Ryan Bouchou

Panorama sécurité des réseaux (fiche SSH)

Properties2
tagssecurite-reseaux
aliasesSSH, Panorama sécurité des réseaux

6 min de lecture

Objectif : regrouper, combler les manques et aligner avec les supports (pare-feu/DMZ/WAF, proxy et reverse proxy, VPN et MPLS/SASE, SSH/Fail2ban, cartographie, inventaires et sauvegardes, capture réseau).

À connaître par cœur : principe du moindre privilège côté réseau, cloisonnement, journalisation, sauvegardes, hygiène SSH, bases VPN.

0. Mots-clés (repères)

LB, RR-DNS, health-checks, sticky sessions, L4/L7, WAF, NGFW, IDS/IPS, DMZ, VLAN, NAT, reverse proxy, TLS termination, IPsec/IKEv2, TLS VPN, GRE, MPLS, QoS, SASE, SWG, CASB, ZTNA, Fail2ban, Hydra, nmap, whatweb, sslyze, gobuster, tcpdump, Wireshark, PRA/PCA, RPO/RTO, catalogue de sauvegarde, journalisation.

1. Répartition de charge et reverse proxy

1.1 Principes (L4 vs L7)

  • Load balancer (LB) : distribue les requêtes vers un pool de serveurs selon des algorithmes (RR, least-conn, latence) + sondes de santé (health-checks).
  • DNS round-robin = « load-balancing du pauvre » : pas de notion de disponibilité, de reprise fine ni d’état (peut envoyer du trafic vers un nœud down).
  • Reverse proxy (Nginx/HAProxy) : termine TLS, mise en cache, réécritures, routage applicatif — mais ce n’est pas un LB (même s’il peut l’embarquer).

Règle mentale : L4 = rapide et simple (TCP/UDP) ; L7 = plus fin (URL, cookies, headers) → utile pour sticky-sessions et TLS offload.

1.2 Cas d’usage (examen)

  • HA web : reverse proxy (TLS offload) + LB L7 vers web01..webN ; health-checks /healthz ; stickiness si sessions serveur.
  • Blue/Green : route 90 % vers v1, 10 % vers v2 ; bascule si OK.
  • Mitiger une panne : health-check down ⇒ retrait du nœud.
flowchart LR
  C[Client] -- HTTPS --> RP[Reverse Proxy/LB]
  RP -- HTTP --> W1[Web01]
  RP -- HTTP --> W2[Web02]
  subgraph Observabilité
    H((Health-check))
  end
  H -- poll --> W1
  H -- poll --> W2

À relier avec WAF si exposition Internet (voir §3).

2. Cloisonnement et pare-feu (stateless/stateful/NGFW) + DMZ

2.1 Pare-feu (rappels rapides)

  • Stateless : compare chaque paquet à des ACL ; pas de suivi d’état ⇒ ouvrir les ports de retour peut devenir dangereux.
  • Stateful : maintient un état de connexion (TCP/UDP) ⇒ autorise les flux de réponse attendus → plus sûr.
  • NGFW : ajoute inspection L7, contrôle applicatif, IPS, contextes identité/localisation/contenu.

2.2 DMZ (pour services exposés)

  • Placer web/mail/vpn en DMZ ; limiter au strict nécessaire les flux depuis la DMZ vers le LAN (pas de SSH par défaut ; droits en lecture seule vers BDD interne si possible).
flowchart LR
  ext[Internet] --> fw[FW périmétrique]
  fw --> dmz((DMZ))
  dmz -->|HTTPs/API| web[Web/App]
  dmz -.->|SQL RO| bdd[(DB Interne)]
  fw --> lan[(LAN interne)]
  classDef red fill:#ffdddd,stroke:#faa;
  class dmz red;

Mantra : tout ce qui n’est pas explicitement autorisé est interdit.

3. Proxy, reverse proxy, WAF, IDS/IPS

  • Proxy (forward) : filtrage d’accès, cache, masquage IP, parfois TLS (re)chiffrement ; peut répartir l’activité mais ne remplace pas un LB.
  • Reverse proxy : en frontal des applis web ; peut faire TLS offload, routage par URI/host.
  • WAF : protège la couche applicative (OWASP Top-10, validation entrées/sorties, gestion cookies, terminaison TLS côté WAF). Si WAF partout ⇒ dette côté dev.
  • IDS/IPS : détection/prévention d’intrusions réseau ou hôte ; à positionner aux jonctions (périmètre, inter-zones).

4. VPN : IPsec vs TLS, IKEv2, MPLS et cloud privatif (comparatif)

  • IPsec : mode tunnel (tout paquet encapsulé + nouvel en-tête IP) vs mode transport (chiffre la charge) ; souvent site-à-site ; IKEv2 rapide ; chiffre aussi l’en-tête IP en tunnel.
  • TLS/SSL VPN : typiquement accès nomade, plus simple en hétérogène ; fonctionne au-dessus de TLS.
  • MPLS : QoS/priorisation et fiabilité opérateur, pas de chiffrement natif, coût élevé ; VPN ≠ MPLS (objectifs/OSI différents).
  • Connexions cloud privées (ExpressRoute/DirectConnect/…) : débit/latence garantis, coûts et dépendances opérateur.
flowchart LR
  A[Site A LAN] -- IPsec IKEv2 --> B[Site B LAN]
  subgraph Internet
  end

SASE (panier : SWG, CASB, ZTNA) = convergence réseau + sécurité côté cloud pour accès depuis partout (utile à citer si la question dérive moderne).

5. SSH durci et Fail2ban (anti brute-force)

5.1 Durcissement SSH (serveur)

  • désactiver PasswordAuthentication (→ clés),
  • PermitRootLogin no,
  • X11Forwarding no,
  • AllowUsers ciblé,
  • algos Kex/Ciphers/MACs,
  • moduli ≥ 3071,
  • régénérer les host keys RSA(4096)/ED25519.

5.2 Détection / bannissement

  • Fail2ban sur sshd : maxretry / findtime / bantime, vérifier status sshd et logs ; générer proprement des essais (Hydra) avec éthique pour prouver l’efficacité.
sequenceDiagram
  participant A as Attaquant
  participant S as sshd
  participant F as Fail2ban
  A->>S: 5 tentatives échouées
  S->>F: logs /var/log/auth.log
  F-->>A: bannissement (iptables)

Définition brute-force (glossaire ANSSI) à citer si demandé.

6. Cartographie et inventaire (vue logique/physique, VLAN, DMZ, équipements)

  • s’appuyer sur le guide ANSSI PA-046 : vues logiques (réseaux/sous-réseaux, passerelles, équipements de sécurité), physiques (sites, baies, serveurs), services (DNS, DHCP, serveurs logiques). Noter VLAN/DMZ dans les attributs ;
  • démarche par niveaux de maturité (1 → 3) et trajectoire : utile pour structurer le livrable.
graph TD
  subgraph Vue logique
    NET1[LAN Prod /24]
    NET2[DMZ /27]
    FW[FW/NGFW + IDS/IPS]
    DNS[DNS]
    DHCP[DHCP]
  end
  subgraph Vue physique
    Site1[Siège]
    BaieA[Baie A]
  end
  NET1 --> FW --> NET2
  DNS --> NET1
  DHCP --> NET1
  Site1 --> BaieA

Bonnes pratiques ANSSI (sélection de guides : politique pare-feu, TLS/IPsec, switches, admin sécurisée) — à citer pour « aller plus loin ».

7. Sauvegardes (fondamentaux opérationnels)

  • Composants : catalogue, agents, serveur de sauvegarde, supports (disque/bande).
  • Architecture : cloisonner les serveurs de sauvegarde (réseau d’admin), VLAN dédié pour les flux, instances séparées selon sensibilité, auth indépendante d’AD prod ; filtrer au pare-feu.
  • Stratégie : définir rétention, RPO/RTO, favoriser hors-ligne (bande) pour parades ransomware ; l’opérateur de sauvegarde est un admin à hauts privilèges.

8. Capture et lecture de trafic / découverte de surface

  • TP découverte/scan : nmap -sC -sV -O -p-, whatweb, sslyze, gobuster → produire mémo risques + remédiations prioritaires.
  • Analyse brute : tcpdump / Wireshark (filtres BPF), lecture auth.log / fail2ban.log.

9. Mini-fiches « cas d’usage » (examen)

  • Exposer un site web : Internet → NGFW/IDS → DMZ (reverse proxy + WAF + LB L7) → App → DB (RO depuis DMZ) ; journaux centralisés.
  • Interco site-à-site : IPsec IKEv2 tunnel entre routeurs ; si multicast → GRE sur IPsec ; si besoin QoS garantie → MPLS (non chiffré).
  • Accès admins : bastion en réseau d’admin ; SSH durci ; flux filtrés ; sauvegardes isolées.

Vue Graphique

Liens retour