Qu'est-ce que la segmentation du réseau ?

Avantages de la segmentation du réseau

Quel que soit le schéma retenu par une entreprise, un réseau segmenté présente des avantages évidents par rapport à un réseau plat, sans hiérarchie ni sous-réseaux. Ces avantages sont notamment :

• Une cybersécurité plus robuste pour les données sensibles : cet avantage englobe la prévention des failles (mouvement nord-sud), un contrôle plus strict des accès et des contrôles de sécurité spécifiques à chaque segment.
• Moins de difficultés à répondre aux exigences de conformité réglementaire : limiter les personnes qui peuvent accéder à certaines données et où elles circulent simplifie l’attestation de conformité et les audits pour les réglementations sectorielles et gouvernementales telles que PCI DSS et RGPD.
• Une analyse des risques et un contrôle des dommages plus simples : lorsque les cybercriminels ne peuvent pas se déplacer librement sur l’ensemble de votre réseau, il devient plus simple de repérer leurs techniques et d’identifier les faiblesses de votre posture de sécurité.
• Des terminaux et utilisateurs plus sécurisés : les utilisateurs finaux, tout autant que les appareils, sont plus en sécurité sur un réseau segmenté où les menaces ne peuvent pas facilement se propager aux terminaux, et les segments eux-mêmes sont plus en sécurité contre les menaces qui proviennent des terminaux.
• Une réduction de la congestion du réseau : une activité dans un segment n’entraînera pas la congestion d’une autre partie du réseau. Par exemple, dans un commerce, les clients utilisant le Wi-Fi pour invités ne ralentiront pas les transactions par carte de crédit.

Bonnes pratiques de la segmentation du réseau

Afin de vous aider à apprendre la meilleure méthode pour mettre en œuvre et maintenir un modèle de segmentation du réseau efficace, nous vous proposons cinq bonnes pratiques de segmentation du réseau :

1. Ne pas sur-segmenter

De nombreuses entreprises segmentent exagérément leurs réseaux lorsqu’elles débutent. Cela peut diminuer la visibilité globale sur votre réseau et rendre la gestion encore plus difficile qu’avant que vous ne commenciez à segmenter. Cependant, il est également important de ne pas sous-segmenter votre réseau, car cela contribue à élargir votre surface d’attaque et nuit à votre posture de sécurité.

2. Procéder à des audits réguliers

La segmentation du réseau constitue un excellent moyen d’améliorer la sécurité de votre réseau, mais elle n’est efficace que si vous vérifiez continuellement que les vulnérabilités sont corrigées, que les autorisations sont strictes et que les mises à jour sont installées. Par-dessus tout, l’audit de vos segments permet de garantir l’absence de failles exploitables dans la couverture et d’atténuer tout risque réseau, ce qui vous donne une longueur d’avance sur les acteurs malveillants.

3. Adopter le principe du moindre privilège

L’accès sur la base du moindre privilège peut conditionner la gestion des accès en général, et il n’est pas moins crucial lorsqu’il s’agit de la segmentation du réseau. En appliquant le principe du moindre privilège à tous vos segments de réseau, vous garantissez à vos utilisateurs, aux administrateurs de réseau et à l’équipe de sécurité que l’accès n’est accordé que si nécessaire. C’est pourquoi l’accès sur la base du moindre privilège est fondamental pour l’accès réseau Zero Trust.

4. Limiter l’accès des tiers

Accorder l’accès à des utilisateurs tiers représente déjà un risque élevé. Il est donc important de n’accorder cet accès que lorsqu’il est nécessaire, surtout si vous l’accordez sur divers segments du réseau. La segmentation réduit le risque global auquel est exposé votre réseau, mais cela ne signifie pas que vous devez commencer à accorder des autorisations à des tiers sans tenir compte de la manière dont cela pourrait affecter la sécurité de votre réseau.

5. Automatiser autant que possible

La segmentation de votre réseau procure à votre entreprise de nombreuses possibilités d’automatisation. Outre les avantages acquis de l’automatisation en général, tels qu’une meilleure visibilité, un MTTR réduit et une plus haute sécurité, l’automatisation de la segmentation du réseau vous permet d’identifier et de classer rapidement les nouvelles ressources et données, ce qui constitue en soi une autre bonne pratique de segmentation.

Inconvénients de la segmentation traditionnelle

Nous ne pouvons pas ignorer le fait que dans les architectures de réseau complexes modernes, distribuées sur plusieurs clouds et data centers, les anciens modèles de pare-feu et de VLAN de segmentation présentent quelques lacunes majeures.

Les pare-feu traditionnels souffrent d’un défaut majeur qui s’oppose directement à la segmentation : ils créent des réseaux plats qui permettent des déplacements latéraux aisés. Essayer de compenser ces risques est tellement contraignant et complexe sur le plan opérationnel que cela en devient quasiment impossible. Même les pare-feu de nouvelle génération, avec toutes leurs capacités complémentaires, placent toujours les utilisateurs sur votre réseau pour accéder aux applications. Les VLAN présentent la même faiblesse.

Une approche traditionnelle vous expose à :

• Une confiance excessive : comme la segmentation traditionnelle basée sur les pare-feu est conçue pour empêcher les attaques de l’extérieur, elle peut vous laisser vulnérable aux menaces internes.
• Des erreurs de configuration : les VLAN se prêtent facilement à des erreurs de configuration dans les architectures actuelles, surtout si vous utilisez des fournisseurs de cloud tiers et que vous ne pouvez pas modifier l’infrastructure vous-même.
• Une gestion exigeante : chaque nouvelle application, chaque nouvel appareil ou chaque changement implique la mise à jour des règles de pare-feu, et même les activités banales comme l’analyse de la vulnérabilité nécessitent davantage de ressources.
• Des contrôles complexes : les méthodes traditionnelles souffrent d’un manque de contrôles granulaires fins, ce qui complique l’élaboration d’une politique de segmentation pour les télétravailleurs, les partenaires, les clients, etc.
• Des problèmes d’évolutivité : pour faire face à la croissance du réseau, vous devez créer des segments plus petits ou mettre les segments existants à niveau, ce qui entraîne des coûts plus élevés d’évolution et de maintenance.
• De piètres performances : l’ajout de périphériques réseau supplémentaires (par exemple, des pare-feu, des routeurs) aura un effet négatif cumulatif sur les performances globales de votre réseau.