Vulnérabilité réseau : détection et exploitation

Une vulnérabilité réseau désigne une faiblesse technique dans un protocole, un service exposé ou une configuration d'équipement réseau, exploitable par un attaquant pour compromettre la confidentialité, l'intégrité ou la disponibilité d'un système. Ces failles peuvent affecter des couches OSI très variées : débordements de tampon dans des services TCP/UDP, mauvaises implémentations TLS, protocoles non chiffrés (Telnet, FTP, SNMPv1), ou encore des services mal segmentés accessibles depuis des zones non autorisées. La surface d'attaque réseau est particulièrement large dans les environnements hybrides où des assets internes et cloud partagent une même connectivité. Contrairement aux vulnérabilités applicatives purement logicielles, les failles réseau impliquent souvent une interaction directe avec la pile IP de l'équipement cible. Certaines, comme les failles dans des firmwares de switchs ou de routeurs, ne bénéficient pas toujours de correctifs rapides. La classification CVE associe chaque vulnérabilité à un score CVSS qui reflète la criticité selon le vecteur d'accès, la complexité et les privilèges requis. Comprendre ces mécanismes est fondamental pour tout praticien en sécurité offensive ou défensive.

La détection d'une vulnérabilité réseau exploitée repose sur la corrélation de plusieurs sources de logs. Côté Windows, les Event ID 4625 (échecs d'authentification), 4776 (validation NTLM) et 5156 (connexion autorisée par le pare-feu Windows) sont des indicateurs de premier niveau. Les IDS comme Snort ou Suricata génèrent des alertes sur des signatures connues (scans SYN, tentatives d'exploitation SMB ou RDP). Un SIEM comme Splunk ou Elastic SIEM permet de corréler des volumes anormaux de connexions vers un même port cible, signe d'un scan actif ou d'une tentative de force brute. Les NetFlow collectés via des sondes IPFIX révèlent des flux latéraux inhabituels entre VLANs normalement isolés. Les journaux des équipements périmètriques (firewall, proxy) exposent les tentatives de connexion vers des services non publiés. Les sondes NDR (Network Detection and Response) comme Darktrace ou ExtraHop modélisent un comportement baseline et alertent sur toute déviation statistique. Les indicateurs de compromission à surveiller incluent des connexions sortantes vers des plages IP connues comme malveillantes, des handshakes TLS avec des certificats auto-signés, et des patterns de beacon réguliers sur des ports non standards.

L'exploitation d'une vulnérabilité réseau en contexte Red Team commence par une phase de reconnaissance. Nmap identifie les ports ouverts, les versions de services et les systèmes d'exploitation via des techniques de fingerprinting actif (options -sV, -O, -A). Nessus ou OpenVAS automatisent la corrélation entre services détectés et CVE connues. Une fois une faille identifiée, Metasploit Framework propose des modules d'exploitation prêts à l'emploi. Par exemple, EternalBlue (MS17-010) ciblant SMBv1 reste présent dans des réseaux non patchés. Les attaques de type MitM (Man-in-the-Middle) via ARP spoofing, réalisables avec Bettercap, exploitent l'absence de segmentation et de contrôles 802.1X. Côté contre-mesures, la priorité est au patching systématique des équipements réseau et à la désactivation des protocoles obsolètes. La microsegmentation via des pare-feux internes ou des politiques SD-WAN réduit drastiquement le rayon d'action d'un attaquant latéral. L'activation du 802.1X pour le contrôle d'accès au réseau filaire, le déploiement d'un NAC (Network Access Control) et la surveillance continue des configurations via des outils CSPM ou de gestion de conformité constituent des piliers défensifs essentiels pour réduire durablement la surface d'exposition réseau.