Sécurité réseau informatique : la défense en profondeur

La sécurité réseau informatique regroupe les dispositifs matériels, logiciels et organisationnels qui protègent l’infrastructure d’une entreprise contre les intrusions, les fuites de données et les interruptions de service. Quatre chantiers structurent cette défense : un matériel dimensionné, une segmentation stricte, un filtrage rigoureux des flux et une surveillance continue du trafic.

Pourquoi la sécurité réseau informatique devient prioritaire

Les chiffres publiés début 2026 dressent un constat sans ambiguïté. L’ANSSI a traité 3 586 événements de sécurité en 2025, dont 128 compromissions par rançongiciel, selon son Panorama de la cybermenace publié en mars 2026. Le même rapport signale une hausse de 51 % des incidents d’exfiltration de données, avec 196 cas portés à sa connaissance contre 130 un an plus tôt.

Les petites structures ne sont pas épargnées, au contraire. TPE, PME et ETI représentent 48 % des victimes de rançongiciel recensées par l’ANSSI en 2025. Côté grandes organisations, le 11e baromètre du CESIN, publié en janvier 2026, indique que 40 % des entreprises françaises ont subi au moins une cyberattaque significative dans l’année, et que huit victimes sur dix constatent un impact direct sur leur activité.

Le réseau concentre l’enjeu : c’est par lui que l’attaquant entre, se déplace, puis exfiltre. Une sécurité réseau pensée en profondeur ne bloque pas seulement l’intrusion initiale, elle limite chaque étape suivante.

Les vecteurs d’attaque dominants

Trois portes d’entrée reviennent dans la quasi-totalité des incidents analysés :

• Le phishing, en tête avec 55 % des attaques significatives selon le baromètre CESIN 2026, souvent le point de départ d’un ransomware ou d’un vol d’identifiants
• L’abus d’identifiants volés ou rejoués, premier vecteur initial des fuites confirmées d’après le rapport Verizon DBIR 2025
• L’exploitation de vulnérabilités non corrigées sur les équipements exposés, en forte progression

Chacun de ces vecteurs traverse le réseau. Chacun peut y être freiné, détecté ou bloqué.

Cartographier le réseau avant de le défendre

Impossible de protéger ce que vous ne connaissez pas. Le rapport Verizon DBIR 2025, qui analyse plus de 22 000 incidents et 12 000 fuites confirmées, place l’exploitation de vulnérabilités à 20 % des vecteurs initiaux, en hausse de 34 % sur un an. Or la plupart de ces failles vivent sur des équipements oubliés : un routeur hérité d’un ancien prestataire, une caméra IP jamais mise à jour, un serveur de test resté exposé.

La cartographie précède donc tout investissement. Un audit de cybersécurité structuré révèle régulièrement des équipements que la DSI ne soupçonnait pas.

L’inventaire en quatre couches

• Les équipements actifs : routeurs, switches, points d’accès, pare-feu, imprimantes, objets connectés, avec version de firmware et date de fin de support
• Le plan d’adressage et les flux : qui parle à qui, sur quels ports, vers quelles destinations externes
• Les comptes et les droits : accès administrateurs, comptes de service, connexions de prestataires
• Les dépendances externes : liens opérateurs, services cloud, interconnexions avec des partenaires

Cet inventaire n’est pas un document figé. Chaque nouvel équipement raccordé doit y entrer le jour de son installation, sinon la carte diverge du terrain en quelques mois.

Les outils de découverte automatique, du simple scanner réseau aux plateformes de gestion d’actifs, accélèrent le premier passage. La mise à jour continue relève ensuite du processus : aucun équipement raccordé sans validation, aucune mise en service sans enregistrement dans le référentiel.

Un matériel réseau dimensionné pour l’entreprise

La robustesse d’un réseau commence par ses équipements. Une box opérateur et un switch non administrable suffisent à un foyer, pas à une organisation qui héberge des données clients : sans VLAN, sans journaux d’événements, sans authentification des ports, aucune des mesures qui suivent n’est applicable. Les équipes IT s’équipent auprès de distributeurs spécialisés en infrastructure réseau tels que azenn-connect.fr, dont les catalogues couvrent le réseau actif et passif, la connectique et la vidéosurveillance en gamme professionnelle, avec un accompagnement au dimensionnement des projets.

Le choix du matériel réseau pèse d’autant plus que les équipements de bordure sont devenus la cible favorite des attaquants. Le Verizon DBIR 2025 mesure que 22 % des exploitations de vulnérabilités visent désormais pare-feu, concentrateurs VPN et passerelles d’accès distant, contre 3 % un an auparavant. Même source : seuls 54 % de ces équipements vulnérables sont corrigés, avec un délai médian de 32 jours.

Les équipements qui structurent la défense

• Un switch administrable de niveau 2 ou 3, capable de gérer VLAN, port security et journalisation
• Un pare-feu de nouvelle génération, dimensionné pour le débit réel avec inspection activée
• Des points d’accès Wi-Fi professionnels supportant WPA3 et la diffusion de plusieurs SSID cloisonnés
• Une passerelle VPN dédiée pour les accès distants, séparée des fonctions de routage
• Un onduleur protégeant les équipements critiques des coupures et microcoupures

Entretenir le parc dans la durée

Acheter du matériel sérieux ne dispense pas de le maintenir. Trois réflexes prolongent la valeur de l’investissement : appliquer les firmwares dès leur publication sur les équipements exposés, remplacer tout matériel arrivé en fin de support éditeur, et conserver une configuration sauvegardée hors ligne pour chaque équipement. Un pare-feu dernier cri sur un firmware de 2023 protège moins qu’un modèle modeste tenu à jour.

La segmentation, rempart contre la propagation

Un réseau à plat, où tous les équipements se voient, transforme la moindre compromission en sinistre global. La segmentation réseau découpe l’infrastructure en zones étanches reliées par des règles de flux explicites. Un poste bureautique infecté ne peut alors ni chiffrer les serveurs de production ni atteindre les sauvegardes.

L’enjeu est directement lié aux données : le baromètre CESIN 2026 relève que le vol de données concerne 52 % des attaques subies. Moins un attaquant circule, moins il collecte. La segmentation figure d’ailleurs parmi les mesures du guide d’hygiène informatique de l’ANSSI, qui en compte 42.

Les zones à isoler en priorité

• La zone serveurs : ERP, bases de données, messagerie, accessible uniquement depuis les flux applicatifs déclarés
• La zone postes de travail, la plus exposée aux compromissions initiales
• Le réseau invités, sans aucune route vers le système d’information interne
• Les objets connectés et la vidéosurveillance, dont les firmwares vieillissent mal
• Le VLAN d’administration, réservé aux interfaces de gestion des équipements, joignable depuis les seuls postes d’administration

Inutile de tout basculer en une nuit. Une segmentation se déploie par étapes : isoler d’abord les sauvegardes et le VLAN d’administration, extraire ensuite les objets connectés, affiner enfin les règles entre bureautique et serveurs. Chaque étape produit un gain mesurable sans interrompre la production.

Aller plus loin : micro-segmentation et Zero Trust

Les architectures récentes poussent la logique jusqu’à la micro-segmentation : chaque serveur, voire chaque application, reçoit ses propres règles de flux, et aucune machine ne fait confiance à une autre par défaut. Ce modèle Zero Trust demande du temps et de l’outillage, mais son principe s’applique dès aujourd’hui à petite échelle : n’autoriser que les flux justifiés, refuser tout le reste. Les bonnes pratiques de sécurisation du réseau détaillent la mise en œuvre opérationnelle de ce cloisonnement.

Pare-feu : filtrer dans les deux sens

Le pare-feu matérialise la politique de sécurité aux frontières du réseau et entre les zones internes. Sa valeur dépend entièrement de sa configuration. Un pare-feu NGFW mal réglé rassure la direction et n’arrête personne.

La règle fondatrice tient en une phrase : tout bloquer par défaut, n’ouvrir que le nécessaire. Chaque ouverture correspond à un service identifié, documenté, avec un responsable et une date de revue. Les règles orphelines s’accumulent vite ; une revue trimestrielle les élimine.

Le sens sortant mérite autant d’attention que l’entrant. Le rapport Verizon DBIR 2025 relève la présence de rançongiciel dans 44 % des fuites confirmées : or un rançongiciel moderne exfiltre les données avant de chiffrer, et cette exfiltration emprunte le trafic sortant. Un filtrage sortant strict, qui n’autorise que les destinations et protocoles légitimes, casse ce scénario même après l’intrusion.

Les règles qui font la différence

• Publier les services exposés dans une DMZ, jamais directement sur le réseau interne
• Activer l’inspection applicative et le filtrage DNS pour bloquer les domaines malveillants connus
• Interdire les connexions sortantes directes des serveurs vers Internet, hors mises à jour déclarées
• Journaliser les refus comme les acceptations : les refus racontent les tentatives
• Tester les règles critiques après chaque modification, une erreur de priorité suffit à tout ouvrir

Verrouiller les accès au réseau

Le facteur humain reste le maillon décisif : près de 60 % des fuites de données impliquent une erreur, une manipulation ou un abus humain selon le Verizon DBIR 2025. Le réseau doit donc considérer chaque connexion comme suspecte tant qu’elle n’a pas prouvé sa légitimité.

Première brique, l’authentification multifacteur sur tous les accès qui la supportent : VPN, interfaces d’administration, messagerie, services cloud. Les travaux de Microsoft Research publiés en 2023 mesurent qu’elle réduit le risque de compromission de compte de 99,22 % sur l’ensemble des comptes étudiés. Peu de mesures offrent un tel rendement pour un coût aussi faible.

802.1X : le badge d’entrée du réseau

Le standard 802.1X conditionne l’accès physique au réseau : une machine inconnue branchée sur une prise murale n’obtient rien, ni adresse IP, ni visibilité. Couplé à un serveur RADIUS, il authentifie chaque poste avant de lui attribuer son VLAN. Les prises des salles de réunion et espaces d’accueil, si commodes pour un visiteur malveillant, cessent d’être une porte dérobée.

Le Wi-Fi, frontière invisible du réseau

Les ondes traversent les murs : le réseau sans fil expose l’entreprise au-delà de ses locaux, jusqu’au parking. Le guide d’hygiène informatique de l’ANSSI y consacre une mesure dédiée, avec deux exigences : un chiffrement robuste et une séparation stricte des usages.

Les réglages qui comptent :

• Chiffrement WPA3, ou à défaut WPA2-Enterprise, jamais de WEP ni de WPA de première génération
• Un SSID invité totalement cloisonné, avec accès Internet seul et aucune route vers le système d’information
• L’authentification par compte individuel via 802.1X plutôt qu’une clé partagée, qui circule de main en main et ne se révoque jamais vraiment
• L’extinction des SSID de test et des bornes oubliées, repérables lors d’une simple marche dans les locaux, smartphone en main

Un point de vigilance : les bornes personnelles branchées par des collaborateurs pressés d’améliorer leur couverture. Un point d’accès sauvage contourne l’ensemble du dispositif ; la détection des bornes non déclarées figure parmi les fonctions attendues d’un contrôleur Wi-Fi professionnel.

Chiffrer les flux, y compris en interne

Le chiffrement protège les données pendant leur transport, y compris face à un intrus déjà présent sur le réseau. Un attaquant positionné entre deux machines lit tout trafic en clair : identifiants, documents, échanges applicatifs.

Trois périmètres à couvrir :

• Les protocoles d’administration : SSH et HTTPS remplacent Telnet et HTTP sur tous les équipements, SNMP passe en version 3
• Les échanges applicatifs internes : le TLS ne se réserve plus aux flux sortants, les connexions entre applications et bases de données se chiffrent aussi
• Les liaisons entre sites : un tunnel chiffré relie chaque agence au siège, même sur des liens opérateurs dédiés

Le certificat auto-signé qui traîne depuis des années fait partie du problème : sans autorité de certification interne ou publique, chaque connexion chiffrée reste exposée à l’interception active.

Accès distants et télétravail

Le télétravail a déplacé la frontière du réseau jusqu’au domicile des collaborateurs. Trois règles encadrent ces accès :

• Tout accès distant transite par le VPN d’entreprise, avec authentification multifacteur obligatoire
• Aucun service d’administration, RDP en tête, n’est exposé directement sur Internet
• Les postes distants respectent le même niveau d’exigence que les postes internes : chiffrement du disque, correctifs à jour, agent de sécurité actif

Surveiller le trafic en continu

Une défense sans yeux ne vaut rien : l’attaquant qui franchit le périmètre dispose ensuite de tout le temps que votre supervision lui laisse. Le rapport IBM Cost of a Data Breach 2025 chiffre à 241 jours le délai moyen d’identification et de confinement d’une violation de données, le plus bas depuis neuf ans, mais toujours considérable. La déclinaison française du même rapport situe l’identification à 213 jours en moyenne, suivie de 71 jours de confinement.

La surveillance continue repose sur trois pratiques complémentaires :

• Centraliser les journaux des équipements réseau, serveurs et pare-feu sur un collecteur dédié, hors de portée d’un attaquant qui voudrait effacer ses traces
• Établir une base de référence du trafic normal : volumes, destinations, horaires, protocoles
• Alerter sur les écarts significatifs : pic de trafic sortant nocturne, connexion d’un compte à privilèges depuis une adresse inhabituelle, scan interne de ports

Les structures sans équipe dédiée délèguent cette veille à un prestataire de supervision managée. L’important n’est pas l’outil : c’est qu’un humain qualifié lise les alertes et sache déclencher la réponse.

Tester la défense avant l’attaquant

La supervision observe, le test éprouve. Un dispositif jamais confronté à une attaque réelle repose sur des hypothèses, pas sur des preuves.

Trois exercices cadencent l’année :

• Le scan de vulnérabilités, mensuel ou trimestriel, qui repère services exposés, correctifs manquants et configurations faibles sur l’ensemble du parc
• Le test d’intrusion annuel, confié à un prestataire externe, qui confronte l’architecture aux techniques d’attaque courantes, du phishing initial au déplacement latéral
• L’exercice de crise, qui simule un incident majeur et vérifie que chacun connaît son rôle, des équipes techniques à la direction

Chaque exercice débouche sur un plan d’actions priorisé. Un rapport de test d’intrusion rangé dans un tiroir n’améliore rien : les vulnérabilités critiques se corrigent sous 30 jours, les autres entrent dans la feuille de route trimestrielle.

Se préparer à l’incident malgré tout

Aucune architecture n’offre de garantie absolue. La différence entre un incident maîtrisé et une catastrophe se joue dans la préparation. Le rapport IBM 2025 évalue le coût moyen mondial d’une violation de données à 4,44 millions de dollars, et à 3,59 millions d’euros pour la France.

Deux chantiers ferment la boucle défensive. D’abord les sauvegardes : la stratégie 3-2-1 impose trois copies des données sur deux supports distincts dont un hors site, avec au moins une copie déconnectée du réseau, hors d’atteinte d’un rançongiciel. Une sauvegarde jamais testée en restauration reste une hypothèse, pas une protection.

Vient le plan de continuité d’activité : qui isole le réseau en cas d’alerte, qui prévient la direction, dans quel ordre redémarrer les services, avec quels équipements de secours. Ces décisions se prennent à froid, jamais au milieu de la crise.

Prochaine étape : cartographiez votre réseau cette semaine, identifiez les équipements de bordure non corrigés, puis planifiez la segmentation en quatre zones. Ces trois actions couvrent les vecteurs d’attaque les plus exploités et se déploient sans refonte lourde de l’infrastructure.