Le réseau est la surface d'attaque la plus exposée. Chaque port ouvert, chaque service accessible est une porte potentielle pour un attaquant. La sécurité réseau combine filtrage du trafic, détection des menaces et surveillance continue pour réduire cette surface.
Pourquoi sécuriser le réseau ?
Section intitulée « Pourquoi sécuriser le réseau ? »Un serveur connecté à Internet reçoit en permanence des tentatives de connexion : scans de ports, brute-force SSH, exploitation de vulnérabilités connues. Sans protection, ces attaques finissent par aboutir.
Les couches de défense réseau se complètent :
- Pare-feu : filtre le trafic entrant/sortant selon des règles
- IDS (Intrusion Detection System) : détecte les comportements suspects
- IPS (Intrusion Prevention System) : bloque automatiquement les menaces
- Analyse réseau : identifie les services exposés et les vulnérabilités
Qui est concerné ?
Section intitulée « Qui est concerné ? »| Profil | Besoin principal |
|---|---|
| Administrateur système | Configurer pare-feu, surveiller les logs |
| Ops / SRE | Automatiser les règles, intégrer les alertes |
| Pentester | Scanner les réseaux, identifier les failles |
| RSSI | Définir la politique de filtrage, auditer la conformité |
Comment structurer sa défense ?
Section intitulée « Comment structurer sa défense ? »Filtrage : les pare-feux
Section intitulée « Filtrage : les pare-feux »Le pare-feu est la première ligne de défense. Il autorise ou bloque le trafic selon l'adresse source, le port de destination et le protocole.
- UFW : interface simplifiée pour iptables (idéal pour débuter)
- Firewalld : gestionnaire dynamique avec zones (RedHat/CentOS)
- nftables : successeur moderne d'iptables
Détection : IDS/IPS
Section intitulée « Détection : IDS/IPS »Les systèmes de détection analysent le trafic en temps réel pour repérer les signatures d'attaques connues ou les comportements anormaux.
- Snort : IDS historique, règles communautaires
- Suricata : IDS/IPS multi-threadé, compatible règles Snort
- CrowdSec : IPS collaboratif, partage communautaire des IP malveillantes
Intégrité : détection de modifications
Section intitulée « Intégrité : détection de modifications »AIDE surveille les fichiers système pour détecter toute modification non autorisée (rootkit, backdoor, altération de binaires).
Scénario : serveur web exposé
Section intitulée « Scénario : serveur web exposé »Un serveur Nginx héberge une application web. Comment le protéger ?
- Pare-feu : autoriser uniquement 80/443 (HTTP/HTTPS) et 22 (SSH depuis IP admin)
- CrowdSec : bloquer automatiquement les IP qui tentent du brute-force
- Snort/Suricata : détecter les tentatives d'exploitation (SQLi, XSS)
- AIDE : alerter si un fichier système est modifié
Pièges courants
Section intitulée « Pièges courants »- Ouvrir "temporairement" un port, et oublier de le refermer
- Désactiver le pare-feu pour débugger, et ne jamais le réactiver
- Ignorer les logs, les alertes non analysées ne servent à rien
- Faire confiance au réseau interne, la latéralisation est réelle
- Ne pas tester ses règles, une règle mal écrite peut tout bloquer ou tout autoriser
Pare-feux
Section intitulée « Pare-feux »Commencez par le pare-feu, la couche qui décide quels ports restent joignables. L'introduction compare pare-feu matériel et logiciel ; les deux guides suivants appliquent le filtrage avec l'outil de votre distribution, UFW sur Ubuntu et Debian, firewalld sur la famille Red Hat.
Détection d'intrusion (IDS/IPS)
Section intitulée « Détection d'intrusion (IDS/IPS) »Une fois le filtrage en place, la détection repère ce qui passe malgré lui. CrowdSec agit sur les journaux et bloque les adresses fautives, Snort inspecte le trafic lui-même à l'aide de signatures : les deux se combinent plus qu'ils ne se remplacent.
Intégrité système
Section intitulée « Intégrité système »La dernière couche ne regarde plus le réseau mais le système de fichiers : AIDE enregistre une empreinte des fichiers sensibles et signale tout écart, ce qui révèle une intrusion que les couches précédentes n'ont pas arrêtée.
Outils à explorer
Section intitulée « Outils à explorer »Ces outils couvrent les mêmes besoins sous une autre forme : une alternative légère, un HIDS (détection d'intrusion sur l'hôte) ou un pare-feu complet avec interface web. Ils valent d'être connus pour choisir en connaissance de cause.
- Fail2Ban, ban automatique basé sur les logs (alternative légère à CrowdSec)
- OSSEC, HIDS (Host-based IDS) avec analyse de logs et intégrité
- Wazuh, fork d'OSSEC avec interface web et SIEM intégré
- pfSense / OPNsense, pare-feux open source avec interface web
Mettre en pratique
Section intitulée « Mettre en pratique »Mesurez-vous en conditions d'examen sur le pare-feu : un drill chronométré, sans indices, à réaliser au choix sur RHEL (firewalld) ou Ubuntu (ufw).
À retenir
Section intitulée « À retenir »- Defense in depth, combinez pare-feu, IDS/IPS et surveillance
- Principe du moindre privilège, n'ouvrez que les ports strictement nécessaires
- Surveillez les logs, un IDS sans analyse est inutile
- Testez vos règles, vérifiez que le filtrage fonctionne comme prévu
- Automatisez les réponses, bloquez automatiquement les IP malveillantes
Liens utiles
Section intitulée « Liens utiles »Trois pages prolongent cette vue d'ensemble : le Zero Trust, qui cesse de faire confiance au réseau interne, les outils d'analyse réseau pour voir ce qui est exposé, et le durcissement du système qui porte ces services.