Segmentation réseau : isolation et cloisonnement

La segmentation réseau est une technique d'architecture consistant à diviser un réseau informatique en zones isolées, appelées segments. Chaque segment regroupe des ressources selon leur niveau de sensibilité ou leur fonction métier. L'isolation entre segments est imposée par des règles de filtrage strictes : pare-feu internes, ACL sur commutateurs, ou contrôleurs SDN. Le cloisonnement empêche qu'une compromission sur un segment se propage librement aux autres. En cybersécurité, la segmentation réseau réduit la surface d'attaque exploitable après une intrusion initiale. Elle constitue un rempart contre les mouvements latéraux, qui restent l'un des vecteurs de progression les plus courants dans les attaques avancées. Les approches modernes distinguent la segmentation traditionnelle par VLAN, la micro-segmentation applicative à l'hôte ou au workload, et la macro-segmentation entre grandes zones (LAN, DMZ, OT, cloud). Chaque modèle répond à des contraintes différentes en termes de granularité, de performance et de gestion opérationnelle. La segmentation est aussi un prérequis technique pour appliquer les principes du Zero Trust, où aucun flux n'est autorisé par défaut entre zones.

Côté Blue Team, la détection repose sur la surveillance des flux traversant les points de contrôle inter-segments. Les pare-feux internes et les ACL doivent générer des logs pour chaque tentative de connexion refusée entre zones. Ces événements de refus sont des indicateurs clés : un volume anormal de blocages depuis un poste vers des sous-réseaux sensibles signale souvent une phase de reconnaissance ou un début de mouvement latéral. Sur Windows, les événements 4648, 5156 et 5157 du journal Security permettent de tracer les tentatives de connexion réseau initiées par des processus locaux. Le déploiement d'un SIEM centralisant les logs de pare-feux, switches et proxies internes permet de corréler ces signaux. Les outils NDR (Network Detection and Response) comme Zeek ou Suricata analysent les flux bruts et détectent les balayages de ports inter-VLAN, les connexions SMB ou RPC inattendues entre segments, ou l'usage de protocoles non autorisés. Une baseline de trafic légitime par segment est indispensable pour réduire les faux positifs. Les honeypots placés dans des segments sensibles captent les tentatives de pivotement non légitimes. La supervision des tables ARP et des requêtes DNS inter-zones complète le dispositif de détection précoce.

Côté Red Team, la segmentation réseau est un obstacle direct à la progression post-exploitation. Les techniques de contournement ciblent les équipements qui font office de passerelles inter-segments : routeurs mal configurés, hôtes dual-homed (connectés à deux segments), ou services exposés dans plusieurs zones. Le VLAN hopping, via des attaques DTP (Dynamic Trunking Protocol) ou double-tagging 802.1Q, permet à un attaquant de sortir de son VLAN d'origine sans passer par un pare-feu. L'outil Yersinia exploite ces faiblesses au niveau du protocole de commutation. Les pivots via des proxies SOCKS (Chisel, Ligolo-ng) permettent de tunneliser du trafic à travers un hôte compromis vers des segments autrement inaccessibles. Pour durcir la segmentation, les équipes doivent désactiver DTP sur tous les ports d'accès, forcer le VLAN natif sur un VLAN dédié inutilisé, et interdire tout flux par défaut entre segments via une politique 'deny all' explicite. La micro-segmentation au niveau des hyperviseurs (NSX, Hyper-V Network Virtualization) élimine les flux est-ouest non désirés entre VMs. Un audit régulier des règles de filtrage inter-zones, combiné à des exercices de Red Team ciblant les frontières de segments, permet de valider l'efficacité réelle du cloisonnement.