Comment sécuriser son réseau informatique

Introduction

Comment sécuriser son réseau informatique ?

La sécurité d'un réseau informatique est aujourd'hui un enjeu incontournable, aussi bien pour les particuliers que pour les entreprises. Dans ce tutoriel, nous allons passer en revue les principales techniques et protocoles permettant de renforcer la protection d'une infrastructure réseau. En voici un aperçu :

• Le Spanning tree
• Les ACL’s
• Oing flood (déni de service - DoS)
• Sécurisation des ports de Switch
• Le protocole SSH
• IP DHCP SNOOPING
• Les VLAN
• Zone DMZ

Avec le développement des nouvelles technologies, les modes de communication ont considérablement évolué. L'usage d'Internet et des outils informatiques permet aujourd'hui aux particuliers de partager des contenus multimédias, et aux entreprises de gagner en efficacité. Cependant, ces avancées s'accompagnent de vulnérabilités croissantes : risques de piratage, de virus, d'espionnage industriel… Face à ces dangers, rester inactif n'est plus une option.

De nombreuses entreprises ont compris la nécessité de mettre en place une politique de cybersécurité structurée. Assurer seul cette protection, quand ce n'est pas son cœur de métier, n'est pas toujours évident. C'est pourquoi la plupart se tournent vers des spécialistes en sécurité informatique.

En interne, les entreprises sensibilisent également leurs collaborateurs aux bonnes pratiques : ne pas divulguer de mots de passe, éviter les sites à risques, ne pas ouvrir de pièces jointes dont l'origine est inconnue, etc.

De leur côté, les équipes de cybersécurité mettent en œuvre diverses mesures :

• Déploiement d'un pare-feu (firewall)
• Mises à jour et vérifications régulières des systèmes
• Mise en place d'un antispam
• Installation d'un antivirus à jour

Du côté des particuliers, les mêmes réflexes s'imposent pour protéger leurs appareils personnels (ordinateurs, smartphones, tablettes, etc.) : maintenir les systèmes à jour, utiliser des mots de passe robustes et activer un antivirus sont des mesures essentielles.

Le Spanning Tree

Le Spanning Tree Protocol (STP) est un protocole de réseau opérant à la couche 2 du modèle OSI. Son rôle principal est de prévenir la création de boucles dans les réseaux commutés de type Ethernet, tout en maintenant une redondance des liaisons.

Quel est le problème et comment STP peu venir résoudre ce problème ?

Pour aller d'un point à un autre, les données transmises par Ethernet doivent disposer d'au moins deux chemins : un chemin principal et un chemin de secours, en cas de panne d'un switch ou de coupure d'un câble. Sans mécanisme de contrôle, cette redondance génère des boucles réseau.

Empêchement de boucle

Comment empêcher les boucles de se produire dans le réseau ?

En l'absence du protocole Spanning Tree, les boucles créées engendrent des tempêtes de diffusion (broadcast storm), qui saturent progressivement le réseau jusqu'à le paralyser complètement.

La solution consiste à activer STP sur les switchs. Ce protocole utilise des trames spéciales appelées BPDU (Bridge Protocol Data Units), échangées environ toutes les 2 secondes. Ces trames permettent aux commutateurs de surveiller en permanence la topologie du réseau et d'activer ou désactiver les ports en conséquence.

Le terme BPDU, qui signifie « Bridge Protocol Data Unit » sont des trames qui sont échangées régulièrement, à peu près environ toutes les 2 secondes, et permettent aux switches de garder une trace des changements sur le réseau afin d'activer ou de désactiver les ports requis.

Les trois types de BPDU

Exemple: Un Switch est connecté au réseau, il commence par envoyer des BPDU pour déterminer la topologie du réseau, avant de pouvoir transférer des données.

Nous avons distinctement trois types de BDPU :

1. CBPDU : utilisé pour le calcul du spanning tree,
2. TNC BPDU : utilisé pour annoncer les changements de topologies,
3. TCA BPDU : utilisé pour l’acquittement de changement de notification de la topologie

Il y a quatre phases que le protocole STP exécute :

1. Élection du commutateur racine (Root Bridge ou RB) ;
2. Détermination du port racine (Root Port ou RP) sur chaque Switch ;
3. Détermination du port désigné (Designated Port ou DP) sur chaque segment ;
4. Blocage des autres ports.

Élection du commutateur racine

Le Root Bridge est sélectionné sur la base du Bridge Identifier (BID), qui combine la priorité du switch et son adresse MAC. Par défaut, la priorité est fixée à 32768 (0x8000 en hexadécimal). Le switch présentant la priorité la plus basse est élu Root Bridge ; en cas d'égalité, c'est l'adresse MAC la plus basse qui départage.

pratique, l'administrateur réseau ajuste manuellement les priorités pour s'assurer que le switch le plus central soit élu Root Bridge, et qu'un switch secondaire prenne le relais en cas de défaillance.

Détermination du port racine (Root Port)

Chaque switch non-racine détermine parmi ses ports actifs un Root Port : il s'agit du port offrant le chemin de coût le plus faible vers le Root Bridge. Le coût est inversement proportionnel à la bande passante du lien :

Débit	Coût
10 Mbits/s	100
100 Mbits/s	19
1 Gbits/s	4
10 Gbits/s	2

Chaque switch non-racine détermine parmi ses ports actifs un Root Port : il s'agit du port offrant le chemin de coût le plus faible vers le Root Bridge. Le coût est inversement proportionnel à la bande passante du lien :. Donc, l'élection d'un Root Port est effectuée en tenant compte des champs path cost et Port ID d'un paquet BPDU. En cas d'égalité, c'est le port ayant le port ID le plus faible qui sera élu.

Détermination du port désigné (Designated Port)

Pour chaque segment réseau reliant des switchs, un Designated Port est déterminé. Il s'agit du port dont le chemin cumulé vers le Root Bridge est le plus court (somme des coûts des segments traversés la plus faible).

Blocage des autres ports

Les ports qui ne sont ni Root Port ni Designated Port sont placés en état Blocked. Un port bloqué peut recevoir des trames BPDU, mais ne peut pas en émettre ni transmettre de données.

Changements de topologie

Lorsqu'un lien est coupé ou qu'un switch devient indisponible, l'algorithme STP est relancé automatiquement et une nouvelle topologie sans boucle est recalculée.

Etats des ports d’un switch

Sur un switch où STP est actif, chaque port se trouve dans l'un des états suivants :

• Listening : le switch écoute les BPDU et détermine la topologie réseau,
• Learning : le switch construit une table faisant correspondre les adresses MAC aux numéros des ports,
• Forwarding : opération normale, le port reçoit et envoie des données,
• Blocking : Aucune donnée n'est ni envoyée ni reçue mais le port peut passer en mode forwarding si un autre lien tombe,
• Disabled : Le port est désactivé (l’administrateur réseau peut manuellement désactiver un port).

Lorsqu'un périphérique (PC, imprimante, serveur…) est connecté, son port passe automatiquement par les états Listening → Learning → Forwarding. Le délai de transition (Forward Delay) entre chaque état est de 15 secondes par défaut, soit 30 secondes au total.

Le forward delay est le délai de transition entre les modes listening vers learning et learning vers forwarding. Ce délai est fixé par le Root Bridge et vaut quinze secondes par défaut.

STP a connu des évolutions notamment pour accélérer le temps de convergence. L'IEEE a publié le document 802.1w pour décrire le RSTP (Rapid STP) qui accélère la convergence du protocole STP après un changement de topologie. Alors que le temps de convergence est de trente à cinquante secondes pour le STP classique, RSTP est capable de converger en 6 secondes.

Les ACL (Access Control Lists)

C’est quoi les Accès List (ACL) ou en français les listes d’accès ?

Les listes de contrôle d'accès (ACL – Access Control Lists) sont des outils fondamentaux dans la sécurisation d'un réseau IP. Elles sont configurées directement sur les routeurs et permettent de contrôler le trafic entrant et sortant sur chaque interface.

Les ACL remplissent plusieurs fonctions :

• Filtrage du trafic réseau ;
• Contrôle des mises à jour de routage ;
• Gestion des priorités (QoS) ;
• Sécurisation de l'accès aux informations sensibles.

Une ACL est une liste ordonnée d'entrées appelées ACE (Access Control Entry), chacune décrivant une règle de filtrage appliquée aux datagrammes IP.

Les deux grands types d'ACL IP

1. ACL standard (numéros 1–99) : elles filtrent uniquement en fonction de l'adresse IP source. Simples à configurer, elles doivent être placées au plus près de la destination.
2. ACL étendues (numéros 100–199) : elles permettent de filtrer sur l'adresse IP source, l'adresse IP destination, le protocole (TCP, UDP, ICMP…) et les numéros de ports. Plus précises, elles doivent être placées au plus près de la source.

Les ACL nommées

Les ACL nommées offrent les mêmes fonctionnalités que les ACL numérotées, avec plusieurs avantages supplémentaires :

1. Un nom explicite est plus lisible et compréhensible qu'un numéro ;
2. Le nombre d'ACL n'est pas limité par des plages numériques ;
3. Il est possible de supprimer une entrée individuelle sans devoir récrire toute la liste (contrairement aux ACL numérotées) ;
4. L'ajout de commentaires (remarks) est possible pour documenter les règles.

Ping flood (déni de service - DoS)

Une attaque par déni de service (DoS – Denial of Service) a pour objectif de rendre un service indisponible en saturant ses ressources, empêchant ainsi les utilisateurs légitimes d'y accéder.

Le Ping Flood est l'une des formes les plus simples de cette attaque : l'attaquant envoie un volume massif de requêtes ICMP echo request vers une cible, l'obligeant à consommer toute sa bande passante et sa capacité de traitement pour y répondre.

Les attaques DoS peuvent prendre plusieurs formes :

• Inondation du réseau (flooding) jusqu'à saturation complète ;
• Perturbation des connexions entre deux machines ;
• Blocage de l'accès à un service pour un utilisateur spécifique ;
• Envoi massif de données vers un équipement (box, routeur, serveur).

Aujourd'hui, la majorité de ces attaques sont distribuées : on parle alors d'attaque DDoS (Distributed Denial of Service), impliquant des milliers de machines compromises (botnets) agissant simultanément.

L'attaquant n'a pas forcément besoin de matériel sophistiqué. Ainsi, certaines attaques DoS peuvent être exécutées avec des ressources limitées contre un réseau de taille plus importante et plus moderne. On appelle parfois ce type d'attaque « attaque asymétrique » en raison de la différence de ressources entre les protagonistes.

Sécurisation des ports de Switch

Sur les switchs Cisco, la fonctionnalité Port-Security permet de contrôler quelles adresses MAC sont autorisées à communiquer sur un port donné. C'est une mesure efficace contre les attaques de type MAC flooding ou les connexions non autorisées.

Il y a deux méthodes, la première consiste à enregistrer manuellement l’adresse MAC autorisée et la seconde consiste à prendre comme adresse MAC autorisée celle de l’hôte qui va se connecter et envoyer une trame (message) en premier à ce port du Switch Cisco.

1. Adresse MAC statique : l'administrateur saisit manuellement l'adresse MAC autorisée sur le port.
2. Adresse MAC dynamique (sticky) : le switch mémorise automatiquement l'adresse MAC du premier hôte qui se connecte et envoie une trame sur ce port.

Pour rappel, l’adresse MAC correspond à l’adresse physique de la machine c'est-à-dire de sa carte réseau, comme l’adresse postale de votre domicile.

En cas de violation (connexion d'un équipement non autorisé), trois modes de réaction sont disponibles :

• Protect : les trames non autorisées sont silencieusement ignorées ;
• Restrict : les trames sont ignorées et une alerte SNMP est générée ;
• Shutdown : le port est désactivé (err-disabled) — mode le plus sécurisé.

Le protocole SSH

SSH (Secure Shell) est le protocole de référence pour l'administration à distance sécurisée des équipements réseau. Il remplace avantageusement Telnet, qui transmet toutes les données — y compris les mots de passe — en clair sur le réseau.

SSH fonctionne sur le port 22 et chiffre l'ensemble des échanges entre le client et l'équipement administré grâce à des algorithmes cryptographiques asymétriques (RSA, ECDSA) et symétriques (AES).

Sur un équipement Cisco IOS, l'activation de SSH nécessite :

1. La configuration d'un nom d'hôte et d'un nom de domaine IP ;
2. La génération d'une paire de clés RSA (crypto key generate rsa) ;
3. La configuration des lignes VTY pour accepter uniquement SSH (transport input ssh) ;
4. La création d'un compte local ou l'intégration avec un serveur AAA.

Le IP DHCP SNOOPING

Votre serveur DHCP subit régulièrement des attaques type DHCP Starvation (en français : famine) appelé aussi attaque DoS (Deny Of Service), vidant ainsi votre pool (plage adressage IP) de toutes ses IP. De plus les postes clients récupèrent des informations IP différentes de celle proposé par votre serveur DHCP, vous pensez donc qu’il existe un DHCP rogue sur votre LAN.

Le DHCP Snooping est une fonctionnalité de sécurité implémentée sur les switchs Cisco qui protège le serveur DHCP légitime contre deux types d'attaques fréquentes :

• DHCP Starvation : un attaquant envoie un grand nombre de requêtes DHCP avec des adresses MAC falsifiées, épuisant ainsi le pool d'adresses IP disponibles (attaque DoS).
• DHCP Rogue : un faux serveur DHCP est installé sur le réseau et distribue de fausses informations IP aux clients (passerelle corrompue, DNS malveillant…).

Le DHCP Snooping fonctionne en classifiant les ports du switch en deux catégories :

• Ports de confiance (trusted) : reliés au serveur DHCP légitime ou aux switchs de l'infrastructure ; ils peuvent relayer des réponses DHCP.
• Ports non fiables (untrusted) : connectés aux postes clients ; les réponses DHCP (OFFER, ACK) en provenance de ces ports sont automatiquement bloquées.

Les VLAN (Virtual Local Area Networks)

Quel est le rôle d'un VLAN ?

Un VLAN (Virtual Local Area Network) est un réseau logique créé au-dessus de l'infrastructure physique. Il permet de segmenter un réseau en plusieurs domaines de diffusion (broadcast domain) distincts, indépendamment de l'emplacement physique des équipements.

Les VLAN apportent plusieurs bénéfices en matière de sécurité et d'administration :

• Isolation du trafic : les équipements de VLAN différents ne peuvent pas communiquer directement entre eux sans passer par un routeur ou un pare-feu, limitant ainsi la propagation d'attaques internes.
• Réduction de la surface d'attaque : en séparant par exemple le réseau des serveurs, celui des postes utilisateurs et celui des équipements IoT dans des VLAN distincts.
• Souplesse d'administration : la topologie logique peut être modifiée par simple reconfiguration des switchs, sans intervention physique sur le câblage.
• Réduction des tempêtes de diffusion : chaque VLAN constitue un domaine de broadcast indépendant, limitant la portée des trames broadcast.

Zone DMZ

Qu'est-ce qu'une zone démilitarisée (DMZ) ?

En informatique, une zone démilitarisée (DMZ – Demilitarized Zone) est un sous-réseau isolé du réseau local interne (LAN) et d'Internet par un ou plusieurs pare-feux. Elle constitue une zone tampon entre le réseau interne de confiance et les réseaux non fiables (Internet).

La DMZ héberge les services accessibles depuis l'extérieur (serveur web, serveur de messagerie, serveur DNS public, etc.). Les flux en provenance d'Internet sont redirigés vers la DMZ par le pare-feu, qui bloque en revanche tout accès direct depuis la DMZ vers le réseau interne.

L'intérêt principal est la limitation des dégâts en cas de compromission : si un attaquant réussit à prendre le contrôle d'un serveur en DMZ, il n'a accès qu'aux machines de cette zone et non au réseau local interne où se trouvent les données sensibles.

Deux architectures courantes de DMZ existent :

• DMZ avec un seul pare-feu à trois interfaces : une interface vers Internet, une vers la DMZ, une vers le LAN.
• DMZ avec deux pare-feux : un premier pare-feu entre Internet et la DMZ, un second entre la DMZ et le LAN — architecture la plus sécurisée.

Conclusion

Nous venons de parcourir ensemble les principaux mécanismes permettant de sécuriser un réseau informatique. Du Spanning Tree Protocol, qui prévient les boucles en couche 2, aux ACL qui filtrent le trafic IP, en passant par la sécurisation des ports de switch, SSH, le DHCP Snooping, les VLAN et la zone DMZ — chacune de ces solutions répond à des menaces spécifiques et se complète avec les autres.

La sécurité réseau n'est pas une solution unique et définitive : c'est une approche en couches (defense in depth), où plusieurs mécanismes combinés réduisent considérablement la surface d'exposition aux attaques.

Ce tutoriel n'est qu'une introduction. Pour aller plus loin sur chacun de ces sujets, n'hésitez pas à consulter les tutoriels détaillés disponibles en bas de cette page, ainsi que les autres ressources du site.