Renforcez la sécurité et les performances avec la segmentation du réseau

À ce jour, vous avez probablement déjà vu des références à la segmentation du réseau dans des endroits allant de cette colonne aux fonctionnalités sur la sécurité du réseau et aux discussions sur les meilleures pratiques en matière de surveillance du réseau. Mais pour de nombreux professionnels de l'informatique, la segmentation du réseau est l'une de ces choses auxquelles vous prévoyez toujours de vous rapprocher, très bientôt, mais quelque chose vous empêche toujours. C'est comme si vous faisiez vos impôts en février: vous savez que vous devriez mais vous avez besoin d'une motivation supplémentaire. C'est ce que j'espère faire avec cet explicateur en 5 étapes.

Premièrement, nous devons être sur la même page; Commençons par ce qu’il est: la segmentation du réseau consiste à diviser votre réseau existant en éléments plus petits ou, si vous avez la chance de commencer à construire un réseau à partir de rien, à le concevoir en morceaux au départ. Mais cela ne signifie pas simplement scinder le réseau au hasard en plusieurs parties. Au lieu de cela, vous devez avoir un plan pour que la segmentation ait un sens.

Il existe plusieurs raisons pour la segmentation du réseau; la raison la plus importante est la sécurité. Si votre réseau est divisé en plusieurs réseaux plus petits, chacun avec son propre routeur ou commutateur de couche 3, vous pouvez limiter l'accès à certaines parties du réseau. De cette façon, l'accès n'est accordé qu'aux ordinateurs d'extrémité qui en ont besoin. Cela empêche tout accès non autorisé à des parties du réseau auxquelles vous ne souhaitez pas accéder et empêche également certains pirates informatiques qui ont pénétré dans un segment d'accéder à tout.

C’est ce qui s’est passé avec l’infraction Target en 2013. Les attaquants utilisant les informations d’identité de l’entrepreneur en chauffage, ventilation et climatisation (HVAC) avaient accès aux terminaux de point de vente (PDV), à la base de données de cartes de crédit et à tous les autres éléments du système. réseau. Clairement, il n’y avait aucune raison pour un entrepreneur en CVC d’avoir accès à autre chose qu’aux contrôleurs CVC, mais c’était le cas, car Target n’avait pas de réseau segmenté.

Mais si, contrairement à Target, vous prenez le temps de segmenter votre réseau, ces intrus pourront voir vos régulateurs de chauffage et de climatisation, mais rien d’autre. De nombreuses violations pourraient finir par être un non-événement. De même, le personnel de l'entrepôt n'aura pas accès à la base de données de comptabilité, ni aux contrôleurs CVC, mais le personnel de la comptabilité aura accès à sa base de données. Pendant ce temps, les employés auront accès au serveur de messagerie, mais pas les périphériques du réseau.

Décidez des fonctions que vous voulez

Tout cela signifie que vous devez choisir les fonctions qui doivent communiquer sur votre réseau et décider du type de segmentation que vous souhaitez. "Fonctions décisives" signifie que vous devez savoir qui parmi votre personnel doit avoir accès à des ressources informatiques spécifiques et qui ne l'a pas. Cela peut être difficile à cerner, mais une fois terminé, vous pourrez attribuer des fonctions par titre ou affectation de travail, ce qui peut apporter des avantages supplémentaires à l'avenir.

En ce qui concerne le type de segmentation, vous pouvez utiliser la segmentation physique ou la segmentation logique. La segmentation physique signifie que tous les actifs réseau d'une zone physique se trouvent derrière un pare-feu qui définit le trafic entrant et sortant. Donc, si le 10ème étage a son propre routeur, vous pouvez alors segmenter physiquement tout le monde.

La segmentation logique utilise des réseaux locaux virtuels (VLAN) ou un adressage réseau pour effectuer la segmentation. La segmentation logique peut être basée sur des VLAN ou des sous-réseaux spécifiques pour définir les relations réseau, ou vous pouvez utiliser les deux. Par exemple, vous souhaiterez peut-être que vos périphériques Internet des objets (IoT) se trouvent sur des sous-réseaux spécifiques. Ainsi, alors que votre réseau de données principal est constitué d'un ensemble de sous-réseaux, vos contrôleurs CVC et même vos imprimantes peuvent en occuper d'autres. La corvée consiste à définir l'accès aux imprimantes pour que les personnes ayant besoin d'imprimer puissent y accéder.

Des environnements plus dynamiques peuvent signifier des processus d’attribution de trafic encore plus complexes qui pourraient devoir utiliser un logiciel de planification ou d’orchestration, mais ces problèmes ont tendance à se poser uniquement dans les grands réseaux.

Différentes fonctions, expliquées

Cette partie concerne le mappage des fonctions de travail sur les segments de votre réseau. Par exemple, une entreprise type peut avoir des fonctions de comptabilité, de ressources humaines (RH), de production, d’entreposage, de gestion et un petit nombre d’appareils connectés sur le réseau, tels que des imprimantes ou des cafetières. Chacune de ces fonctions aura son propre segment de réseau et les points d'extrémité de ces segments pourront accéder aux données et autres actifs de leur domaine fonctionnel. Mais ils peuvent aussi avoir besoin d’avoir accès à d’autres domaines, tels que le courrier électronique ou l’Internet, et peut-être aussi à un espace réservé au personnel pour des éléments tels que les annonces et les formulaires vierges.

L'étape suivante consiste à voir quelles fonctions doivent être empêchées d'atteindre ces zones. Un bon exemple pourrait être vos appareils IoT qui doivent seulement communiquer avec leurs serveurs ou contrôleurs respectifs, mais ils n'ont pas besoin de courrier électronique, de navigation sur Internet ou de données personnelles. Le personnel de l'entrepôt aura besoin d'un accès à l'inventaire, mais il ne devrait probablement pas avoir accès à la comptabilité, par exemple. Vous devrez commencer votre segmentation en définissant d'abord ces relations.

Les 5 étapes de base pour la segmentation du réseau

Attribuez chaque actif de votre réseau à un groupe spécifique afin que le personnel de la comptabilité soit dans un groupe, le personnel de l'entrepôt dans un autre groupe et les responsables dans un autre groupe.

Décidez comment vous voulez gérer votre segmentation. La segmentation physique est facile si votre environnement le permet, mais elle est limitante. La segmentation logique a probablement plus de sens pour la plupart des organisations, mais vous devez en savoir plus sur la mise en réseau.

Déterminez quels actifs doivent communiquer avec quels autres actifs, puis configurez vos pare-feu ou vos périphériques réseau pour autoriser cela et interdire l'accès à tout le reste.

Configurez votre service de détection d'intrusion et vos services anti-malware pour qu'ils puissent tous voir tous les segments de votre réseau. Configurez vos pare-feu ou vos commutateurs afin qu’ils signalent les tentatives d’intrusion.

N'oubliez pas que l'accès aux segments de réseau doit être transparent pour les utilisateurs autorisés et qu'il ne doit pas y avoir de visibilité sur les segments pour les utilisateurs non autorisés. Vous pouvez tester cela en essayant.

• 10 étapes de la cybersécurité que votre petite entreprise devrait prendre dès maintenant 10 étapes de la cybersécurité que votre petite entreprise devrait prendre dès maintenant
• Au-delà du périmètre: Comment s’adresser à la sécurité en couches Au-delà du périmètre: Comment s’adresser à la sécurité en couches

Il convient de noter que la segmentation du réseau n'est pas vraiment un projet de bricolage, à l'exception des plus petits bureaux. Mais quelques lectures vous prépareront à poser les bonnes questions. La Cyber ​​Emergency Readiness Team des États-Unis ou US-CERT (appartenant au Département de la sécurité intérieure des États-Unis) est un bon point de départ, même si ses conseils sont axés sur l'IdO et le contrôle des processus. Cisco a rédigé un document détaillé sur la segmentation pour la protection des données, qui n'est pas spécifique au fournisseur.

Certains fournisseurs fournissent des informations utiles. Cependant, nous n'avons pas testé leurs produits, nous ne pouvons donc pas vous dire s'ils vous seront utiles. Ces informations incluent des conseils pratiques de Sage Data Security, une vidéo sur les meilleures pratiques d’AlgoSec et une discussion sur la segmentation dynamique du fournisseur de logiciels de planification réseau HashiCorp. Enfin, si vous êtes du type aventureux, le cabinet de conseil en sécurité Bishop Fox propose un guide de bricolage pour la segmentation du réseau.

En ce qui concerne les autres avantages de la segmentation au-delà de la sécurité, un réseau segmenté peut avoir des avantages en termes de performances car le trafic réseau sur un segment peut ne pas avoir à faire concurrence à un autre trafic. Cela signifie que les ingénieurs ne verront pas leurs dessins retardés par les sauvegardes et que les responsables du développement pourront peut-être effectuer leurs tests sans se soucier des conséquences sur les performances d'un autre trafic réseau. Mais avant de pouvoir faire quoi que ce soit, vous devez avoir un plan.