Un garage d'Annemasse nous appelle parce que son logiciel de gestion est devenu inutilisable. Pendant l'audit, nous relevons une redirection active depuis Internet vers le serveur interne, ouverte deux ans plus tôt pour permettre à l'éditeur du logiciel de faire une intervention à distance, et jamais refermée depuis. Personne ne s'en souvenait. La box de l'opérateur ne conservait aucune trace des connexions entrantes, si bien qu'il a fallu reconstituer les faits à partir des journaux du serveur lui-même.
Cette configuration est courante dans les TPE du Bassin Genevois : la box fait routeur, borne sans fil, serveur d'adresses et, croit-on, pare-feu. Elle protège effectivement le réseau contre les connexions entrantes non sollicitées, ce qui suffit à un logement. Une entreprise a besoin d'autre chose : une politique écrite qui dit qui sort, qui entre, quels équipements ont le droit de se parler entre eux, et qui relit les journaux. Nous cadrons ce travail dans l'audit de cybersécurité, sans partir du principe qu'un même boîtier convient à tous les dossiers.
Ce que la box de l'opérateur sait faire, et où sa fonction s'arrête
Une box réalise de la traduction d'adresses, ce que l'on appelle le NAT. Vos postes partagent une seule adresse publique et les connexions non sollicitées venant d'Internet n'ont nulle part où aller. C'est cette mécanique, et non un filtrage à proprement parler, qui vous protège par défaut. Elle cesse d'opérer dès que quelqu'un crée une redirection de port, puisque la porte ainsi ouverte reste ouverte pour tout le monde, pas seulement pour le prestataire à qui l'on pensait rendre service.
Trois manques comptent davantage. Le premier concerne la journalisation : la box ne conserve pas d'historique exploitable des connexions, ce qui rend toute reconstitution d'incident impossible et complique la déclaration à un assureur. Le deuxième concerne le trafic sortant, jamais filtré ni observé, alors qu'un poste compromis se signale d'abord par des connexions sortantes inhabituelles. Le troisième concerne l'organisation interne du réseau : une box ne sait pas découper votre local en zones distinctes, et tout ce qui est branché sur elle se retrouve dans le même espace.
Il faut aussi dire ce qu'un pare-feu ne remplace pas. Il ne détecte pas un fichier malveillant ouvert par un salarié, travail qui revient à un agent installé sur le poste comme nous l'expliquons dans notre article sur l'EDR Bitdefender. Il ne vous prévient pas non plus qu'un disque de serveur arrive à saturation. Le pare-feu tient la frontière, il ne tient pas la maison.
La segmentation, et pourquoi c'est le pare-feu qui la fait respecter
La plupart des réseaux de PME que nous reprenons sont plats : le poste de l'accueil, la caisse, les caméras, le copieur, le portable du stagiaire, le serveur de fichiers et le poste de la comptabilité vivent dans le même espace d'adressage et peuvent tous s'adresser les uns aux autres. Cette configuration n'a rien d'illogique, elle est simplement le résultat de dix ans de branchements successifs sans plan d'ensemble.
Segmenter consiste à découper ce réseau en zones et à décider, explicitement, ce qui circule entre elles. Les visiteurs occupent une zone qui atteint Internet et rien d'autre. Les objets connectés, caméras et sondes diverses, occupent une zone qui n'a aucun besoin de voir les partages de fichiers. Les postes de travail forment une troisième zone. Les serveurs et les données comptables forment la dernière, celle qui reçoit le moins de droits entrants. Le découpage repose sur des VLAN, des réseaux logiques distincts portés par le même câblage, et c'est le pare-feu qui arbitre le passage d'une zone à l'autre puisqu'il est le seul équipement à voir passer ce trafic.
L'intérêt est concret. Le jour où un poste est compromis, l'incident reste confiné à sa zone au lieu de se propager latéralement vers le serveur de fichiers, et vous récupérez un périmètre à nettoyer plutôt qu'une entreprise à reconstruire. La même logique gouverne le réseau sans fil, où chaque réseau annoncé doit aboutir sur une zone distincte, comme le détaille notre article sur le Wi-Fi professionnel.
Les journaux, sans lesquels un incident se raconte mais ne se démontre pas
Un pare-feu d'entreprise enregistre ce qu'il accepte et ce qu'il refuse, avec l'horodatage, la source et la destination. Cet historique sert trois usages que l'on découvre en général le jour où il manque.
- Il permet de dater le début d'un incident et d'identifier les machines concernées, ce qui détermine l'étendue du nettoyage plutôt que de laisser réinstaller quarante postes par précaution.
- Il permet de répondre à un assureur ou à un client qui demande des éléments factuels, avec des traces plutôt qu'un récit.
- Il permet de vérifier qu'une règle ancienne ne sert plus à personne avant de la supprimer, ce qui évite de couper un flux métier en croyant faire du ménage.
Ces journaux ne valent que s'ils sont exportés hors de l'équipement et relus périodiquement. Un pare-feu qui écrit dans sa mémoire locale et que personne ne consulte apporte le même service qu'une caméra débranchée.
Ce que nous décidons entre durcir la box et poser un boîtier dédié
Nous ne posons pas systématiquement un équipement dédié. Pour une structure de cinq postes sans serveur, sans accès distant permanent et sans accueil de public, un durcissement sérieux de la box existante donne un résultat honnête : plus aucune redirection depuis Internet, interface d'administration verrouillée avec un mot de passe propre, réseau visiteurs distinct quand la box le permet, et accès distant assuré par un tunnel plutôt que par un service publié.
Un boîtier dédié devient justifié dès que l'un de ces besoins apparaît : plusieurs zones à séparer réellement, un serveur interne à protéger, des accès distants nominatifs pour plusieurs salariés, une obligation contractuelle de conserver des traces, ou un site secondaire à raccorder. Plusieurs familles de matériel répondent correctement à ce cahier des charges, et nous choisissons en fonction du parc, de l'exploitation attendue et de ce que vous pourrez faire évoluer, jamais parce qu'une marque nous arrange. Le point commun de tous les dossiers réussis se situe ailleurs : l'administration du pare-feu s'effectue avec des comptes nominatifs protégés par une double authentification, et les règles sont documentées avec leur motif et leur date.
Le cas du bureau à distance mérite d'être tranché nettement, car c'est la porte que nous fermons le plus souvent. Publier directement le service de bureau à distance sur l'adresse publique revient à exposer une fenêtre d'authentification à l'ensemble d'Internet, où elle sera trouvée et sollicitée en continu. Nous expliquons pourquoi dans notre article sur le bureau à distance ouvert sur Internet, et la solution passe par un VPN d'entreprise qui authentifie la personne avant de la laisser approcher du serveur.
Notre déroulé d'audit et de bascule sur site
Nous commençons par un relevé sur place, parce qu'un réseau se constate mal uniquement à distance : nous suivons le câblage, nous ouvrons la baie, nous inventorions ce qui est branché et nous listons les redirections actives. Nous en sortons un état des lieux lisible par un dirigeant, avec les points à corriger classés par gravité et non par facilité.
Vient ensuite la rédaction de la politique de filtrage, validée avec vous avant toute application, puis la bascule sur un créneau convenu, en général tôt le matin, avec un retour arrière préparé. Nous vérifions dans la même séance les flux métier qui comptent : l'accès au logiciel de gestion, l'impression, la sauvegarde vers l'extérieur et l'envoi de courrier depuis le copieur. Nous laissons enfin un schéma d'une page et la liste des règles, afin que le prochain intervenant comprenne le réseau sans le deviner.
Ce travail s'inscrit dans un contrat d'infogérance à partir de 120 HT / mois, qui comprend le suivi des règles, l'application des correctifs de l'équipement et la relecture des journaux. Une intervention en urgence hors contrat se facture 230 HT / h, avec le même montant hors taxes en euros et en francs. Nous nous déplaçons dans le Bassin Genevois, de Saint-Julien-en-Genevois à Genève et Annemasse.
Si votre seule protection est aujourd'hui la box de l'opérateur, la question n'est pas de savoir si elle est mauvaise, mais de savoir ce qu'elle laisse passer et ce dont elle ne garde aucune trace. Demandez-nous un état des lieux : nous vous dirons si un durcissement suffit ou s'il faut construire une véritable frontière entre vos zones.