Segmentation réseau

Cloisonner pour empêcher les mouvements latéraux.

Risque à ne pas faire

  • Mouvement latéral sans entrave : une machine compromise ouvre l’accès à tout le réseau.
  • Propagation immédiate d’un rançongiciel à l’ensemble du parc.
  • Accès direct aux systèmes sensibles depuis des zones peu sûres (bureautique, invités).
  • Impossibilité de contenir un incident faute de frontières internes.

Pourquoi ce domaine compte

Sur un réseau à plat, une intrusion isolée devient une compromission générale : la machine compromise parle à toutes les autres, et l’attaquant rebondit sans rencontrer d’obstacle. Segmenter revient à poser des cloisons — VLAN et règles de filtrage sur l’infrastructure classique, politiques d’identité entre conteneurs. L’effet ne se mesure pas en attaques évitées, mais en attaques contenues. C’est le seul chiffre qui compte le jour où l’une d’elles passe.

Les solutions gratuites du domaine

OPNsense

Licence : BSD 2-Clause

Distribution de pare-feu et de routage complète avec interface web : filtrage, VPN, IDS/IPS intégré et rapports. Entièrement libre, sans fonction réservée à une édition payante.

nftables

Licence : GNU GPL v2

Pare-feu natif du noyau Linux (successeur d'iptables) pour définir des règles de filtrage et de segmentation entre zones, hôtes et services.

Cilium

Licence : Apache 2.0

Réseau et sécurité pour Kubernetes basés sur eBPF : micro-segmentation par politiques d'identité, observabilité et chiffrement. Projet gradué de la CNCF.