Un pare-feu mal configuré sur un VLAN de production, une règle ACL oubliée après une migration de serveur, un accès VPN encore actif pour un prestataire parti depuis six mois : ce sont ces angles morts qui transforment un réseau d’entreprise en terrain de jeu pour un attaquant. L’audit de sécurité réseau sert aux débusquer avant qu’un incident ne le fasse à votre place.
Segmentation réseau et flux autorisés : le premier point de friction terrain
Sur le papier, la plupart des entreprises disposent d’une segmentation réseau. En pratique, on constate souvent que les règles de filtrage entre zones n’ont pas été revues depuis la mise en service. Des flux temporaires ouverts pour un projet deviennent permanents par oubli.
A lire en complément : Comment consulter facilement les arrêtés municipaux en ligne : guide pratique
Avant de lancer un scan de vulnérabilités, on commence par cartographier les flux réellement actifs entre chaque segment. On compare ensuite cette photographie au schéma théorique fourni par l’équipe infrastructure. L’écart entre les deux révèle les premières failles : ports ouverts sans justification, protocoles non chiffrés qui transitent entre le réseau bureautique et la DMZ, machines de test accessibles depuis le Wi-Fi invité.
Ce travail de confrontation entre le déclaratif et le réel est détaillé dans ce guide sur l’audit de sécurité réseau, qui décrit la logique de priorisation à appliquer une fois les écarts identifiés.
A voir aussi : Comment bien choisir la taille S : guide des dimensions et correspondances essentielles
Les retours varient sur ce point selon la taille du parc, mais un réseau de quelques centaines de postes génère déjà suffisamment de flux pour que l’exercice prenne plusieurs jours.
Inventaire des actifs réseau : pourquoi les outils automatiques ne suffisent pas
Un scanner réseau remonte des adresses IP, des noms de machines, des services exposés. Ce qu’il ne dit pas : à qui appartient cet équipement, quel est son rôle métier, et qui en est responsable. Sans cette couche d’information, on obtient une liste, pas un inventaire exploitable.
L’audit impose de croiser la découverte automatique avec des entretiens auprès des équipes IT et métiers. On cherche en particulier :
- Les équipements non gérés (shadow IT) : imprimantes connectées, capteurs IoT, NAS personnels branchés sur le réseau local sans validation de la DSI
- Les comptes de service à privilèges élevés dont personne ne connaît plus l’usage exact ni le mot de passe
- Les interconnexions avec des partenaires ou fournisseurs, souvent configurées via des tunnels VPN site-à-site dont les règles de filtrage côté distant échappent au contrôle de l’entreprise
Un actif non inventorié est un actif non protégé. C’est une règle simple, mais elle conditionne toute la suite de l’audit.
Analyse des vulnérabilités et tests d’intrusion réseau : deux démarches complémentaires
Le scan de vulnérabilités identifie les failles connues (CVE publiées, versions obsolètes, configurations par défaut). On l’exécute sur l’ensemble du périmètre défini, en programmant les scans intensifs en dehors des heures de production pour limiter l’impact sur les performances.
Le test d’intrusion va plus loin. Un auditeur tente d’exploiter les vulnérabilités détectées pour mesurer la profondeur d’accès réellement atteignable. La question n’est plus « ce port est-il ouvert », mais « depuis ce point d’entrée, jusqu’où peut-on aller dans le système d’information ».
Concrètement, on distingue deux approches :
- Le test en boîte noire, où l’auditeur ne dispose d’aucune information préalable et simule un attaquant externe
- Le test en boîte grise, où l’auditeur reçoit un compte utilisateur standard pour évaluer les possibilités d’élévation de privilèges et de mouvement latéral à l’intérieur du réseau
- Le test en boîte blanche, plus rare, où l’auditeur accède à la documentation complète et au code source pour une revue en profondeur
Le scan détecte les failles, le test d’intrusion mesure leur impact réel. Les deux sont nécessaires pour produire un rapport d’audit qui dépasse la simple liste de correctifs.
Conformité NIS2 et capacité de détection : un critère d’audit désormais central
La directive NIS2 impose aux entités concernées une notification d’incident sous 24 heures à l’ANSSI. Cette contrainte change la nature même de l’audit réseau. On ne vérifie plus seulement si les systèmes sont à jour : on évalue si l’entreprise est capable de détecter une intrusion, de la journaliser et de remonter l’alerte dans ce délai.
L’audit doit donc examiner la chaîne complète de détection : collecte des logs (pare-feu, serveurs, annuaire Active Directory), centralisation dans un SIEM ou un outil équivalent, règles de corrélation actives, et procédure de notification formalisée. Sans journalisation centralisée, la notification en 24 heures reste théorique.
La conformité réglementaire va au-delà de NIS2. Selon le secteur, on vérifie aussi l’alignement avec le RGPD pour le traitement des données personnelles transitant sur le réseau, ou avec des référentiels comme l’ISO 27001 si l’entreprise vise une certification.
Du rapport d’audit au plan de remédiation : transformer les constats en actions
Un rapport qui liste des vulnérabilités classées par niveau de criticité (critique, haute, moyenne, faible) sans priorisation opérationnelle finit dans un tiroir. Le livrable utile, c’est celui qui hiérarchise les corrections en fonction du risque métier réel, pas seulement du score CVSS.
Une faille critique sur un serveur isolé sans données sensibles passe après une faille moyenne sur le contrôleur de domaine Active Directory. La priorisation se fait par l’impact métier, pas par le score technique seul.
Le plan de remédiation précise pour chaque constat : l’action corrective, le responsable, le délai, et le moyen de vérification. On intègre aussi des indicateurs de suivi (taux de correctifs appliqués, couverture MFA, temps moyen de détection) pour mesurer la progression dans la durée.
L’audit ponctuel reste une photographie. Les entreprises qui tirent le meilleur parti de cet exercice l’inscrivent dans un cycle continu : évaluer, corriger, superviser, réévaluer. Ce passage d’un contrôle annuel à une posture pilotée en continu est la tendance de fond qui sépare les organisations réactives de celles qui anticipent réellement les menaces sur leur réseau.