Actualités · Cybersécurité

Pourquoi segmenter les appareils intelligents du réseau d’entreprise?

Téléviseurs intelligents, caméras, imprimantes, téléphones IP et autres objets connectés peuvent augmenter la surface d’attaque d’une entreprise. Découvrez pourquoi la segmentation réseau et les VLAN permettent de mieux isoler ces appareils et de limiter les mouvements latéraux.

Publié le 11 septembre 20267 min de lecturePar SIP Informatique

https://dev.sipinformatique.ca/actualites/segmenter-appareils-intelligents-reseau-entreprise

Les téléviseurs intelligents, caméras IP, imprimantes, systèmes d’affichage, téléphones, appareils de visioconférence et autres objets connectés sont maintenant courants dans les entreprises.

Le problème, c’est qu’ils sont souvent connectés sur le même réseau que les ordinateurs, serveurs et données critiques de l’entreprise.

En cybersécurité, cette configuration peut représenter un risque important.

La solution : segmenter le réseau afin d’isoler les appareils intelligents et limiter ce qu’ils peuvent atteindre.

Un appareil ne devrait pouvoir communiquer qu’avec les ressources dont il a réellement besoin.

Qu’est-ce que la segmentation réseau?

La segmentation réseau consiste à diviser une infrastructure informatique en plusieurs réseaux logiques distincts.

Dans une PME, on peut par exemple séparer :

• les ordinateurs des employés;
• les serveurs et NAS;
• les appareils IoT;
• les caméras;
• la téléphonie IP;
• les visiteurs;
• les appareils personnels.

Ces réseaux peuvent fonctionner sur les mêmes équipements physiques grâce aux VLAN, tout en étant isolés les uns des autres par le pare-feu.

L’objectif est simple :

un appareil ne devrait avoir accès qu’aux ressources dont il a réellement besoin.

Pourquoi les appareils intelligents représentent-ils un risque?

Un appareil connecté est, dans les faits, un petit ordinateur.

Une télévision intelligente peut notamment intégrer :

• un système d’exploitation;
• du Wi-Fi;
• du Bluetooth;
• des applications;
• des services infonuagiques;
• des mécanismes de télémétrie;
• des fonctions de partage d’écran;
• parfois un microphone ou une caméra.

Il en va de même pour plusieurs caméras, imprimantes et équipements de conférence.

Ces appareils peuvent contenir des vulnérabilités, recevoir moins fréquemment des mises à jour ou communiquer avec des services externes sans que l’utilisateur en soit toujours conscient.

Cela ne veut pas dire qu’ils sont dangereux par défaut.

Mais en matière de sécurité informatique, ils doivent être considérés comme une surface d’attaque supplémentaire.

Le danger d’un réseau non segmenté

Dans beaucoup de petites entreprises, tous les équipements se trouvent encore sur le même sous-réseau.

Par exemple :

`192.168.1.0/24`

On y retrouve alors :

• les postes Windows;
• le serveur;
• le NAS;
• les imprimantes;
• les caméras;
• les téléviseurs;
• les téléphones;
• les appareils personnels.

C’est ce qu’on appelle souvent un réseau plat.

Cette architecture est simple, mais elle offre également beaucoup plus de possibilités à un appareil compromis.

Si une caméra ou une télévision intelligente est exploitée par un attaquant, celui-ci peut potentiellement tenter de découvrir les autres équipements présents sur le réseau.

Limiter les mouvements latéraux

Lorsqu’un attaquant compromet un appareil, son objectif suivant est souvent de trouver d’autres systèmes accessibles.

Il peut essayer de :

• scanner le réseau;
• identifier les ordinateurs et serveurs;
• rechercher des ports ouverts;
• détecter des services vulnérables;
• exploiter une autre machine;
• progresser vers les données importantes.

Cette progression est appelée mouvement latéral.

La segmentation permet de limiter considérablement ce risque.

Exemple concret : une télévision de salle de conférence

Prenons une télévision intelligente utilisée dans une salle de réunion.

Elle a besoin d’Internet pour :

• recevoir ses mises à jour;
• utiliser certaines applications;
• permettre le partage d’écran;
• fonctionner avec Chromecast, AirPlay ou d’autres technologies.

Mais elle n’a normalement aucune raison d’avoir accès :

• au serveur comptable;
• au NAS;
• aux dossiers partagés;
• aux postes des employés;
• aux systèmes administratifs.

Une bonne architecture consiste donc à placer la télévision dans un réseau IoT dédié.

Par exemple :

VLAN 10 — Employés

`192.168.10.0/24`

VLAN 20 — Serveurs

`192.168.20.0/24`

VLAN 30 — IoT

`192.168.30.0/24`

VLAN 40 — Invités

`192.168.40.0/24`

Le pare-feu peut ensuite appliquer des règles comme :

La télévision continue donc de fonctionner normalement, mais elle est beaucoup moins susceptible de devenir un point d’entrée vers l’entreprise.

Les VLAN : une technologie simple mais très efficace

Un VLAN, ou Virtual Local Area Network, permet de créer plusieurs réseaux indépendants sur la même infrastructure.

Il n’est donc pas nécessaire d’installer plusieurs routeurs ou plusieurs ensembles de commutateurs.

Un seul environnement réseau professionnel peut transporter plusieurs VLAN.

Le pare-feu décide ensuite précisément quelles communications sont autorisées entre ces réseaux.

Le principe du moindre privilège appliqué au réseau

On parle souvent du principe du moindre privilège pour les comptes utilisateurs.

Un employé ne devrait avoir accès qu’aux fichiers nécessaires à son travail.

Le même principe devrait s’appliquer au réseau.

Une caméra doit communiquer avec son serveur d’enregistrement?

On autorise uniquement cette communication.

Une imprimante doit être utilisée par les employés?

On autorise uniquement les protocoles nécessaires.

Une télévision a seulement besoin d’Internet?

Elle reste isolée du reste du réseau.

Tout ce qui n’est pas nécessaire peut être bloqué.

Quels appareils devrait-on segmenter?

Dans une entreprise, plusieurs catégories d’équipements devraient être évaluées.

Appareils IoT

• télévisions intelligentes;
• systèmes d’affichage;
• assistants intelligents;
• équipements domotiques;
• appareils connectés divers.

Sécurité physique

• caméras IP;
• systèmes d’alarme;
• contrôle d’accès;
• interphones.

Infrastructure

• imprimantes;
• appareils de conférence;
• téléphones IP;
• appareils de fournisseurs externes.

Appareils personnels

• téléphones des employés;
• tablettes personnelles;
• ordinateurs non gérés;
• appareils des visiteurs.

Ces appareils ne devraient pas nécessairement être placés tous dans le même VLAN. L’architecture doit être adaptée aux besoins réels de l’entreprise.

Pourquoi le Wi-Fi invité doit aussi être isolé

Le réseau Wi-Fi invité constitue l’une des segmentations les plus importantes.

Un visiteur connecté à Internet ne devrait pas pouvoir détecter :

• les ordinateurs;
• les serveurs;
• les imprimantes;
• les caméras;
• le NAS.

Une configuration appropriée devrait généralement permettre :

Cette séparation protège l’entreprise contre les appareils qui ne sont pas sous son contrôle.

La segmentation améliore aussi la gestion du réseau

La segmentation ne sert pas seulement à bloquer les attaques.

Elle améliore aussi considérablement la visibilité de l’infrastructure.

Par exemple, avec un VLAN réservé aux appareils IoT, il devient plus facile de voir :

• les appareils présents;
• les nouvelles connexions;
• leur consommation réseau;
• les communications inhabituelles;
• les équipements qui tentent de joindre des services externes.

Cela facilite la surveillance et le dépannage.

La segmentation ne remplace pas les autres mesures de sécurité

La segmentation réseau constitue une couche importante de protection, mais elle doit faire partie d’une stratégie plus large.

Une entreprise devrait également considérer :

• un pare-feu professionnel;
• la protection EDR;
• l’authentification multifacteur;
• les mises à jour de sécurité;
• les sauvegardes;
• les politiques de mots de passe;
• la surveillance;
• la journalisation;
• la sensibilisation des employés.

La cybersécurité efficace repose sur plusieurs couches complémentaires.

Quelle architecture pour une PME?

Pour une petite ou moyenne entreprise, une base intéressante peut être :

Dans certains environnements, il peut également être pertinent de créer un VLAN séparé pour les caméras et systèmes de sécurité.

Une petite configuration qui peut éviter un gros incident

La segmentation réseau n’est pas réservée aux grandes entreprises.

Les équipements modernes permettent maintenant de déployer des VLAN et des politiques de pare-feu efficaces dans des environnements de toutes tailles.

Une bonne règle à retenir est la suivante :

Si un appareil n’a aucune raison de communiquer avec une ressource, cette communication devrait être bloquée.

Une télévision n’a pas besoin d’accéder à votre serveur comptable.

Une caméra n’a pas besoin de communiquer avec les postes des employés.

Un visiteur n’a pas besoin de voir votre NAS.

Et un appareil compromis ne devrait jamais avoir accès à toute votre infrastructure.

Faites vérifier la sécurité de votre réseau

Une infrastructure qui fonctionne n’est pas nécessairement une infrastructure bien sécurisée.

SIP Informatique peut analyser votre environnement et vérifier notamment :

• la segmentation réseau;
• la configuration des VLAN;
• les réseaux IoT;
• le Wi-Fi invité;
• les règles du pare-feu;
• l’isolation des caméras;
• les équipements intelligents;
• les communications entre les différents réseaux;
• la configuration générale de votre infrastructure.

Une architecture bien segmentée permet de réduire la surface d’attaque, limiter les mouvements latéraux et mieux protéger les données de votre entreprise.

Votre réseau est-il réellement segmenté?

Communiquez avec SIP Informatique pour obtenir une évaluation de votre infrastructure et identifier les améliorations possibles.