Segmentation du réseau
Défense stratégique pour les réseaux d'entreprise belges
Construire des architectures de réseau résilientes en Belgique
paysage de la cybersécurité
L'environnement belge de la cybersécurité démontre les conséquences dévastatrices d'une segmentation inadéquate du réseau.
Principes de base
Comprendre les principes de base de la segmentation du réseau
Définition de la segmentation du réseau
La segmentation des réseaux consiste à diviser les réseaux informatiques en plusieurs réseaux ou segments plus petits, chacun fonctionnant comme une zone de réseau isolée avec une communication contrôlée entre les segments. La segmentation crée des frontières de sécurité qui empêchent les mouvements latéraux illimités entre les réseaux. Le trafic entre les segments passe par des contrôles de sécurité appliquant des politiques déterminant les communications autorisées. La segmentation peut être mise en œuvre physiquement par le biais d'un matériel de réseau séparé ou logiquement en utilisant des VLAN, des réseaux définis par logiciel ou des technologies de virtualisation. Les organisations belges doivent comprendre qu'une segmentation efficace nécessite à la fois une mise en œuvre technique et une application continue des politiques.
Avantages de la segmentation en matière de sécurité
Une segmentation adéquate du réseau offre de multiples avantages cruciaux en matière de sécurité. Le confinement des mouvements latéraux empêche les attaquants de naviguer librement dans les réseaux après la compromission initiale, ce qui limite l'étendue de la brèche à des segments individuels. La réduction de la surface d'attaque minimise les systèmes et services exposés, visibles par les attaquants potentiels. La limitation du rayon d'action limite la propagation des ransomwares et des logiciels malveillants, empêchant ainsi le chiffrement à l'échelle de l'entreprise. La protection des accès privilégiés isole les systèmes administratifs des réseaux d'utilisateurs généraux. L'isolation des données sensibles sépare les systèmes traitant des données personnelles ou des informations confidentielles. L'établissement de limites de conformité crée des zones de sécurité documentées répondant aux exigences réglementaires. Pour les entreprises belges, la segmentation transforme une simple compromission en une catastrophe organisationnelle en un incident circonscrit.
Moteurs réglementaires de la segmentation
Les cadres réglementaires belges exigent de plus en plus une segmentation du réseau. Le NIS2 exige des mesures de sécurité réseau appropriées pour les entités essentielles et importantes, y compris la segmentation du réseau le cas échéant. Les exigences de sécurité du GDPR impliquent des contrôles de réseau protégeant les données personnelles d'un accès non autorisé. La gestion de la sécurité de l'information selon la norme ISO 27001 comprend des exigences en matière de contrôle d'accès au réseau et de ségrégation. La norme PCI DSS impose explicitement la segmentation du réseau afin d'isoler les environnements de données des titulaires de cartes. Les institutions financières belges doivent répondre aux attentes de la Banque nationale de Belgique en matière de sécurité des réseaux. Les organisations doivent mettre en œuvre une segmentation qui réponde simultanément à plusieurs exigences réglementaires.
Segmentation et micro-segmentation
La segmentation traditionnelle crée des zones de réseau relativement grandes, tandis que la micro-segmentation met en œuvre une granularité beaucoup plus fine. Les approches traditionnelles segmentent les réseaux par fonction, emplacement ou département, créant ainsi des zones comprenant des dizaines ou des centaines de systèmes. La micro-segmentation met en œuvre des modèles de segment d'un seul où les charges de travail ou les applications individuelles reçoivent des contextes réseau isolés. Les réseaux définis par logiciel et les technologies de virtualisation permettent une micro-segmentation à grande échelle. Les entreprises belges doivent comprendre les différences dans le choix de la granularité appropriée en équilibrant les avantages en matière de sécurité avec la complexité de la mise en œuvre et les frais généraux opérationnels.
Méthodologies
Stratégies et modèles de segmentation des réseaux
Segmentation par zone
L'approche traditionnelle divise les réseaux en zones de sécurité basées sur des niveaux de confiance et des fonctions. Les zones courantes comprennent les zones démilitarisées (DMZ) hébergeant des services orientés vers l'internet avec un accès restreint aux réseaux internes, les réseaux d'utilisateurs internes pour les postes de travail des employés et les applications standard, les réseaux de serveurs isolant les serveurs de production des appareils des utilisateurs, les réseaux de bases de données protégeant les référentiels de données sensibles, les réseaux administratifs pour la gestion informatique et l'accès privilégié, les réseaux d'invités fournissant un accès internet isolé aux visiteurs, et les réseaux IoT isolant les appareils de l'internet des objets. Les entreprises belges devraient concevoir des architectures de zone correspondant aux structures organisationnelles et aux profils de risque.
Segmentation basée sur l'environnement
La séparation des environnements de production, de développement, de test et d'assurance qualité permet d'éviter les contaminations croisées. La segmentation de la production protège les systèmes opérationnels des activités de développement, l'isolation des tests permet de tester la sécurité sans risquer la production, la séparation du développement empêche le code expérimental d'affecter les systèmes opérationnels, et la séparation de la reprise après sinistre maintient une infrastructure de sauvegarde isolée. Les organisations belges qui développent ou exploitent des applications bénéficient d'une segmentation basée sur l'environnement qui empêche les incidents dans les environnements de non-production d'affecter les opérations commerciales.
Classification des données Segmentation
L'organisation des réseaux en fonction de la sensibilité des données aligne les contrôles techniques sur la classification des informations. La segmentation crée des zones distinctes pour les informations publiques largement accessibles, les données internes accessibles aux employés, les informations commerciales confidentielles à accès restreint, les données personnelles réglementées sous la protection du GDPR, et la propriété intellectuelle ou les secrets commerciaux hautement sensibles. Les entreprises belges qui traitent divers types de données devraient mettre en œuvre une segmentation basée sur la classification, en veillant à ce que la protection s'aligne sur la sensibilité.
Segmentation des rôles des utilisateurs
La séparation des réseaux en fonction des rôles des utilisateurs et des exigences d'accès met en œuvre les principes du moindre privilège. La segmentation basée sur les rôles crée des segments distincts pour les employés standard ayant des besoins d'accès typiques, les cadres et les cibles de grande valeur nécessitant une protection renforcée, les sous-traitants et les travailleurs temporaires ayant un accès limité, les fournisseurs tiers accédant à des systèmes spécifiques et les administrateurs privilégiés effectuant la gestion informatique. Les entreprises belges ayant des populations d'utilisateurs diverses bénéficient d'une segmentation basée sur les rôles qui contrôle l'accès approprié aux fonctions.
Segmentation géographique
Les organisations dont les activités sont réparties segmentent les réseaux en fonction de l'emplacement physique. Les approches géographiques séparent les différents bureaux, isolent les opérations régionales, segmentent les réseaux spécifiques à chaque pays en fonction de la résidence des données et contrôlent la communication entre les sites. Les multinationales belges opérant à travers l'Europe bénéficient de la segmentation géographique pour gérer l'infrastructure distribuée.
Segmentation en fonction de la conformité
Les exigences réglementaires imposent souvent une segmentation spécifique. La segmentation de la conformité comprend les environnements de l'industrie des cartes de paiement isolés selon les exigences PCI DSS, les réseaux de soins de santé séparant les systèmes de données des patients, les réseaux de traitement des transactions financières, la technologie opérationnelle de l'infrastructure critique isolée des réseaux informatiques, et les environnements de traitement des données personnelles selon le GDPR. Les entités réglementées belges devraient mettre en œuvre une segmentation satisfaisant aux obligations de conformité spécifiques au secteur.
Organisations belges
Mise en œuvre de la segmentation du réseau dans les organisations belges
Évaluation et inventaire du réseau
La mise en œuvre commence par une compréhension approfondie de l'architecture actuelle du réseau. Les organisations belges devraient cartographier la topologie et les connexions du réseau existant, inventorier tous les appareils, systèmes et applications en réseau, identifier les flux de données entre les systèmes en documentant les exigences de communication, classer les systèmes en fonction de leur criticité et de leur sensibilité, évaluer les contrôles de sécurité et la segmentation actuels, et documenter les processus d'entreprise qui dépendent de la connectivité du réseau. Une évaluation approfondie constitue la base de la conception de la segmentation.
Définir la stratégie de segmentation
Des stratégies claires guident les décisions de mise en œuvre. L'élaboration d'une stratégie devrait permettre d'établir des objectifs de segmentation alignés sur les objectifs commerciaux et de sécurité, de déterminer la granularité appropriée de la segmentation, d'identifier les zones de sécurité et les limites des segments, de définir des politiques de flux de trafic entre les segments, d'établir des processus d'exception et d'approbation, et de planifier une approche de migration minimisant les perturbations. Les entreprises belges devraient documenter les stratégies approuvées par les organes de gouvernance de la sécurité.
Architecture de segmentation de la conception
La conception technique traduit la stratégie en plans de mise en œuvre. La conception de l'architecture comprend la création de diagrammes de zones de réseau montrant les segments et les limites, la définition de pare-feu et d'ensembles de règles ACL contrôlant le trafic entre les segments, la détermination de structures VLAN mettant en œuvre la segmentation logique, la planification de schémas d'adressage IP supportant la segmentation, la conception de la redondance et de la haute disponibilité, et la documentation des points d'application de la politique de sécurité. Les entreprises belges devraient faire appel à des architectes de réseau pour s'assurer que les conceptions répondent à la fois aux exigences de sécurité et aux exigences opérationnelles.
Sélectionner les technologies de segmentation
Diverses technologies permettent la mise en œuvre de la segmentation. Les options incluent les pare-feux traditionnels créant des frontières physiques entre les segments, les pare-feux de nouvelle génération avec la connaissance des applications et la prévention des menaces, les réseaux locaux virtuels (VLAN) mettant en œuvre une séparation logique du réseau, les réseaux définis par logiciel (SDN) permettant une segmentation dynamique, le contrôle d'accès au réseau (NAC) renforçant l'authentification et la posture des appareils, et les plateformes de micro-segmentation pour l'isolation granulaire de la charge de travail. Les organisations belges devraient sélectionner des technologies correspondant aux exigences de l'architecture et à l'infrastructure existante.
Mise en œuvre d'un déploiement progressif
La mise en œuvre progressive permet de gérer les risques et la complexité. Les phases de déploiement devraient commencer par des segments pilotes testant les conceptions et les procédures, segmenter d'abord les systèmes les plus risqués ou les plus précieux, étendre progressivement la segmentation à l'ensemble de l'infrastructure, mettre en œuvre des périodes de contrôle et d'ajustement, et documenter les enseignements tirés afin d'améliorer les phases ultérieures. Les entreprises belges devraient éviter les approches "big-bang" et privilégier une mise en œuvre contrôlée et progressive permettant des améliorations.
Configurer les politiques et les règles de sécurité
L'efficacité de la segmentation dépend de politiques inter-segments correctement configurées. La configuration des politiques devrait mettre en œuvre des approches de refus par défaut permettant uniquement le trafic nécessaire, définir des règles explicites pour les chemins de communication requis, établir une journalisation des violations des politiques et du trafic suspect, configurer la prévention des intrusions aux frontières des segments et mettre en œuvre des révisions régulières des politiques afin de s'assurer qu'elles sont toujours appropriées. Les entreprises belges devraient considérer les politiques de sécurité comme un composant de segmentation critique nécessitant une conception et une maintenance soignées.
Contrôler et maintenir la segmentation
La gestion continue permet de maintenir l'efficacité de la segmentation au fil du temps. La maintenance comprend la surveillance du trafic inter-segments pour détecter les anomalies, l'examen et la mise à jour régulière des politiques de segmentation, la gestion des changements de réseau pour maintenir l'intégrité de la segmentation, l'audit des configurations de segments pour garantir la conformité et le suivi des mesures démontrant la valeur de la segmentation. La surveillance continue empêche la dégradation de la segmentation au fur et à mesure de l'évolution des réseaux.
Gouvernance
Approches de segmentation avancées
Architecture de réseau à confiance zéro
La confiance zéro suppose une violation et vérifie chaque demande d'accès indépendamment de l'emplacement du réseau. La segmentation zéro confiance met en œuvre une authentification et une autorisation continues, applique l'accès au moindre privilège pour chaque connexion, inspecte et enregistre tout le trafic entre les segments, élimine la confiance implicite basée sur l'emplacement du réseau et s'intègre à la gestion des identités et des appareils. Les entreprises belges qui recherchent la confiance zéro devraient positionner la segmentation comme une technologie habilitante fondamentale.
Périmètre défini par logiciel
Le SDP crée des périmètres dynamiques autour de ressources individuelles plutôt que de segments de réseau. Les approches SDP dissimulent l'infrastructure aux utilisateurs non autorisés en rendant les systèmes invisibles, en authentifiant et en autorisant avant la connectivité au réseau, en créant des connexions chiffrées individuelles entre les utilisateurs et les ressources et en permettant un contrôle d'accès granulaire au niveau de l'application. Les organisations belges avec des utilisateurs distribués et des ressources en nuage bénéficient du SDP en complément de la segmentation traditionnelle.
Microsegmentation pour les charges de travail en nuage
Les environnements en nuage nécessitent des approches de segmentation adaptées. La microsegmentation dans le nuage met en œuvre une isolation au niveau de la charge de travail pour les machines virtuelles et les conteneurs, utilise des groupes de sécurité et des politiques de réseau, s'intègre avec des services de sécurité natifs du nuage, permet une segmentation dynamique s'adaptant aux changements d'infrastructure et fournit une sécurité cohérente dans les environnements multi-cloud. Les entreprises belges qui adoptent le cloud de manière significative devraient mettre en œuvre une segmentation adaptée au cloud.
Segmentation des technologies opérationnelles
Les systèmes de contrôle industriel et la technologie opérationnelle exigent une segmentation spécialisée. La segmentation OT crée des connexions aériennes ou très restreintes entre les réseaux IT et OT, segmente sur la base des zones hiérarchiques du modèle Purdue, met en œuvre des passerelles unidirectionnelles pour l'infrastructure critique, contrôle l'accès à distance des fournisseurs aux systèmes OT et surveille les réseaux OT pour détecter les trafics anormaux. Les opérateurs d'infrastructures critiques, les fabricants et les services publics belges ont besoin d'approches de segmentation spécifiques aux technologies de l'information et de la communication.
Segmentation en fonction des applications
Les pare-feu de nouvelle génération permettent une segmentation basée sur les applications plutôt que sur les adresses IP et les ports. Les approches axées sur les applications identifient et contrôlent des applications spécifiques indépendamment des ports, mettent en œuvre des politiques basées sur les utilisateurs et les groupes, appliquent la sécurité en fonction des catégories d'applications, inspectent le trafic crypté à la recherche de menaces et adaptent les politiques en fonction du comportement des applications. Les entreprises belges bénéficient d'un contexte d'application qui améliore l'efficacité de la segmentation.
Secteurs
Segmentation pour des secteurs belges spécifiques
Segmentation des services financiers
Les institutions financières belges mettent en œuvre une segmentation rigoureuse. Les approches du secteur financier séparent le traitement des paiements des autres opérations, isolent les systèmes de négociation et les données de marché, segmentent les plateformes bancaires numériques orientées vers le client, protègent les données financières et les systèmes de transaction, et mettent en œuvre des environnements de détenteurs de cartes conformes à la norme PCI DSS. La Banque nationale de Belgique s'attend à ce que des contrôles de réseau appropriés protègent l'infrastructure financière.
Segmentation des réseaux de santé
Les prestataires de soins de santé belges protègent les données des patients et les systèmes cliniques. La segmentation des soins de santé sépare les systèmes de dossiers médicaux électroniques, isole les dispositifs médicaux et l'équipement clinique, protège l'informatique des soins de santé des réseaux cliniques, segmente les systèmes administratifs et assure la continuité des activités pour les systèmes critiques de soins aux patients. Les considérations relatives à la sécurité des patients influencent la segmentation des soins de santé en donnant la priorité à la disponibilité et à la sécurité.
Segmentation manufacturière et industrielle
Les fabricants belges segmentent les réseaux opérationnels et les réseaux d'entreprise. Les approches de fabrication séparent les systèmes de contrôle de la production des réseaux d'entreprise, isolent les systèmes de contrôle industriel critiques pour la sécurité, segmentent par lignes de production ou installations, contrôlent l'accès des fournisseurs à la technologie opérationnelle et protègent la propriété intellectuelle dans les systèmes de conception. La segmentation de la production permet d'équilibrer les exigences en matière de sécurité et de fiabilité de la production.
Secteur public et gouvernement
Les entités gouvernementales belges mettent en œuvre la segmentation pour assurer la protection des données et la continuité des services. La segmentation gouvernementale sépare les services destinés aux citoyens, isole les données gouvernementales classifiées ou sensibles, segmente par agence ou département, protège les infrastructures critiques et se coordonne avec les exigences nationales en matière de cybersécurité. La segmentation de l'administration publique doit répondre aux exigences de transparence tout en protégeant les opérations sensibles.
Segmentation
Surmonter les défis de la segmentation
Compatibilité avec les applications existantes
Les anciennes applications conçues pour des réseaux plats peuvent échouer lorsqu'elles sont segmentées. Les solutions consistent à documenter les dépendances des applications grâce à la surveillance du réseau, à créer des politiques de segmentation spécifiques aux applications, à mettre en œuvre des proxys d'application permettant la segmentation, à planifier la modernisation des applications en tenant compte des hypothèses de réseau, et à accepter des risques calculés pour les systèmes hérités non supportables. Les entreprises belges devraient inventorier les applications patrimoniales dès le début de la planification de la segmentation.
Complexité opérationnelle
La segmentation augmente la complexité de la gestion du réseau. L'atténuation de la complexité comprend la mise en œuvre d'une automatisation du réseau réduisant la configuration manuelle, le déploiement de plates-formes centralisées de gestion des politiques, l'établissement de procédures opérationnelles claires, la formation des équipes réseau aux architectures segmentées et la documentation complète de la segmentation. Les organisations belges devraient investir dans l'automatisation et la documentation pour gérer la complexité.
Problèmes de performance et de latence
Les points d'application de la segmentation peuvent introduire des temps de latence. L'optimisation des performances passe par le choix de technologies de segmentation performantes, la mise en œuvre d'une accélération matérielle lorsqu'elle est disponible, l'optimisation des jeux de règles de pare-feu, la surveillance continue des performances du réseau et la planification de la capacité pour les frais généraux de segmentation. Les entreprises belges dont les applications sont sensibles aux performances devraient valider les performances acceptables lors des tests.
Résistance des entreprises
La segmentation peut se heurter au refus des parties prenantes de l'entreprise. Les stratégies de gestion du changement comprennent la communication des avantages en matière de sécurité et de réduction des risques, la démonstration de la valeur de la conformité réglementaire, l'implication des parties prenantes de l'entreprise dans la planification de la segmentation, le pilotage avec les unités d'entreprise qui la soutiennent et l'obtention du soutien de la direction. Les entreprises belges devraient concevoir la segmentation comme un outil commercial protégeant les opérations plutôt que comme un obstacle.
Efficacité
Mesurer l'efficacité de la segmentation
Métriques de segmentation
Les indicateurs clés comprennent le pourcentage du réseau segmenté par rapport au réseau plat, le nombre de zones de sécurité mises en œuvre, le volume et les modèles de trafic entre les segments, les violations de la politique de segmentation détectées, les tentatives de mouvement latéral bloquées et l'efficacité de l'endiguement des incidents. Les organisations belges devraient suivre les mesures montrant la couverture de la segmentation et l'impact sur la sécurité.
Test et validation de la sécurité
Une validation régulière permet de s'assurer que la segmentation reste efficace. Les tests comprennent des tests de pénétration tentant des mouvements latéraux, des exercices d'équipe rouge simulant des attaques avancées, des audits de conformité vérifiant les exigences réglementaires, une analyse automatisée des politiques identifiant les conflits ou les lacunes, et des exercices de reprise après sinistre testant la résilience de la segmentation. Les tests périodiques permettent d'identifier les faiblesses de la segmentation qui doivent être corrigées.
Analyse de l'impact des incidents
La mesure de l'endiguement des brèches démontre le retour sur investissement de la segmentation. L'analyse compare la portée des incidents dans les réseaux segmentés et non segmentés, suit la propagation des ransomwares, évalue l'efficacité de la limitation des violations de données et calcule les coûts évités grâce à la réduction de l'impact. Les entreprises belges devraient documenter la manière dont la segmentation limite les dommages causés par les incidents.