Dans la plupart des cyberattaques, l'entrée n'est que le début. L'attaquant compromet un poste — souvent via un email piégé — puis se déplace de machine en machine jusqu'aux serveurs, à l'annuaire Active Directory et aux sauvegardes. C'est ce qu'on appelle le mouvement latéral. Sur un réseau « à plat », où tout le monde peut joindre tout le monde, rien ne l'arrête.
La segmentation consiste à découper le réseau en zones et à contrôler strictement les échanges entre elles. Elle ne bloque pas l'intrusion initiale ; elle en limite radicalement les conséquences.
Ce que la segmentation change concrètement
Les zones à séparer en priorité
Il n'existe pas de découpage universel, mais la plupart des organisations gagnent à distinguer au minimum :
| Zone | Contenu | Principe de filtrage |
|---|---|---|
| Utilisateurs | Postes de travail, imprimantes | Accès aux seuls services nécessaires, jamais d'un poste à l'autre |
| Serveurs | Applications, bases de données, fichiers | Flux ouverts application par application |
| Administration | Consoles, hyperviseurs, équipements réseau | Accessible uniquement depuis des postes d'administration dédiés |
| Sauvegarde | Serveurs et dépôts de sauvegarde | Isolée, flux entrants minimaux |
| DMZ | Services exposés sur Internet | Aucun accès direct vers le réseau interne |
| Invités & objets connectés | Wi-Fi visiteurs, caméras, badgeuses | Accès Internet uniquement, séparés de tout le reste |
Les principes d'une segmentation efficace
- Refus par défaut : tout flux non explicitement autorisé entre deux zones est bloqué.
- Règles au plus juste : source, destination et port précis, plutôt que « any ».
- Filtrage applicatif : les pare-feux nouvelle génération, comme ceux de Palo Alto Networks ou Fortinet, identifient l'application réelle et l'utilisateur, pas seulement le port.
- Journalisation : les flux refusés entre zones sont une source précieuse de détection, à envoyer vers votre SIEM.
- Protocoles d'administration protégés : RDP, SSH et SMB ne doivent jamais circuler librement depuis la zone utilisateurs.
Segmenter un réseau existant, sans tout casser
La crainte la plus fréquente : « si je filtre, je vais bloquer une application que personne n'a documentée ». Elle est légitime, d'où une démarche progressive :
Cartographier les flux réels
Observer pendant quelques semaines qui parle à qui, sur quels ports. C'est souvent révélateur : anciens serveurs oubliés, accès inattendus, services exposés sans raison.
Commencer par les zones à fort enjeu
Isoler d'abord la sauvegarde et l'administration : c'est là qu'un attaquant fait le plus de dégâts, et ce sont les zones aux flux les plus simples à définir.
Passer par une phase d'observation
Créer les règles en mode journalisation, analyser ce qui aurait été bloqué, ajuster, puis activer le blocage.
Étendre zone par zone
Serveurs, puis utilisateurs, puis invités et objets connectés, avec une fenêtre de retour arrière prévue à chaque étape.
Maintenir dans le temps
Chaque nouvelle application entraîne une demande de flux documentée. Revoir les règles au moins une fois par an pour supprimer celles devenues inutiles.
En résumé
- La segmentation limite le mouvement latéral qui transforme un incident en crise.
- Séparez au minimum utilisateurs, serveurs, administration, sauvegarde, DMZ et invités.
- Filtrez entre les zones avec un refus par défaut et des règles au plus juste.
- Sur l'existant, cartographiez, observez, puis bloquez progressivement.
Besoin d'un regard expert sur votre situation ?
Nos ingénieurs évaluent votre environnement et vous proposent un plan d'action concret, avec une preuve de concept gratuite et sans engagement.
Intégrateur cybersécurité et infrastructures IT à Dakar, partenaire ManageEngine, Palo Alto Networks, Cloudflare et Veeam. Nos articles s'appuient sur ce que nous observons chaque jour sur le terrain, chez nos clients publics et privés.