1 poste compromis, 4 h 11 pour atteindre le serveur de paie — les 7 étapes de segmentation que j’applique depuis

L’exercice s’est terminé plus vite que prévu. Nous avions un poste de travail compromis, simulant un employé qui a ouvert une pièce jointe, et pour consigne d’atteindre les données de paie. Il a fallu quatre heures et onze minutes, dont l’essentiel passé à attendre.

Le réseau de cette PME de 90 personnes n’avait pas de faille spectaculaire. Il avait la structure que nous voyons dans la majorité des entreprises de cette taille : un seul réseau plat, où le poste du service commercial, l’imprimante multifonction, la caméra de vidéosurveillance et le serveur de gestion se joignent tous librement.

La segmentation est la mesure qui aurait transformé ces quatre heures en un échec de l’attaquant. Elle n’est ni chère ni longue à mettre en place, et elle est systématiquement reportée parce qu’elle passe pour un chantier d’infrastructure lourd. Voici la méthode que nous appliquons, en sept étapes, calibrée pour une PME de 20 à 250 personnes. Comptez huit à quinze jours calendaires, dont trois à cinq jours-homme de travail effectif.

Étape 1 — Cartographier les flux réels, pas ceux du schéma

Le schéma réseau accroché dans le local technique décrit l’intention. Vous avez besoin de la réalité, et elle diffère toujours.

Activez la journalisation des flux sur votre pare-feu et vos commutateurs pendant quatorze jours pleins, en incluant un week-end et un début de mois. Le week-end révèle les tâches automatiques, le début de mois révèle les traitements comptables — deux catégories de flux qu’un relevé sur cinq jours ouvrés manque complètement.

Ce que vous cherchez n’est pas la liste exhaustive : c’est la réponse à trois questions. Quels postes parlent à quels serveurs ? Quels équipements parlent vers Internet alors que personne ne le sait ? Et quels flux traversent l’entreprise entière sans raison métier ?

Sur notre exemple, ce relevé a mis au jour un logiciel de gestion de production qui interrogeait la base de comptabilité toutes les nuits, une liaison que personne dans l’entreprise ne savait décrire. Elle datait d’une migration de 2019.

Étape 2 — Regrouper par sensibilité, pas par service

L’erreur la plus fréquente consiste à créer un segment par service : commercial, comptabilité, production, direction. C’est intuitif, cela ressemble à l’organigramme, et cela ne protège presque rien — parce que les données sensibles ne suivent pas l’organigramme.

Regroupez par conséquence en cas de compromission. Quatre groupes suffisent dans la très grande majorité des PME :

Postes utilisateurs. Nombreux, exposés au courriel et au web, statistiquement le point d’entrée. À traiter comme hostiles par défaut.

Serveurs métier. Gestion, comptabilité, fichiers, messagerie interne. Ce que l’attaquant veut atteindre.

Équipements non administrables. Imprimantes, caméras, contrôle d’accès, sondes de température, automates. Rarement mis à jour, souvent avec des mots de passe d’usine, et presque jamais surveillés.

Administration. Les interfaces de gestion de vos équipements et hyperviseurs. Le segment le plus petit et le plus critique.

Cette classification tient sur une page. Si la vôtre en fait trois, vous avez reproduit l’organigramme.

Étape 3 — Écrire la matrice avant de toucher au moindre équipement

Un tableau à double entrée : les segments en lignes, les segments en colonnes, et dans chaque case ce qui est autorisé. La règle de remplissage est refuser par défaut : une case vide signifie bloqué.

Trois principes rendent cette matrice défendable. Un flux autorisé doit nommer un port et un protocole, jamais « tout le trafic ». Un flux autorisé doit avoir un demandeur identifié — quand il faudra le supprimer dans deux ans, vous saurez à qui poser la question. Et les équipements non administrables ne sortent pas sur Internet, sauf exception écrite et datée.

Cette dernière règle est celle qui surprend le plus les dirigeants et celle qui rapporte le plus. Votre imprimante n’a pas besoin d’Internet. Votre caméra non plus, sauf si vous avez choisi un service de visualisation à distance — auquel cas c’est une décision, pas un état de fait.

Faites valider la matrice par la direction. Pas pour la forme : parce que les arbitrages qu’elle contient sont des décisions d’exploitation, et parce que vous aurez besoin de ce document le jour où quelqu’un demandera d’ouvrir un flux en urgence.

Étape 4 — Isoler d’abord le segment d’administration

Si vous ne devez faire qu’une seule chose, faites celle-ci. Elle représente environ 15 % de l’effort total et supprime la majorité du risque de propagation.

Les interfaces d’administration de vos pare-feux, commutateurs, hyperviseurs et baies de stockage doivent être joignables depuis un poste dédié et rien d’autre. Pas depuis le poste de l’administrateur, celui sur lequel il lit aussi ses courriels. Depuis un poste ou une machine virtuelle réservée à cet usage.

La raison est mécanique. Un attaquant qui compromet le poste d’un administrateur hérite de sa session et de ses accès. Si ce poste ne peut techniquement pas joindre l’interface d’administration de l’hyperviseur, la compromission d’un poste reste la compromission d’un poste.

Cette étape prend une demi-journée si vous avez déjà l’équipement, et elle est réversible. C’est le meilleur rapport effort-protection de toute la démarche.

Étape 5 — Basculer un segment à la fois, en commençant par le moins risqué

La segmentation échoue rarement pour des raisons techniques. Elle échoue parce qu’une bascule trop large casse quelque chose un mardi matin, que personne ne sait quoi, et que la décision est prise de tout remettre comme avant.

Basculez dans cet ordre : équipements non administrables en premier, parce qu’ils ont peu de flux légitimes et que personne ne s’en plaindra ; administration ensuite, périmètre restreint et bien identifié ; serveurs métier en troisième, où l’essentiel du travail se trouve ; postes utilisateurs en dernier, parce que c’est là que les surprises font le plus de bruit.

Pour chaque segment, appliquez d’abord les règles en mode journalisation seule pendant cinq jours ouvrés. Vous verrez ce qui aurait été bloqué sans rien casser. Sur notre exemple, ce mode a révélé onze flux légitimes absents de la matrice, dont un système de badgeage qui interrogeait l’annuaire toutes les trente secondes.

Basculez en blocage réel un vendredi matin, jamais un vendredi soir. Vous voulez une journée ouvrée complète devant vous, avec l’équipe présente.

Étape 6 — Traiter le cas du télétravail et des prestataires

C’est l’angle mort qui annule les cinq premières étapes, et nous le rencontrons dans la moitié des dossiers.

Un accès distant qui débouche sur le réseau plat vous ramène exactement à la situation de départ, avec en prime un point d’entrée depuis Internet. La connexion à distance doit aboutir dans un segment dédié, soumis à la même matrice que les autres.

Pour les prestataires — maintenance du logiciel de gestion, télémaintenance de la machine de production, infogérance — appliquez trois règles. Un compte nominatif par intervenant, jamais un compte partagé au nom de la société. Un accès ouvert sur demande et refermé après intervention, pas un tunnel permanent. Et une restriction au seul serveur concerné, pas au segment entier.

Le tunnel permanent d’un prestataire vers l’ensemble du réseau est, dans notre expérience, la porte d’entrée la plus fréquemment retrouvée après un incident chez une PME industrielle.

Étape 7 — Surveiller les refus, pas seulement les autorisations

Une segmentation qui n’est pas surveillée devient un document dans six mois. Ce qu’il faut surveiller n’est pas le trafic autorisé — il est légitime par construction — mais les refus.

Trois alertes suffisent pour démarrer, et elles se règlent en une demi-journée. Toute tentative depuis le segment des postes vers le segment d’administration : il n’existe aucune raison légitime, donc chaque occurrence est un incident. Toute tentative de sortie Internet depuis les équipements non administrables : soit un équipement fait quelque chose d’inattendu, soit il est compromis. Toute augmentation soudaine du volume de refus depuis un poste unique : c’est la signature d’un balayage interne.

Sur le rejeu de notre exercice après segmentation, la première alerte s’est déclenchée quatre-vingt-dix secondes après la compromission initiale, sur la deuxième règle. L’attaquant n’avait pas quitté le premier segment.

Les 3 erreurs que nous avons commises, pour que vous les évitiez

1. Avoir segmenté par service. Sur un de nos premiers dossiers, nous avons créé sept segments calqués sur l’organigramme. Résultat : une matrice de flux ingérable, parce que les gens travaillent entre services et que chaque projet transverse demandait une nouvelle ouverture. Nous sommes revenus à quatre segments par sensibilité, et la matrice est passée de quarante-trois règles à onze.

2. Avoir basculé sans phase de journalisation seule. Nous avons cassé un flux de facturation un jeudi soir chez un client. Techniquement, la remise en service a pris vingt minutes. Politiquement, elle a coûté six semaines de méfiance et un chantier suspendu. Les cinq jours de journalisation seule ne sont pas une précaution excessive.

3. Avoir oublié le poste du dirigeant. Il avait, pour des raisons historiques, un accès étendu que la matrice ne décrivait pas. Ce type d’exception non écrite existe dans presque toutes les PME et annule silencieusement la segmentation. Cherchez-la explicitement, elle ne se signalera pas.

Ce que ça coûte réellement

Pour une PME de 20 à 250 personnes disposant déjà d’un pare-feu correct et de commutateurs administrables, comptez trois à cinq jours-homme répartis sur huit à quinze jours calendaires. Si les commutateurs ne sont pas administrables, ajoutez leur remplacement — quelques centaines à quelques milliers d’euros selon le nombre de ports.

Le poste que tout le monde sous-estime est la maintenance de la matrice : une revue par semestre, une demi-journée, pour retirer les flux devenus inutiles. Sans cette revue, la matrice se dégrade en trois ans jusqu’à autoriser à peu près tout, et vous aurez la structure sans la protection.

Rapporté au coût d’un incident avec propagation — arrêt d’activité, restauration, notification, expertise — c’est le meilleur rapport de la sécurité des PME françaises avec le plan de sauvegarde testé. Ces deux mesures se complètent : la segmentation limite la propagation, la sauvegarde permet de repartir. Voir à ce sujet notre méthode de plan de sauvegarde 3-2-1 réellement restaurable.

Si votre organisation relève de NIS2, la segmentation est par ailleurs l’une des mesures techniques explicitement attendues — notre page sur l’audit de périmètre NIS2 détaille ce qui entre dans le champ.

Enfin, la partie applicative de ce chantier — quels services doivent réellement se parler, et par quels ports — se traite souvent avec l’équipe de développement. Nos confrères de D-Open publient régulièrement sur l’architecture des services internes, et Plug-Tech couvre le cas particulier des plateformes de données et d’intelligence artificielle, qui concentrent souvent les habilitations les plus larges.