Micro-segmentation : cloisonner pour limiter les dégâts

7 minutes de lecture

Sur un réseau où tout communique librement avec tout, une seule machine compromise ouvre la porte à l'ensemble du système. La micro-segmentation consiste à cloisonner ce réseau en petites zones étanches, pour que ça n'arrive plus.

01La situation en clair

Beaucoup de réseaux, en particulier dans les petites structures, fonctionnent sur un modèle "plat" : une fois connecté, un appareil peut, techniquement, dialoguer avec presque tous les autres. C'est pratique au quotidien, mais ça revient à construire un immeuble entier sans aucune porte intérieure : un incendie qui démarre dans une seule pièce se propage à tout l'étage.

La micro-segmentation applique la même logique de cloisonnement au réseau informatique : elle découpe le système en zones plus petites, avec des règles précises sur qui peut communiquer avec qui. Une machine compromise dans une zone ne peut alors plus se déplacer librement vers les autres.

02Pourquoi ça compte

Dans la majorité des attaques réussies, l'entrée initiale n'est que la première étape : c'est la capacité de l'attaquant à ensuite se propager dans le réseau qui transforme un incident mineur en crise majeure. Ralentir ou bloquer cette propagation, même après une intrusion réussie, donne aux équipes de sécurité un temps précieux pour détecter et réagir avant que l'essentiel ne soit compromis.

03Ce qu'il faut faire

1. 1

   Séparez au minimum les usages qui n'ont rien à voir entre eux

   Un premier niveau accessible à tous : séparez le réseau des invités et des objets connectés (imprimantes, caméras) du réseau où se trouvent les postes de travail et les données sensibles. C'est déjà une micro-segmentation, même sommaire.

2. 2

   Identifiez vos zones réellement critiques

   Les systèmes qui gèrent la paie, les données clients, ou une production industrielle méritent une zone à part, avec des règles de communication strictement définies : qui peut s'y connecter, avec quel protocole, à quel moment.

3. 3

   Documentez ce qui doit vraiment communiquer avec quoi

   Avant de poser des règles de cloisonnement, il faut savoir ce qui a réellement besoin de dialoguer entre applications et services. Sans cet inventaire, la segmentation risque soit d'être trop permissive (donc inutile), soit de casser des usages légitimes.

4. 4

   Avancez progressivement, en observant avant de bloquer

   Commencez par observer les communications réelles sur le réseau en mode surveillance seule, sans encore bloquer, pour vérifier que les règles envisagées ne coupent pas un usage légitime oublié. Passez ensuite en blocage effectif une fois les règles validées.