Article · Réseautique
Une sécurité réseau pour petits bureaux qui suit votre façon de travailler
Le réseau de votre bureau relie les ordinateurs portables du personnel, les imprimantes, les téléphones, les caméras, les invités et les télétravailleurs. Sans une certaine structure, n’importe lequel de ces éléments peut devenir une porte d’accès à tout le reste. Voici les mesures concrètes qui comptent le plus pour une petite ou moyenne entreprise.
- Publié le
- Lecture de 7 min
Sur cette page
À retenir
- Tenez à jour le micrologiciel du pare-feu et des équipements réseau, et remplacez le matériel dès que le fabricant cesse de publier des mises à jour de sécurité.
- Segmentez le réseau pour que les invités, les appareils IdO, les téléphones et les ordinateurs du personnel ne puissent pas communiquer librement entre eux.
- Isolez complètement le Wi-Fi invité des systèmes de l’entreprise et utilisez une sécurité Wi-Fi robuste et moderne pour le personnel.
- Sécurisez l’accès à distance avec l’authentification multifacteur, appliquez rapidement les correctifs aux appareils RPV et envisagez l’accès réseau zéro confiance pour l’accès au niveau des applications.
- N’exposez jamais directement à Internet le bureau à distance ni les interfaces de gestion des appareils.
- Inventoriez chaque appareil connecté, car vous ne pouvez pas protéger ce dont vous ignorez l’existence.
Le pare-feu : toujours essentiel, souvent négligé
Dans bien des petits bureaux, le pare-feu est l’appareil installé par le fournisseur Internet, ou un pare-feu d’entreprise configuré une fois et jamais revu. Les pare-feu et autres équipements en bordure de réseau sont des cibles fréquentes parce qu’ils sont, par conception, exposés à Internet, et qu’une vulnérabilité peut donner à un attaquant un accès direct au réseau interne.
Traitez les mises à jour du micrologiciel des équipements en bordure de réseau comme urgentes, surtout lorsque le fabricant signale qu’une vulnérabilité est activement exploitée. Abonnez-vous aux avis de sécurité de votre fabricant. Vérifiez que l’appareil est toujours pris en charge : une fois en fin de vie, un modèle ne reçoit plus de correctifs et doit être remplacé. Assurez-vous que l’interface de gestion n’est pas accessible depuis Internet, que les comptes d’administration sont individuels et protégés par l’authentification multifacteur lorsque c’est possible, et que la configuration est sauvegardée après chaque modification.
Révisez l’ensemble des règles au moins une fois par année. Supprimez les redirections de ports et les règles que personne ne sait expliquer, restreignez le trafic sortant lorsque c’est réaliste et activez les fonctions pour lesquelles vous avez déjà une licence, comme la prévention des intrusions, le filtrage Web et les abonnements de renseignements sur les menaces, après avoir testé leurs effets.
Segmenter le réseau
Dans un réseau plat, où chaque appareil peut communiquer avec tous les autres, une seule imprimante ou un seul ordinateur portable compromis peut atteindre le serveur de fichiers. Les réseaux locaux virtuels (VLAN) et les règles de pare-feu qui les séparent limitent cette propagation.
Appareils du personnel
Ordinateurs portables et de bureau gérés appartenant à l’entreprise, avec accès aux applications d’affaires et aux serveurs dont ils ont besoin.
Serveurs et infrastructure
Serveurs de fichiers, appareils de sauvegarde et outils de gestion du réseau, accessibles uniquement depuis les systèmes et par les administrateurs qui en ont besoin. Les systèmes de sauvegarde, en particulier, doivent être étroitement restreints.
Téléphonie et imprimantes
Téléphones VoIP et imprimantes sur leurs propres segments, autorisés à joindre uniquement les services nécessaires, comme le fournisseur du système téléphonique ou le serveur d’impression.
IdO et systèmes du bâtiment
Caméras, contrôle d’accès aux portes, téléviseurs intelligents, thermostats et autres appareils rarement mis à jour, isolés pour qu’ils ne puissent pas atteindre les données de l’entreprise.
Invités
Accès à Internet seulement, sans aucune route vers un segment interne.
Wi-Fi pour le personnel et les invités
Les réseaux sans fil débordent de vos murs. Configurez-les comme si quelqu’un dans le stationnement essayait de s’y connecter, car c’est parfois le cas.
- Utilisez WPA3 lorsque tous les appareils le prennent en charge, ou le mode de transition WPA2/WPA3 ; abandonnez complètement WEP et WPA-TKIP.
- Pour les bureaux plus importants, envisagez WPA2 ou WPA3 Entreprise avec 802.1X, afin que chaque utilisateur ou appareil s’authentifie individuellement, souvent au moyen de Microsoft Entra ID ou de certificats délivrés par Intune.
- Si vous utilisez une clé prépartagée pour le personnel, rendez-la longue et aléatoire, changez-la lorsque des employés qui la connaissent partent et ne la communiquez pas aux invités.
- Exploitez un réseau invité distinct sur son propre VLAN, avec isolement des clients, limites de bande passante et aucun accès aux ressources internes, et changez régulièrement son mot de passe ou utilisez un portail captif.
- Désactivez WPS, changez les identifiants d’administration par défaut des points d’accès et tenez leur micrologiciel à jour.
- Placez les points d’accès de façon à couvrir vos locaux sans diffuser inutilement le signal chez les voisins ou dans la rue.
Accès à distance : RPV et accès réseau zéro confiance
Avec le télétravail, le périmètre du réseau comprend désormais des tables de cuisine et des cafés. Les RPV traditionnels créent un tunnel chiffré vers le réseau du bureau et demeurent un choix raisonnable lorsqu’ils sont bien configurés : exigez l’authentification multifacteur à chaque connexion, ne donnez aux utilisateurs distants accès qu’aux segments dont ils ont besoin, appliquez rapidement les correctifs au logiciel et à l’appareil RPV, et journalisez les connexions. Les appareils RPV sont une cible récurrente des attaquants : en laisser un sans correctifs représente un risque sérieux.
L’accès réseau zéro confiance (ZTNA) adopte une approche différente. Plutôt que de placer l’appareil distant sur le réseau, il donne accès à des applications précises après avoir vérifié l’identité et l’état de l’appareil, souvent par l’intermédiaire d’un service infonuagique. Les utilisateurs ne voient jamais l’ensemble du réseau, ce qui limite ce qu’un attaquant peut atteindre avec des identifiants volés. Pour les organisations dont les applications se trouvent surtout dans Microsoft 365 et d’autres plateformes SaaS, le besoin d’un RPV peut être minime, et le ZTNA ou la publication d’applications peut le remplacer pour les quelques systèmes internes qui restent.
Quelle que soit l’approche choisie, n’exposez jamais directement à Internet le protocole de bureau à distance (RDP), le partage de fichiers SMB ou les pages de gestion des appareils. Le RDP exposé est l’un des points d’entrée les plus souvent exploités par les rançongiciels.
L’IdO et les appareils que personne ne considère comme des ordinateurs
Les caméras de sécurité, les enregistreurs vidéo, les écrans de salles de conférence, les téléviseurs intelligents, les imprimantes, les lecteurs de cartes d’accès et les contrôleurs de CVCA sont tous des ordinateurs en réseau. Beaucoup sont livrés avec des mots de passe par défaut, reçoivent rarement des mises à jour et sont installés par des entrepreneurs plutôt que par les TI. Certains établissent aussi des connexions sortantes vers des services infonuagiques que vous n’avez pas choisis.
Inventoriez-les, changez les identifiants par défaut, mettez à jour le micrologiciel lorsque c’est possible, désactivez les fonctions inutilisées comme UPnP et l’accès infonuagique à distance, et placez-les sur un segment isolé avec seulement les accès dont ils ont besoin. Lorsque vous achetez de nouveaux appareils, demandez au fabricant pendant combien de temps il fournira des mises à jour de sécurité.
Visibilité et entretien
La sécurité réseau n’est pas un projet ponctuel. Une routine légère et régulière l’empêche de se dégrader.
Tenir un inventaire
Consignez chaque équipement réseau, son modèle, la version de son micrologiciel, son statut de prise en charge, son emplacement et son responsable. Incluez l’équipement du fournisseur Internet et tout ce qu’un entrepreneur a installé.
Utiliser le filtrage DNS
Le filtrage des requêtes DNS bloque les domaines malveillants et d’hameçonnage connus pour chaque appareil du réseau, et peut s’étendre aux ordinateurs portables nomades au moyen d’un agent.
Journaliser et surveiller
Envoyez les journaux du pare-feu et du Wi-Fi vers un emplacement où ils sont conservés et examinés, et configurez des alertes pour les modifications de configuration et les échecs de connexion répétés.
Réviser régulièrement
Vérifiez chaque mois le micrologiciel et le statut de prise en charge, révisez chaque trimestre les règles du pare-feu et les comptes RPV, et testez la segmentation après chaque changement en confirmant qu’un appareil invité ne peut vraiment pas atteindre les systèmes internes.
Sécuriser la couche physique
Verrouillez la salle de télécommunications, désactivez les prises murales inutilisées ou affectez-les à un VLAN restreint, et sachez qui a un accès physique à l’équipement réseau.
Commencez par trois vérifications
Confirmez que votre pare-feu est pris en charge et que son micrologiciel est à jour, confirmez que rien comme le RDP n’est exposé à Internet, et confirmez que le Wi-Fi invité ne peut atteindre aucun appareil interne. Ces trois vérifications comblent certaines des lacunes les plus courantes des réseaux de petits bureaux.
Questions fréquentes
Le routeur de notre fournisseur Internet est-il suffisant ?
Pour un très petit bureau, il peut offrir une protection de base, mais les routeurs des fournisseurs Internet manquent souvent de segmentation, de journalisation et de mises à jour du micrologiciel en temps opportun. La plupart des entreprises gagnent à utiliser un pare-feu d’entreprise dédié, l’appareil du fournisseur étant configuré en mode pont ou intercommunication.
Avons-nous encore besoin d’un RPV si tout est dans Microsoft 365 ?
Peut-être pas. Si toutes les applications d’affaires sont infonuagiques et protégées par l’accès conditionnel, un RPV ne sera peut-être nécessaire que pour quelques systèmes internes, voire pas du tout. Le ZTNA peut donner accès à ces systèmes sans accès complet au réseau.
Qu’est-ce que la segmentation du réseau et pourquoi est-ce important ?
La segmentation divise le réseau en zones séparées par des règles, de sorte qu’un appareil compromis dans une zone, comme une caméra ou l’ordinateur portable d’un invité, ne puisse pas atteindre librement les serveurs et les ordinateurs du personnel situés dans une autre.
À quelle fréquence faut-il mettre à jour le micrologiciel du pare-feu ?
Appliquez les mises à jour de sécurité rapidement dès leur publication, et en urgence pour les vulnérabilités que le fabricant signale comme exploitées. Vérifiez les mises à jour au moins chaque mois et avant que l’appareil n’atteigne la fin de sa prise en charge.
Services connexes
Produits et forfaits
Obtenez un portrait clair du réseau de votre bureau
Une évaluation du réseau examine votre pare-feu, votre Wi-Fi, la segmentation, l’accès à distance et l’inventaire des appareils, et vous remet un plan d’amélioration priorisé.