Fiche 07 — Sécurité des infrastructures, réseau & Zero Trust

1. Socle réseau

Segmentation & architecture

• Défense en profondeur : plusieurs couches, aucune ne suffit seule.
• Segmentation (macro) : DMZ, zone utilisateurs, zone serveurs, zone d’administration, zone de sauvegarde, OT/industriel, invités, IoT. Micro-segmentation : par charge de travail (Illumio, NSX, Cilium, Security Groups).
• Zone d’administration dédiée (bastion, réseau out-of-band) : recommandation ANSSI forte.
• Modèle en tiers appliqué au réseau (cf. fiche 06).
• DMZ en double barrière, reverse proxy, pas de flux direct Internet → SI interne.
• Flux : matrice de flux documentée, deny par défaut, justification métier de chaque règle, revue annuelle des règles (les règles any/any sont un constat d’audit classique).
• Isolation des sauvegardes : réseau séparé, comptes distincts, immuabilité, copie hors ligne ou hors tenant (règle 3-2-1-1-0).

Équipements & fonctions

• Pare-feu : stateless (ACL/NACL) vs stateful vs NGFW (inspection applicative, IPS, filtrage URL, décryptage TLS). Attention : la rupture TLS a des implications légales/RH (information des salariés, exclusion des sites bancaires/santé).
• IDS/IPS : Suricata, Snort, Zeek (analyse plutôt que blocage).
• WAF : OWASP CRS, mode détection puis blocage, tuning des faux positifs.
• Proxy sortant / filtrage web (A.8.23 nouveau en 27002:2022), DNS filtering / RPZ, anti-DDoS (volumétrique, protocolaire, applicatif ; scrubbing center, Anycast).
• NAC / 802.1X (EAP-TLS), profilage des équipements, quarantaine.
• VPN : IPsec (IKEv2, tunnel/transport, AH vs ESP — ESP en pratique) vs TLS/SSL VPN vs WireGuard. Les concentrateurs VPN exposés (Ivanti/Pulse, Fortinet, Citrix) sont une cible n°1 des ransomwares → patch prioritaire + MFA + géo-filtrage → argument pour ZTNA.
• WiFi : WPA2-Enterprise / WPA3, EAP-TLS, SSID invité isolé, désactiver WPS, détection de rogue AP.
• DNS : DNSSEC, split-horizon, journalisation (les logs DNS sont l’un des meilleurs signaux de détection), DoH/DoT (attention au contournement du filtrage par les navigateurs).
• Messagerie : voir fiche 08 (SPF/DKIM/DMARC).