- La segmentation réseau consiste à diviser le réseau en zones distinctes (VLAN) qui ne communiquent pas librement entre elles.
- Elle limite fortement la propagation d’un attaquant ou d’un ransomware en cas de compromission d’un premier équipement.
- Les équipements IoT et de production sont les candidats prioritaires à l’isolement.
Un réseau « plat », où tous les équipements peuvent communiquer librement entre eux, offre à un attaquant qui compromet une seule machine un accès potentiel à l’ensemble du système d’information. La segmentation réseau corrige ce défaut structurel en cloisonnant les usages.
1. Le principe de la segmentation
Techniquement, la segmentation repose sur la création de VLAN (réseaux virtuels distincts) et de règles de pare-feu contrôlant précisément quelles communications sont autorisées entre eux. Un poste du VLAN « bureautique » n’a par exemple aucune raison de communiquer directement avec un automate industriel du VLAN « production », sauf besoin métier explicitement identifié.
2. Un exemple concret de segmentation en PME
| Zone / VLAN | Contenu | Accès autorisés |
|---|---|---|
| Bureautique | Postes utilisateurs, imprimantes | Internet, serveurs de fichiers, messagerie |
| Serveurs | Serveurs de fichiers, applications métier | Accès restreint depuis le VLAN bureautique uniquement |
| IoT / Production | Caméras, automates, objets connectés | Aucun accès entrant depuis les autres VLAN, sortant limité |
| Invités | Wifi visiteurs | Internet uniquement, aucun accès au réseau interne |
3. Pourquoi c’est particulièrement critique contre les ransomwares
Un ransomware qui infecte un poste cherche généralement à se propager sur le réseau pour chiffrer un maximum de données avant de se faire remarquer. Sur un réseau non segmenté, rien ne l’empêche d’atteindre les serveurs de fichiers ou d’autres postes. Une segmentation bien pensée peut limiter les dégâts à une seule zone, laissant le reste de l’entreprise opérationnel pendant la remédiation.
4. Par où commencer ?
- Cartographier les équipements actuels et leurs besoins réels de communication.
- Isoler en priorité les équipements IoT et de production, souvent les plus vulnérables.
- Créer les VLAN correspondants sur le switch et le FortiGate.
- Définir des règles de pare-feu strictes entre zones, en autorisant seulement ce qui est nécessaire.
- Tester et ajuster progressivement, en surveillant les éventuels blocages de flux légitimes.
❓ FAQ
❓ La segmentation réseau est-elle complexe à mettre en place pour une petite structure ?
Une segmentation basique (bureautique / serveurs / invités) reste accessible même pour une petite PME et apporte déjà un bénéfice de sécurité important, sans nécessiter une infrastructure complexe.
❓ Faut-il segmenter même sans équipements IoT ?
Oui, séparer au minimum le réseau invité du réseau interne, et idéalement les serveurs des postes utilisateurs, reste pertinent pour toute entreprise.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Réseaux, pare-feu et accès distants : Julien décortique les infrastructures pour que la sécurité ne rime pas avec usine à gaz, du VPN au NAS en passant par le pare-feu.
