamais changé, et c’est tout le réseau de l’entreprise qui devient accessible — postes de travail, serveur de fichiers, imprimantes compris. Ce n’est pas un scénario extrême : c’est la conséquence directe d’un réseau “à plat”, sans cloisonnement, où chaque appareil peut en théorie dialoguer avec tous les autres. L’ANSSI recommande depuis 2017 de segmenter le réseau en zones distinctes — une mesure simple, souvent absente dans les petites structures.

Le scénario : une caméra qui devient une porte d’entrée

Une PME installe des caméras IP pour surveiller son local. Les caméras sont branchées sur le même réseau que les ordinateurs du bureau, le serveur de fichiers partagé et l’imprimante — parce que c’est le réseau qui existe déjà, et que personne n’a pensé à en créer un autre. Le mot de passe administrateur des caméras reste celui d’usine, ou un mot de passe faible réutilisé ailleurs.

Un attaquant qui scanne Internet à la recherche d’objets connectés mal protégés — une pratique automatisée et massive, documentée par le CERT-FR dès 2016-2017 avec les botnets de type Mirai — trouve la caméra, s’y connecte, et prend le contrôle de l’appareil. Jusque-là, le dégât semble limité : une caméra piratée, c’est gênant, mais ce n’est “que” une caméra.

Sauf que sur un réseau non cloisonné, cette caméra compromise a, techniquement, le même accès au réseau qu’un poste de travail. Rien n’empêche l’attaquant de l’utiliser comme point de rebond pour scanner le reste du réseau, repérer le serveur de fichiers, et tenter d’y accéder.

Pourquoi un réseau “à plat” change tout en cas de piratage

Le principe est documenté noir sur blanc dans le Guide d’hygiène informatique de l’ANSSI (règle 19, “Segmenter le réseau et mettre en place un cloisonnement entre ces zones”) : lorsque le réseau est à plat, sans aucun mécanisme de cloisonnement, chaque machine peut accéder à n’importe quelle autre, et la compromission d’une seule d’entre elles met en péril l’ensemble des machines connectées. Un attaquant qui prend pied sur un poste ou un objet connecté peut ensuite “rebondir” jusqu’aux serveurs critiques.

C’est exactement le mécanisme qui a permis aux botnets IoT documentés par le CERT-FR de se propager à grande échelle : les équipements ciblés en priorité étaient déjà les routeurs, les caméras connectées et les enregistreurs vidéo — des appareils souvent installés “en périphérie” du réseau, avec des identifiants par défaut jamais changés, et un accès réseau qui ne devrait jamais leur être ouvert au-delà de leur propre fonction.

La question n’est donc pas seulement “est-ce que cet appareil est bien protégé”, mais surtout : si cet appareil est un jour compromis — et statistiquement, un objet connecté mal maintenu finit par l’être — jusqu’où l’attaquant peut-il aller ensuite ? Sur un réseau plat, la réponse est : partout.

Ce que recommande l’ANSSI : cloisonner par zones de confiance

L’ANSSI ne se contente pas de pointer le problème, elle décrit la solution dans ses recommandations relatives à l’administration sécurisée des systèmes d’information (ANSSI-PA-022) et dans son guide d’hygiène informatique : concevoir l’architecture réseau en zones de sécurité homogènes, en regroupant distinctement les serveurs d’infrastructure, les serveurs métiers, les postes de travail des utilisateurs, les équipements de téléphonie ou de vidéosurveillance. Chaque zone est isolée par un VLAN et un sous-réseau IP dédié, avec un filtrage entre zones assuré par un pare-feu.

Le principe pratique est simple à formuler, même s’il demande une configuration rigoureuse : une caméra IP n’a besoin de parler qu’à son enregistreur ou à son service cloud, jamais directement au poste de la comptabilité ou au serveur de fichiers. Une imprimante réseau n’a besoin de recevoir des impressions, pas d’avoir un accès ouvert vers le reste du système d’information. Dès lors qu’un flux réseau n’est pas explicitement nécessaire, il doit être bloqué — pas autorisé par défaut parce que “c’est plus simple”.

VLAN : ce que ça veut dire concrètement, sans jargon

Un VLAN (réseau local virtuel) permet de découper un même réseau physique en plusieurs réseaux logiques cloisonnés, sans nécessairement tirer de nouveaux câbles. Concrètement pour une PME :

• Un VLAN “postes de travail” regroupe les ordinateurs des employés.
• Un VLAN “serveurs” isole le serveur de fichiers et les applications métier, avec un accès restreint aux seuls postes qui en ont réellement besoin.
• Un VLAN “objets connectés” (caméras, badges, imprimantes, systèmes d’alarme) est séparé du reste — si un de ces appareils est compromis, l’attaquant reste bloqué dans ce segment.
• Un VLAN “invités” pour le wifi visiteurs, totalement étanche au réseau interne.

Ce découpage ne demande pas de tout reconstruire : sur la plupart des équipements réseau professionnels déjà en place (switch, box, routeur), la fonction VLAN existe déjà — elle est simplement inutilisée. L’ANSSI précise elle-même que, pour une infrastructure existante difficile à réorganiser d’un bloc, il est recommandé d’intégrer cette démarche à l’occasion d’une extension du réseau ou d’un renouvellement d’équipement — pas besoin d’attendre un projet titanesque pour commencer.

Ce que ça change concrètement pour une PME

Sans segmentation, un incident sur un seul appareil peu critique — une caméra, une imprimante, un objet connecté oublié — peut se transformer en incident majeur touchant le serveur de fichiers ou les postes de travail. Avec un réseau cloisonné, le même incident reste confiné : la caméra piratée est un problème à régler, pas une porte ouverte sur toute l’entreprise.

C’est un principe de défense en profondeur : ne jamais reposer la sécurité de l’ensemble du système d’information sur la solidité d’un seul maillon — surtout quand ce maillon est souvent le moins surveillé (qui vérifie régulièrement le mot de passe d’une caméra IP installée il y a trois ans ?). C’est ce type d’architecture réseau, pensée en amont plutôt que corrigée après un incident, que couvre une infogérance réseau managée : cloisonnement, filtrage entre zones, et supervision de ce qui tente de passer d’un segment à l’autre.

À retenir

Un réseau où caméras, imprimantes, postes de travail et serveur de fichiers partagent le même segment plat n’a qu’un seul maillon faible à trouver pour qu’un attaquant atteigne tout. La segmentation en VLAN, recommandée par l’ANSSI depuis le guide d’hygiène informatique de 2017, ne supprime pas le risque qu’un appareil soit compromis — elle empêche cette compromission de se propager au reste de l’entreprise.

Source : ANSSI, Guide d’hygiène informatique — règle 19, “Segmenter le réseau et mettre en place un cloisonnement entre ces zones”, ANSSI-PA-022, Recommandations relatives à l’administration sécurisée des systèmes d’information, CERT-FR, Bulletin d’actualité CERTFR-2017-ACT-042 sur les botnets d’objets connectés et CERT-FR, Bulletin d’actualité CERTFR-2016-ACT-041.