Micro-segmentation réseau d’infrastructure et principes Zero Trust

Concevoir une architecture en réseau plat expose l’organisation au risque majeur de mouvement latéral : tout se voit, tout communique sans barrière. Dans un banc de qualification comme en environnement de production, la micro-segmentation stricte et le principe du moindre privilège constituent les piliers indispensables pour contenir les incidents et protéger les données critiques.

Le pare-feu périmétrique ne protège que la frontière extérieure : dès qu’un hôte interne est compromis, le trafic latéral (est-ouest) circule librement si aucune règle ne l’intercepte. C’est ce déplacement latéral non détecté qui transforme un incident isolé en compromission générale du système d’information. Segmenter avec rigueur, c’est refuser à l’attaquant la liberté d’action que le réseau plat lui concède par défaut.

La politique d’isolation s’articule selon le niveau de confiance et la criticité métier : administration hors bande (hyperviseurs, commutateurs, interfaces de gestion) protégée par authentification forte WebAuthn/FIDO2 ; serveurs applicatifs internes ; zones d’équipements non maîtrisés strictement isolées ; et DMZ exposée aux flux externes filtrée via ZTNA. Le réseau d’administration demeure totalement hermétique par défaut.

Cette étanchéité réseau est complétée par des mécanismes de durcissement système : profils de confinement LSM (AppArmor, SELinux) limitant les privilèges des processus exposés et politique de sauvegardes immuables pour garantir la résilience et la continuité d’activité face aux attaques destructives.

table inet zones {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    # Équipements isolés -> Sortie Internet uniquement (aucun accès interne)
    iifname "vlan.isolated" ip daddr != 10.0.0.0/8 accept
    # Zone de confiance -> Services exposés (DMZ)
    iifname "vlan.trust" ip daddr 10.0.30.0/24 tcp dport { 443 } accept
    # Le trafic d'administration (vlan.mgmt) reste hermétique par défaut
    log prefix "zone-drop " drop
  }
}