Meilleures pratiques de sécurité réseau pour les équipes informatiques d'entreprise

Les meilleures pratiques robustes de sécurité réseau sont plus importantes que jamais pour se protéger contre les menaces cybernétiques de plus en plus sophistiquées d'aujourd'hui. Cet article explore une gamme de meilleures pratiques et technologies de réseau et de sécurité dont vous avez besoin pour renforcer votre réseau contre les accès non autorisés et les violations de données.

Types de dispositifs réseau et solutions de sécurité

Avant de plonger dans les meilleures pratiques de sécurité réseau d'entreprise, examinons les types courants d'appareils réseau et les solutions de sécurité dont les organisations peuvent bénéficier :

• Les ponts étaient autrefois utilisés pour connecter deux hôtes ou plus ou des segments de réseau. Ils sont dépassés et ne sont plus utilisés.
• Les concentrateurs étaient autrefois utilisés pour connecter les appareils d'un réseau local (LAN). Comme ils ne possèdent pas d'intelligence intégrée, les concentrateurs sont rarement utilisés dans les configurations de réseau modernes.
• Un commutateur réseau est l’équipement par défaut qui relie les ordinateurs, serveurs, imprimantes et autres appareils au sein d’un réseau local (LAN). Il utilise les adresses MAC pour gérer et transmettre les données vers des appareils spécifiques. Contrairement à un concentrateur (hub), un commutateur peut diriger intelligemment le trafic afin de réduire la congestion du réseau et d’améliorer ses performances.
• Un routeur réseau dirige les paquets de données entre différents réseaux pour faciliter la connectivité Internet et la communication interne du réseau. Les routeurs utilisent des adresses IP pour déterminer le chemin le plus efficace pour la transmission de paquets de données à travers les réseaux. Ils peuvent également fournir des fonctionnalités de sécurité telles que des listes de contrôle d'accès pour restreindre l'accès au réseau.
• Une passerelle sert d'intermédiaire pour les appareils sur des réseaux distincts, leur permettant de communiquer même s'ils utilisent différents protocoles de communication.
• Un firewall sépare un réseau d'un autre. Les firewalls sont disponibles sous forme matérielle et logicielle et peuvent être intégrés dans des appareils tels que des routeurs ou des serveurs. L'exemple classique d'un firewall est un appareil dédié qui sert de barrière entre le réseau interne et le monde extérieur.
• Un système de network access control (NAC) évalue si les appareils tentant d'accéder au réseau répondent aux normes de sécurité définies (telles que des logiciels antivirus à jour, des mises à jour système et des paramètres de configuration spécifiques) puis accorde ou refuse l'accès.
• Un filtre web limite l'accès au contenu Internet en fonction de critères prédéfinis. Par exemple, ce type de solution de sécurité peut bloquer l'accès à des sites Web malveillants ou inappropriés, conformément aux politiques d'une organisation.
• Un serveur proxy agit comme un intermédiaire entre l’appareil d’un utilisateur et Internet. Les serveurs proxy peuvent masquer l’adresse IP de l’utilisateur et filtrer les requêtes web afin de bloquer l’accès à des sites ou contenus malveillants.
• Un filtre d'e-mails (filtre anti-spam) aide à prévenir la réception d'e-mails indésirables dans la boîte de réception de l'utilisateur ou livre l'e-mail mais supprime les hyperliens potentiellement malveillants et les pièces jointes. Les filtres simples utilisent des politiques organisationnelles ou des modèles spécifiés par le fournisseur pour détecter les spams ; les filtres avancés emploient des méthodes heuristiques pour repérer des modèles suspects ou la fréquence des mots.
• DDoS mitigation tools are designed to identify distributed denial of service (DDoS) attacks in their early stages, absorb the associated surge in traffic and help pinpoint the attack's origin.
• Les équilibreurs de charge contribuent à la sécurité du réseau en répartissant uniformément le trafic réseau sur plusieurs serveurs. Par exemple, ils peuvent aider à empêcher qu'un seul serveur ne soit surchargé lors d'une attaque par déni de service distribué.

Pour plus d'informations de fond, consultez le modèle OSI pour les systèmes de réseau dans l'Annexe A.

Meilleures pratiques de sécurité réseau d'entreprise

Avec ces bases en tête, explorons les meilleures pratiques de sécurité réseau connues qui peuvent aider votre organisation à améliorer sa posture de sécurité pour bloquer les attaques, ainsi que les meilleures pratiques pour détecter et répondre rapidement aux menaces en cours.

Meilleures pratiques de sécurité réseau pour la prévention des menaces

Séparez votre réseau.

L'une des meilleures pratiques fondamentales pour la sécurité des réseaux, la segmentation du réseau consiste à diviser un réseau en zones logiques ou fonctionnelles. Cela peut être réalisé par des moyens physiques comme des routeurs et des commutateurs, ou virtuellement en utilisant des VLAN. L'objectif est de contenir une violation de sécurité dans une seule zone et ainsi limiter les perturbations et les dommages. La segmentation permet également aux équipes informatiques d'appliquer différents contrôles de sécurité et de surveillance à chaque zone. 

En particulier, les organisations peuvent mettre en place une zone démilitarisée (DMZ) comme tampon entre leur réseau interne et Internet ou d'autres réseaux non fiables. La DMZ héberge des services orientés vers l'extérieur comme les serveurs d'applications web ; si ces services sont compromis, un attaquant n'a pas accès directement au réseau interne.

Une forme extrême de segmentation est la air gap, où les systèmes (tels que les serveurs avec des sauvegardes ou d'autres informations sensibles) sont complètement déconnectés du réseau.

Placez vos dispositifs de sécurité correctement.

La façon dont vous positionnez vos dispositifs de sécurité affecte le niveau de protection qu'ils fournissent. Le positionnement efficace des pare-feu est particulièrement important. Idéalement, un pare-feu devrait être situé à chaque jonction de zone de réseau pour servir de barrière entre les différents segments. Les pare-feu modernes sont souvent dotés de fonctionnalités intégrées telles que les systèmes de détection et de prévention des intrusions, l'atténuation des DDoS et le filtrage web, ce qui les rend très adaptés pour la défense périmétrique.

Les pare-feu d'applications Web (WAF) sont idéalement placés dans des zones où les applications sont hébergées, telles que la DMZ. Ce positionnement aide à protéger les applications web contre des menaces telles que l'injection SQL et le cross-site scripting. Les équilibreurs de charge qui gèrent le trafic des applications ou les serveurs DNS doivent également être situés dans la DMZ pour optimiser le flux de trafic et améliorer la sécurité.

Sécurisez physiquement les équipements réseau.

Une autre meilleure pratique pour une infrastructure réseau sécurisée est de contrôler strictement l'accès à l'infrastructure réseau. Seul le personnel autorisé devrait avoir accès à des espaces tels que les placards de câblage, les cadres de distribution principaux (MDF), les cadres de distribution intermédiaires (IDF), les serveurs et surtout les centres de données. Une authentification devrait être requise pour entrer dans toute zone critique.

De plus, les organisations devraient interdire l'utilisation de clés USB et de disques externes pour empêcher les initiés de retirer des données sensibles.

Utilisez la traduction d'adresse réseau.

La traduction d'adresse réseau (NAT) convertit toutes les adresses privées d'une organisation en une seule adresse IP publique pour les communications externes. Sans le NAT, le monde aurait épuisé les adresses IPv4 il y a bien longtemps. Mais l'avantage du NAT pour la sécurité du réseau est qu'il masque la structure du réseau interne aux yeux des externes, ajoutant une couche de confidentialité et de sécurité.

Utilisez des pare-feu personnels.

Les pare-feu personnels sont des pare-feu basés sur des logiciels qui résident sur chaque ordinateur ou serveur. Bien qu'ils soient souvent intégrés dans le système d'exploitation, ils peuvent également être installés en tant qu'applications tierces. Comme les pare-feu traditionnels, ils restreignent le trafic entrant et sortant pour protéger l'appareil.

Configurer des pare-feu personnels peut initialement prendre du temps en raison de la diversité des applications et services fonctionnant sur un appareil. Cependant, négliger cette étape pour des raisons de commodité peut laisser les appareils vulnérables aux logiciels malveillants et au piratage. Activez toujours les pare-feu personnels pour garantir la sécurité de chaque appareil au sein du réseau plus large.

Utilisez la liste blanche lorsque c'est possible.

La liste blanche d'applications est la pratique consistant à créer une liste de logiciels approuvés et à autoriser uniquement l'exécution de ces applications. Cette stratégie peut considérablement réduire les risques ; par exemple, elle peut empêcher l'exécution de logiciels malveillants livrés par des attaques de phishing ou des sites Web malveillants.

Cependant, le fait d'autoriser uniquement certaines applications n'est pas toujours pratique, car la liste doit être constamment mise à jour avec toutes les applications que quelqu'un dans l'organisation a une raison légitime d'utiliser.

Utilisez un serveur proxy web pour gérer l'accès à Internet.

En authentifiant et en surveillant les connexions sortantes, un serveur proxy web aide à garantir que seul le trafic web initié par des utilisateurs légitimes est autorisé. Par exemple, cela aide à empêcher les logiciels malveillants à l'intérieur du réseau de communiquer avec le serveur de commande et de contrôle de l'attaquant.

Appliquez le principe du moindre privilège.

Se concentrer uniquement sur les menaces cybernétiques externes peut négliger l'aspect tout aussi critique des menaces internes. Il est vital de restreindre les droits d'accès de chaque utilisateur à ce qui est essentiel pour leurs rôles ; cela réduit les dommages qu'un utilisateur peut causer accidentellement ou délibérément, et le pouvoir qu'un attaquant gagnerait en compromettant le compte. De plus, mettez en œuvre des mesures d'authentification fortes pour rendre les identifiants volés inutiles.

Exigez l'utilisation de VPN pour l'accès à distance.

Un réseau privé virtuel (VPN) établit une connexion réseau sécurisée et privée sur une infrastructure de réseau public. Il permet aux utilisateurs distants de se connecter au réseau comme s'ils étaient connectés localement. Les VPN peuvent également être utilisés pour relier de manière sécurisée des LAN à travers Internet en utilisant un tunnel sécurisé qui chiffre toutes les données en transit. Les VPN nécessitent soit du matériel spécialisé, soit un logiciel VPN installé sur les serveurs et les postes de travail.

Meilleures pratiques de sécurité réseau pour la détection et la réponse aux menaces

Établissez une référence pour les protocoles réseau et surveillez leur utilisation.

Établissez la base d'utilisation des différents protocoles sur vos réseaux filaires et sans fil. Pour créer une base précise, les données doivent être collectées à partir d'une variété de sources, y compris les routeurs, les commutateurs, les pare-feu, les points d'accès sans fil, les analyseurs de réseau et les collecteurs de données dédiés. Surveillez ensuite les écarts par rapport à ces bases, qui peuvent indiquer un tunneling de données, des logiciels malveillants transmettant des données vers des destinations non autorisées et d'autres menaces.

Utilisez des pots de miel et des réseaux de leurre.

Un honeypot est un système leurre conçu pour ressembler à un véritable actif réseau, et un honeynet est un réseau de honeypots qui simule un environnement réseau plus grand et plus complexe. Ils sont conçus pour attirer les adversaires à interagir avec eux, à la fois pour détourner les acteurs malveillants des véritables actifs et pour permettre aux équipes de sécurité d'étudier les techniques d'attaque et de recueillir d'autres renseignements pour une gestion efficace des menaces.

Utilisez des systèmes de détection et de prévention des intrusions.

Il est essentiel de surveiller et d'enregistrer l'activité à travers le réseau et de l'analyser pour détecter des connexions inhabituelles, des événements informatiques suspects et d'autres anomalies. Un intrusion detection system (IDS) surveille les flux de données réseau pour détecter une activité potentiellement malveillante et alerte les administrateurs en cas d'anomalies. Un intrusion prevention system (IPS) surveille également le trafic réseau pour les menaces ; cependant, en plus d'alerter les administrateurs, il peut automatiquement prendre des mesures pour bloquer ou atténuer les menaces. 

Ces outils peuvent être une partie précieuse de votre stratégie de sécurité réseau. Par exemple, en comparant l'activité actuelle à une base de référence établie, ils pourraient détecter une augmentation soudaine de l'activité réseau qui pourrait indiquer une attaque par rançongiciel ou une injection SQL. Ils peuvent également utiliser des signatures d'attaque — des caractéristiques typiques communes à une attaque spécifique ou à un modèle d'attaques — pour repérer des attaques qui ne génèrent pas d'activité violant la base de référence de votre organisation.

Automatisez la réponse aux attaques lorsque cela est approprié.

De nombreux outils de sécurité modernes peuvent être configurés pour répondre automatiquement aux menaces connues. Par exemple, ces systèmes peuvent :

• Bloquer l'adresse IP — Un IPS ou un pare-feu peut bloquer l'adresse IP d'où l'attaque a été lancée. Cette option est très efficace contre les attaques de phishing et de déni de service. Cependant, certains attaquants usurpent l'adresse IP source pendant les attaques, donc la mauvaise adresse sera bloquée.
• Mettre fin aux connexions — Les routeurs et pare-feu peuvent être configurés pour interrompre les connexions qu'un intrus maintient avec le système compromis en ciblant les paquets TCP RESET vers l'attaquant.
• Acquérir des informations supplémentaires — Les outils peuvent également collecter des informations précieuses qui aident à déterminer le point d'accès initial, quels comptes ont été compromis, comment les intrus se sont déplacés à travers le réseau et quelles données ont été compromises.

Meilleure pratique bonus

Une dernière meilleure pratique de sécurité réseau s'applique à la fois à la prévention des menaces et à la détection & réponse.

Utilisez plusieurs fournisseurs.

L'utilisation de solutions de différents fournisseurs renforce la cyber-résilience en réduisant le risque associé à un point de défaillance unique — si une solution d'un fournisseur est compromise, la présence de solutions d'autres fournisseurs aide à maintenir le bouclier défensif. Cette approche permet également une plus grande adaptabilité en réponse aux menaces évolutives et aux exigences de sécurité. Plus largement, cela peut conduire à une tarification compétitive et stimuler l'innovation, les fournisseurs s'efforçant de proposer les solutions les plus avancées et les plus rentables.

Conclusion

En adhérant aux meilleures pratiques de sécurité réseau détaillées ici, votre organisation peut réduire le risque de perturbations commerciales coûteuses et d'incidents de sécurité, ainsi qu'assurer la conformité avec les mandats législatifs stricts d'aujourd'hui.

Annexe A : Le modèle OSI

Le modèle OSI (Open Systems Interconnection) est un cadre établi pour les systèmes réseau. Il comprend sept couches, du matériel physique aux interactions au niveau des applications :

La sécurité réseau englobe les politiques, technologies et contrôles qui protègent l'infrastructure réseau d'une organisation contre les accès non autorisés, les usages abusifs et les interruptions.

Une sécurité réseau efficace traite les deux aspects du problème : des contrôles qui limitent qui ou quoi peut accéder à un système donné, et une surveillance qui détecte les abus d'accès.

Types d'appareils réseau et solutions de sécurité

Les équipes de sécurité qui se concentrent exclusivement sur la protection du périmètre constatent souvent que les attaquants accèdent aux systèmes internes via des appareils mal configurés, des privilèges utilisateurs excessifs ou des chemins de mouvement latéral.

Comprendre les dispositifs et outils qui composent un réseau d’entreprise aide les équipes de sécurité à prendre des décisions éclairées concernant le placement, la configuration et la surveillance, ainsi que sur qui ou quoi chaque dispositif laisse accéder au réseau.

Voici les composants réseau les plus courants que les organisations gèrent :

• Les bridges connectaient autrefois deux hôtes ou segments réseau ou plus. La technologie est désormais obsolète et n’est plus déployée dans les environnements modernes.
• Concentrateurs qui connectent des dispositifs de réseau local (LAN). Leur manque d’intelligence intégrée les rend rares dans les configurations réseau modernes, largement remplacés par des commutateurs.
• Une passerelle sert d’intermédiaire pour les appareils sur des réseaux séparés, leur permettant de communiquer même lorsqu’ils utilisent des protocoles de communication différents.
• Un routeur réseau dirige les paquets de données entre différents réseaux pour faciliter la connectivité Internet et la communication interne du réseau. Les routeurs utilisent les adresses IP pour déterminer le chemin le plus efficace pour que les paquets de données traversent les réseaux. Ils peuvent également fournir des fonctions de sécurité, telles que les listes de contrôle d'accès, pour restreindre l'accès au réseau.
• Un commutateur réseau est l'appareil réseau par défaut connectant les ordinateurs, serveurs, imprimantes et autres dispositifs dans un LAN. Il utilise les adresses MAC pour gérer et acheminer les données vers des dispositifs spécifiques. Contrairement à un hub, un commutateur peut diriger intelligemment le trafic pour réduire la congestion réseau et améliorer les performances.
• Un pare-feu sépare un réseau d’un autre. Les pare-feux sont disponibles sous forme matérielle et logicielle et peuvent être intégrés dans des appareils tels que des routeurs et des serveurs. Un déploiement courant est un appareil dédié qui sert de barrière entre le réseau interne et l’extérieur.
• Un système de contrôle d'accès réseau (NAC) évalue si les appareils tentant d'accéder au réseau respectent les normes de sécurité définies, telles que les logiciels antivirus à jour, les mises à jour système et les configurations spécifiques, puis accorde ou refuse l'accès en conséquence.
• Un filtre web restreint l'accès au contenu internet selon des critères prédéfinis. Par exemple, ce type de solution de sécurité peut bloquer l'accès à des sites web malveillants ou inappropriés conformément aux politiques d'une organisation.
• Un serveur proxy agit comme un intermédiaire entre l'appareil de l'utilisateur et Internet. Les serveurs proxy peuvent masquer l'adresse IP de l'utilisateur et filtrer les requêtes web pour bloquer l'accès aux sites ou contenus malveillants.
• Outils de mitigation DDoS détectent tôt les attaques par déni de service distribué (DDoS), absorbent la montée de trafic résultante et aident à localiser l'origine de l'attaque.

Pour plus d'informations sur la relation de ces dispositifs avec la communication réseau, consultez le modèle OSI en Annexe A.

• Un filtre email (filtre anti-spam) aide à empêcher les emails indésirables d’atteindre la boîte de réception de l’utilisateur ou délivre des emails avec les liens hypertextes et pièces jointes potentiellement malveillants supprimés. Les filtres simples utilisent des politiques organisationnelles ou des modèles spécifiés par le fournisseur pour détecter le spam ; les filtres avancés emploient des méthodes heuristiques pour identifier des modèles suspects.
• Les équilibreurs de charge contribuent à la sécurité du réseau en répartissant le trafic réseau de manière uniforme sur plusieurs serveurs. Par exemple, ils aident à empêcher qu’un seul serveur soit surchargé lors d’une attaque DDoS.

Meilleures pratiques de sécurité réseau pour la prévention des menaces

Netwrix Auditor enregistre les valeurs avant et après pour les événements d'accès et de modification dans les environnements hybrides Microsoft. Téléchargez un essai gratuit

Segmentez votre réseau

Les contrôles de prévention des menaces visent à réduire la surface d’attaque, limiter qui ou quoi peut accéder à un système donné, et contenir les dommages de toute violation qui se produit.

Les organisations peuvent configurer une zone démilitarisée (DMZ) pour servir de tampon entre le réseau interne et Internet ou d’autres réseaux non fiables. La DMZ héberge des services exposés à l’extérieur, comme des serveurs d’applications web.

La segmentation réseau consiste à diviser un réseau en zones logiques ou fonctionnelles, chacune définie autant par qui ou quoi peut y accéder que par son emplacement physique. Cela peut être réalisé via des dispositifs physiques comme des routeurs et des commutateurs, ou virtuellement via des VLAN.

L'objectif est de contenir une faille de sécurité dans une seule zone, limitant ainsi les perturbations et les dommages. La segmentation permet également aux équipes informatiques d'appliquer différentes règles d'accès, contrôles de sécurité et niveaux de surveillance à chaque zone en fonction de la sensibilité des données ou des systèmes qu'elle contient.

Appliquer le principe du moindre privilège et une authentification forte

Si un attaquant compromet ces services, il n’a pas d’accès direct au réseau interne. Une forme extrême de segmentation est l’air gap, où une organisation déconnecte complètement du network les systèmes contenant des sauvegardes ou des données très sensibles.

L'emplacement des dispositifs de sécurité dans l'architecture réseau détermine le niveau de protection qu'ils offrent. Le placement compte autant que la configuration. Les pare-feu devraient idéalement être placés à chaque jonction de zone réseau pour servir de barrières entre différents segments. Les pare-feu modernes incluent souvent des fonctionnalités intégrées telles que la détection et la prévention des intrusions, l'atténuation des attaques DDoS et le filtrage web.

Exiger des VPN pour l'accès à distance

Positionnez correctement vos dispositifs de sécurité

Les pare-feux d’applications web (WAF) fonctionnent mieux dans les zones où les applications sont hébergées, comme la DMZ, protégeant les applications web contre les attaques par injection SQL et les scripts intersites. Les équilibreurs de charge et les serveurs DNS doivent également être situés dans la DMZ pour optimiser le flux de trafic et réduire l’exposition de l’infrastructure interne.

Sécuriser physiquement l’équipement réseau

Utiliser la traduction d'adresses réseau

Contrôlez l'accès physique à l'infrastructure réseau. Seul le personnel autorisé doit accéder aux armoires de câblage, aux tableaux de distribution principaux, aux tableaux de distribution intermédiaires, aux salles serveurs et aux centres de données. Les exigences d'authentification doivent s'appliquer à toutes les zones physiques critiques. Les organisations doivent également interdire l'utilisation de clés USB et de disques externes pour empêcher les initiés de retirer des données sensibles.

La traduction d’adresses réseau (NAT) associe des adresses internes privées à une seule adresse IP publique pour la communication externe. Le NAT masque la structure interne du réseau aux étrangers, réduisant les informations sur la topologie du réseau disponibles pour les attaquants potentiels effectuant une reconnaissance.

Utilisez des pare-feux personnels

La liste blanche des applications crée une liste de logiciels approuvés et autorise uniquement l’exécution de ces applications. Cela réduit le risque d’exécution de logiciels malveillants diffusés via le phishing ou des sites web malveillants. Maintenir la liste approuvée nécessite un effort continu, car elle doit être mise à jour en fonction des besoins légitimes en applications dans toute l’organisation.

Appliquez la liste blanche des applications lorsque cela est possible

Les pare-feux personnels sont des pare-feux logiciels installés sur chaque ordinateur ou serveur. Bien qu’ils soient souvent intégrés au système d’exploitation, ils peuvent également être déployés en tant qu’applications tierces. Comme les pare-feux réseau, ils restreignent le trafic entrant et sortant au niveau de l’appareil. Les pare-feux personnels offrent une couche importante de protection, même dans des environnements avec des défenses périmétriques solides, en particulier pour les appareils se connectant depuis l’extérieur du réseau d’entreprise.

Un serveur proxy web authentifie et surveille les connexions sortantes, ne permettant que le trafic initié par des utilisateurs légitimes. Cela aide à empêcher les malwares dans le réseau de communiquer avec le serveur de commande et contrôle de l’attaquant. Il permet également aux équipes de sécurité de consigner les modèles de trafic sortant et d’identifier les communications anormales.

Acheminer le trafic internet via un proxy web

Des mesures d'authentification fortes, y compris l'authentification multifactorielle (MFA), protègent les identifiants même lorsque les mots de passe sont volés. Le modèle zero-standing-privilege pousse plus loin le principe du moindre privilège en éliminant totalement les comptes administrateurs persistants, en accordant un accès élevé uniquement lorsque nécessaire, puis en le révoquant automatiquement.

Maintenez les logiciels et le firmware à jour

Un réseau privé virtuel (VPN) établit une connexion sécurisée et chiffrée sur une infrastructure réseau publique, permettant aux utilisateurs distants de se connecter comme s'ils étaient directement sur le réseau d'entreprise. Les VPN réduisent l'exposition des ressources internes aux réseaux non fiables et chiffrent les données en transit.

Renforcez les endpoints contre les malwares

Restreindre les droits d'accès de chaque utilisateur à ce qui est essentiel pour son rôle limite les dommages dus à une utilisation accidentelle ou délibérée et réduit la portée qu'un attaquant peut atteindre avec un compte compromis. Role-based access control (RBAC) offre une approche structurée pour attribuer les autorisations en fonction de la fonction professionnelle. Cela réduit le risque d'accumulation ou de non-examen des accès au fil du temps et traite un vecteur commun de insider threat.

Les vulnérabilités non corrigées dans les network devices, systèmes d'exploitation et applications restent parmi les faiblesses les plus exploitées dans les environnements d'entreprise. Les équipes de sécurité doivent maintenir un inventaire à jour de toutes les versions de logiciels et de micrologiciels et appliquer les correctifs dès leur publication par les fournisseurs.

Un programme de gestion continue des vulnérabilités suit l’exposition entre les cycles de correctifs et priorise la remédiation en fonction de l’exploitabilité et de l’impact commercial. Les outils automatisés de gestion des correctifs réduisent le délai entre la divulgation de la vulnérabilité et la remédiation, notamment dans les environnements à fort volume où le patch manuel n’est pas pratique.

Les organisations qui adoptent des modèles de sécurité d'accès à distance basés sur les principes du zero trust peuvent constater que zero trust network access (ZTNA) offre un contrôle plus granulaire, en vérifiant chaque session individuellement plutôt qu'en accordant un accès large au réseau lors de la connexion.

Meilleures pratiques de sécurité réseau pour la détection et la réponse aux menaces

Protocoles réseau de base et surveillance des écarts

La prévention réduit l’exposition, mais ce sont les capacités de détection et de réponse qui déterminent la rapidité avec laquelle une équipe identifie et contient une menace qui passe, en particulier une menace déjà active sous une identité légitime mais compromise.

Utilisez des honeypots et des honeynets

Un honeypot est un système leurre conçu pour apparaître comme un véritable actif réseau. Un honeynet est un réseau de honeypots qui simule un environnement réseau plus complexe. Les deux détournent les adversaires des actifs de production et permettent aux équipes de sécurité d’étudier les techniques d’attaque et de collecter des renseignements sur les menaces sans exposer les systèmes en production.

Déployez des systèmes de détection et de prévention des intrusions

Un système de détection d'intrusion (IDS) surveille le trafic réseau à la recherche d'activités potentiellement malveillantes et alerte les administrateurs. Un système de prévention d'intrusion (IPS) va plus loin, bloquant ou atténuant automatiquement les menaces en plus de générer des alertes.

Les endpoints sont des points d'entrée courants car le phishing, les téléchargements à la volée et le vol d'identifiants ciblent les appareils plutôt que l'infrastructure réseau directement. Les outils d'Endpoint Management, y compris endpoint detection and response (EDR) et les solutions de plateforme de protection des endpoints (EPP), étendent la visibilité sur le comportement des appareils et bloquent les menaces connues. L'application de la surveillance comportementale associée à la liste blanche des applications crée plusieurs couches de détection au niveau de l'appareil.

Établissez des modèles d'utilisation de base pour différents protocoles sur les réseaux filaires et sans fil, et pour savoir qui accède normalement à quels systèmes, d'où et quand. Collectez des données à partir de routeurs, commutateurs, pare-feux, points d'accès sans fil, analyseurs réseau et collecteurs de données dédiés. Surveillez les écarts par rapport à ces bases, qui peuvent indiquer un tunnel de données, un malware communiquant avec des serveurs externes, un compte accédant à des systèmes jamais utilisés auparavant ou d'autres activités malveillantes qui passeraient autrement inaperçues.

Automatisez la réponse aux menaces connues

De nombreux outils de sécurité modernes peuvent être configurés pour répondre automatiquement aux menaces connues. Par exemple, ces systèmes peuvent :

En comparant l'activité réseau actuelle aux bases de référence établies, ces outils peuvent détecter des pics pouvant indiquer une activité de ransomware ou des tentatives d'injection SQL. Les bibliothèques de signatures d'attaque étendent la détection aux modèles de menaces connus.

Associer ces outils à l’intégration du firewall SIEM permet aux équipes de sécurité de corréler les alertes provenant de plusieurs sources de données, y compris les journaux d’identity et d’access, réduisant ainsi le bruit des faux positifs et détectant plus rapidement les menaces réelles.

• Bloquer l'adresse IP : Un IPS ou un pare-feu peut bloquer l'adresse IP de l'hôte attaquant. Cette option est très efficace contre le phishing et les attaques par déni de service. Cependant, certains attaquants usurpent l'adresse IP source lors des attaques, ce qui entraîne le blocage de la mauvaise adresse.
• Terminer les connexions : Les routeurs et pare-feu peuvent être configurés pour terminer les connexions qu’un intrus maintient avec le système compromis en envoyant des paquets TCP RESET à l’attaquant.

Élaborer et tester un plan de réponse aux incidents

• Obtenez des informations supplémentaires : Les outils peuvent également recueillir des informations précieuses pour déterminer le point d’entrée initial, les comptes compromis, la manière dont les intrus ont circulé dans le réseau et les données qu’ils ont volées.

Utilisez des solutions de plusieurs fournisseurs

Sécurité du cloud et du travail à distance

• Révoquer ou suspendre l'accès : Les outils d'Identity et privileged access peuvent désactiver un compte compromis ou révoquer les privilèges permanents dès la détection d'un comportement anormal, coupant ainsi la voie avant qu'un attaquant ne puisse escalader davantage.

Utiliser des outils de sécurité de différents fournisseurs réduit le risque d’un point de défaillance unique. Si la solution d’un fournisseur est compromise, les solutions des autres fournisseurs maintiennent la posture défensive. Une approche multi-fournisseurs permet également une plus grande adaptabilité à mesure que les paysages de menaces évoluent et que les exigences de sécurité changent.

Les plans basés sur les directives du NIST Cybersecurity Framework fournissent une structure reconnue pour chaque phase du cycle de réponse. L'équipe de réponse aux incidents doit répéter le plan via des exercices sur table avant qu'un incident réel ne survienne.

La détection sans plan de réponse structuré laisse les équipes de sécurité prendre des décisions sous pression, sans rôles ni procédures définis. Un cadre de information security policy devrait inclure un plan de incident response documenté qui attribue des rôles et responsabilités, établit des canaux de communication pour les parties prenantes clés et décrit les étapes de confinement pour les menaces connues et zero-day.

Les réseaux d’entreprise modernes s’étendent bien au-delà du périmètre corporatif. Les travailleurs à distance, les charges de travail cloud et les applications SaaS impliquent que les contrôles de sécurité réseau doivent suivre les utilisateurs et les données où qu’ils opèrent.

Comment Netwrix vous aide à surveiller et sécuriser votre réseau

Netwrix répond à la question qui revient sans cesse : qui et quoi peut accéder à votre réseau, et que se passe-t-il une fois qu’ils y sont.

La sécurité cloud doit aborder la gestion des accès aux ressources hébergées dans le cloud, le chiffrement des données en transit et au repos, ainsi que la surveillance des environnements des fournisseurs de services cloud. Les modèles de responsabilité partagée signifient que les fournisseurs cloud sécurisent l'infrastructure sous-jacente, mais les organisations restent responsables de la sécurisation de ce qui fonctionne dessus.

Pour les travailleurs à distance, les VPN et les solutions ZTNA étendent l'accès sécurisé aux appareils hors réseau. Les organisations doivent appliquer les mêmes contrôles de data loss prevention aux points d'extrémité distants qu'aux appareils sur site et maintenir la visibilité sur les données auxquelles les utilisateurs distants accèdent et qu'ils transfèrent.

Netwrix Privilege Secure, reflétant la réponse « révoquer ou suspendre l’accès » décrite ci-dessus, mais intégrée plutôt qu’ajoutée.

Netwrix Auditor offre une visibilité continue sur l’activité des utilisateurs, les modifications de configuration et les événements d’accès dans les environnements hybrides Microsoft. C’est le registre qui détecte lorsqu’un compte tente d’accéder à quelque chose qu’il n’a jamais touché auparavant, permettant aux équipes d’enquêter avant que cela ne devienne un incident.

Demandez une démo pour voir comment Netwrix peut vous aider à surveiller l’activité réseau, appliquer le principe du moindre privilège et détecter les menaces avant qu’elles ne s’aggravent.