Après cette lecture, vous saurez vérifier un réseau selon des mesures reconnues et comparer ce qui est documenté avec ce qui existe réellement.
Définition
Elle s'appuie sur des sources reconnues : les mesures 8.20 à 8.22 de l'ISO/IEC 27002 sur la sécurité des réseaux, des services réseau et le cloisonnement, et les CIS Controls sur les actifs de l'entreprise, la configuration sécurisée et la gestion de l'infrastructure réseau.
Pourquoi c'est important
Avec les années, les réseaux accumulent de vieilles règles de pare-feu, des équipements oubliés et des comptes de fournisseurs. Un attaquant qui entre se servira justement de ceux-là pour se déplacer.
Comment ça fonctionne
Commencez par comparer le schéma documenté et l'inventaire des équipements avec un scan de ce qui existe réellement. L'écart est souvent le premier constat.
Revoyez ensuite la segmentation et les règles de pare-feu, les accès administrateurs et l'authentification multifacteur, les versions de micrologiciel, le Wi-Fi et les accès distants, la journalisation et les sauvegardes de configuration.
Consignez la preuve sur chaque ligne, évaluez les constats selon le risque, et planifiez les corrections avec un responsable et une date.
Un cas concret
L'inventaire d'une usine compte 84 équipements, et le scan en trouve 91. Sept sont des commutateurs non administrés dans l'atelier de production. Sur 412 règles de pare-feu, 60 sont inutilisées depuis un an, et l'une laisse le réseau bureautique entrer sans restriction dans le réseau de production.
Cette règle est jugée élevée et disparaît en une semaine. La revue des règles inutilisées suit dans le trimestre.
Bonnes pratiques
- Ne scannez qu'avec une autorisation écrite et dans des créneaux convenus. Un scan peut perturber des équipements fragiles.
- Donnez à chaque règle de pare-feu un responsable et une raison, pour que la revue suivante sache ce qui peut partir.
- Exigez l'authentification multifacteur pour les accès administrateurs et distants.
- Sauvegardez les configurations des équipements et testez leur restauration.
Erreurs fréquentes
- Se fier à un schéma que personne n'a mis à jour depuis la dernière migration.
- S'arrêter au pare-feu et oublier le Wi-Fi et les accès des fournisseurs.
- Lister des faiblesses sans évaluation ni responsable, ce qui laisse l'équipe réseau avec un rapport et aucun plan.
- Confondre un scan de vulnérabilités avec un audit. Le scan est une source parmi d'autres.
Questions
- À quelle fréquence auditer un réseau ?
- En général une fois par an et après des changements majeurs, avec des scans automatisés entre-temps.
- Quels outils un audit réseau utilise-t-il ?
- Des scanners de découverte et de vulnérabilités, des analyseurs de règles de pare-feu, et les exports de configuration des équipements eux-mêmes.
- Un audit réseau est-il un test d'intrusion ?
- Non. L'audit vérifie selon des critères, et un test d'intrusion tente d'exploiter les faiblesses. Les deux se complètent.
- Quels documents demander en premier ?
- Les schémas réseau, l'inventaire des équipements, les jeux de règles de pare-feu, la liste des administrateurs et les derniers enregistrements de changements.
- Quelles règles de pare-feu sont les plus risquées ?
- Les règles avec n'importe quelle source, destination ou service, les règles sans responsable, et les vieilles règles temporaires encore actives.