Segmenter un réseau de PME sans le rendre illisible

Un réseau plat n'est pas un défaut de conception, c'est une décision implicite : celle de faire confiance à tout ce qui se branche. La segmentation consiste à remplacer cette décision implicite par des décisions explicites, en nombre limité, écrites quelque part, et vérifiables.

Découper par usage, pas par géographie

Le découpage par étage ou par bâtiment est le plus répandu et le moins utile. Il facilite le travail du câbleur et ne protège de rien, puisqu'un poste de travail du deuxième étage et un poste de travail du troisième ont exactement le même niveau de confiance et les mêmes besoins.

Le découpage utile suit l'usage et le niveau de confiance. Sept ensembles couvrent l'essentiel des situations d'entreprise : les postes de travail, les serveurs, la téléphonie, l'impression, les objets techniques du bâtiment, les invités, et l'administration des équipements. On ajoute au besoin un ensemble pour la sauvegarde et un pour les prestataires. Neuf découpes bien pensées font mieux que quarante identifiants créés au fil des demandes.

La matrice de flux, en vingt lignes

Une segmentation ne vaut que par le filtrage entre segments. Sans point de contrôle, on a juste créé plusieurs réseaux qui se parlent librement à travers un routeur. Le routage entre segments doit donc traverser un pare-feu, physique ou intégré, et chaque autorisation doit exister comme une ligne assumée.

La discipline qui fonctionne consiste à maintenir cette matrice sous vingt lignes. Au-delà, personne ne la relit, et les règles temporaires deviennent permanentes. Chaque ligne porte quatre informations : la source, la destination, le service autorisé, et la raison. La quatrième colonne est celle qui permet, deux ans plus tard, de supprimer une règle sans peur.

Le plan de découpage affiché dans le local technique, corrigé à la main au fil des évolutions.

Le segment d'administration, celui qu'on oublie

Les interfaces de gestion des commutateurs, des pare-feu, des onduleurs, des baies de stockage et des hyperviseurs se retrouvent souvent sur le même réseau que les postes de travail, par simple facilité d'installation. C'est le chemin le plus court pour un attaquant qui a compromis un poste, et c'est aussi le plus fréquemment emprunté.

Ce segment doit être séparé, non routé depuis les postes bureautiques, et accessible uniquement depuis des machines d'administration désignées. Cette précaution apparaît dans toutes les analyses d'intrusion par rançongiciel, où l'étape de reconnaissance s'appuie précisément sur la découverte de ces interfaces, comme nous le décrivons dans notre chronologie des attaques qui visent d'abord les sauvegardes.

Les cinq pièges classiques

1. Le VLAN natif laissé à sa valeur par défaut sur les liens entre commutateurs, qui permet d'atteindre le segment sans étiquette.
2. La négociation automatique des liens d'agrégation laissée active sur les ports d'accès.
3. Un commutateur unique qui porte tous les segments et devient le point de défaillance de l'ensemble.
4. Les dépendances oubliées : résolution de noms, serveur de temps, annuaire, découverte des imprimantes, mise à jour des postes.
5. Les règles temporaires ouvertes pour un projet et jamais refermées, faute de date d'expiration.

Le quatrième piège est celui qui fait échouer les mises en production. Un poste privé de résolution de noms ou de serveur de temps ne signale pas un problème réseau : il signale un problème d'authentification, ce qui envoie l'équipe chercher au mauvais endroit pendant deux heures.

Ce qui rend la segmentation tenable dans le temps

Trois pratiques distinguent une segmentation vivante d'un schéma abandonné. La première est la tenue d'un inventaire fiable, parce qu'on ne place pas correctement une machine qu'on ne connaît pas. Nous en décrivons la méthode dans nos notes sur la tenue d'une CMDB vivante.

La deuxième est l'affectation automatique des machines à leur segment, plutôt que la configuration manuelle port par port. Elle repose sur l'authentification des équipements au moment du branchement, sujet que nous traitons dans notre analyse de l'authentification 802.1X sur les prises murales. Sans elle, chaque déménagement de bureau produit une exception, et les exceptions finissent par constituer le réseau.

La troisième est la cohérence entre les sites. Une entreprise multi-sites qui invente un découpage par agence rend toute règle centrale impossible. Le plan doit être identique partout, avec des préfixes d'adressage dérivés de l'identifiant de segment, méthode que nous détaillons dans notre note sur la migration IPv6 commencée par le plan d'adressage.