Sécurité réseau au Rwanda

Qu’est-ce que la sécurité réseau, et qui en a besoin

C’est l’ensemble des contrôles internes situés derrière le pare-feu périmétrique : la segmentation entre types de trafic et niveaux de sensibilité, des règles qui décident quelles zones peuvent communiquer, la protection des équipements réseau eux-mêmes, et la surveillance des mouvements inhabituels entre zones. Elle compte le plus là où des systèmes sensibles, comme la comptabilité, les RH, les dossiers patients ou une application bancaire centrale, partagent un réseau avec les appareils du personnel, le Wi-Fi invités et les caméras.

Le problème qu’elle résout

Sur un réseau à plat, un seul ordinateur hameçonné est une voie potentielle vers vos serveurs, vos systèmes financiers et vos sauvegardes. Les rançongiciels en particulier se propagent de machine en machine et cherchent les serveurs de fichiers et les sauvegardes à chiffrer. La segmentation contient un incident dans la zone où il a commencé, fait gagner du temps pour le détecter et y répondre, et transforme souvent un événement qui arrête l’activité en nettoyage d’une seule machine.

Comment nous définissons les zones

Les zones sont conçues selon le risque et le fonctionnement réel de votre organisation, généralement :

• Les appareils du personnel : ordinateurs portables et fixes utilisés au quotidien.
• Les systèmes sensibles : comptabilité, RH, dossiers patients ou clients, accessibles seulement aux personnes et serveurs qui en ont besoin.
• Les serveurs et sauvegardes, les sauvegardes étant la zone la plus difficile d’accès.
• Le Wi-Fi invités, avec accès à internet uniquement.
• Les caméras, le contrôle d’accès et les équipements du bâtiment, isolés parce que leurs logiciels sont rarement mis à jour.
• L’administration réseau, pour que commutateurs et pare-feu ne puissent être administrés que depuis une zone protégée.

Chaque zone reçoit des règles explicites : ce qu’elle peut atteindre, sur quels services, et pourquoi. Tout ce qui n’est pas nécessaire est bloqué. Un test simple d’une bonne conception : si un téléphone invité, une caméra ou un ordinateur ordinaire du personnel était pris en main demain, pourrait-il atteindre le serveur comptable ou les sauvegardes ? Si la réponse est oui, les zones ne font pas encore leur travail. Cela complète le volet routage du même matériel, configuré dans la rubrique Infrastructure informatique.

Ce que comprend le travail

1. Cartographier le réseau actuel. Nous documentons l’existant, la circulation réelle du trafic et l’emplacement des systèmes sensibles.
2. Concevoir les zones et les règles entre elles, en accord avec vous.
3. Mettre en œuvre par étapes. VLAN et règles du pare-feu sont introduits zone par zone pendant des créneaux planifiés, avec retour arrière prévu.
4. Renforcer les équipements réseau. Les comptes par défaut sont supprimés, l’accès d’administration restreint et les ports inutilisés désactivés.
5. Tester. Nous vérifions que chaque zone n’atteint que ce qu’elle doit, y compris en essayant les chemins qu’emprunterait un attaquant.
6. Activer la surveillance du trafic entre zones, pour qu’un mouvement inhabituel déclenche une alerte.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

Segmenter un réseau existant d’un seul site prend généralement deux à quatre jours, répartis sur des créneaux planifiés pour éviter les perturbations. Le coût dépend du nombre de zones, de la complexité du réseau existant, du nombre de sites, et de la capacité des commutateurs et du pare-feu existants à gérer les fonctionnalités requises sans remplacement.

Équipements généralement utilisés

Des commutateurs administrables qui gèrent les VLAN et la sécurité des ports, un pare-feu capable d’appliquer des règles entre zones internes comme à la frontière internet, et des points d’accès Wi-Fi capables d’associer différents réseaux à différentes zones. Pour les grands réseaux, le contrôle d’accès au réseau peut placer automatiquement un appareil dans la bonne zone lorsqu’il se connecte. La surveillance du trafic entre zones s’appuie sur les journaux du pare-feu, qui alimentent la même plateforme que la surveillance de la sécurité.

Les erreurs que nous voyons souvent

Aucune segmentation, si bien que le Wi-Fi invités, les caméras et les systèmes financiers partagent un seul réseau à plat. Des VLAN créés sans les règles de pare-feu qui imposent réellement la séparation, si bien que les zones existent sur le papier mais que le trafic circule librement. Des sauvegardes accessibles depuis les appareils ordinaires du personnel, que les rançongiciels trouveront. Des équipements réseau administrables depuis n’importe quel appareil avec un mot de passe par défaut. Et aucune surveillance entre zones, si bien qu’une intrusion qui se propage de l’une à l’autre passe inaperçue.