Sécurité des réseaux - Les fondamentaux

Objectif : Analyser les faiblesses des protocoles TCP/IP et comprendre les vecteurs d'attaque réseau.

• Rappels sur le modèle OSI, la pile TCP/IP et les vulnérabilités protocolaires (ARP, IP, ICMP, TCP, UDP).
• Panorama des menaces réseau : usurpation d'IP, Arp Poisoning, attaques Man-in-the-Middle (MITM) et DDoS.
• Principes de défense en profondeur et cartographie des zones de confiance d'un réseau.

Atelier pratique : Capture et analyse de trafic malveillant sous Wireshark pour identifier une attaque par balayage de ports.

Cas métier : Diagnostic d'une coupure réseau à la suite d'une attaque ARP Spoofing- Analyse des tables ARP des commutateurs.

Compétence acquise : Diagnostiquer les faiblesses protocolaires d'un réseau et identifier les attaques.

Livrable : Le guide d'analyse des paquets sous Wireshark.

Objectif : Structurer le découpage réseau et isoler les environnements critiques.

• Concept de segmentation : sous-réseaux, VLANs (802.1Q) et routage inter-VLAN.
• Isolation des flux : conception de la zone DMZ (Démilitarisée) pour les serveurs exposés.
• Sécurisation des commutateurs (Switch Hardening) : Port Security, DHCP Snooping, Dynamic ARP Inspection (DAI).

Atelier pratique : Configuration de VLANs et mise en place de la protection des ports de commutateurs contre le piratage.

Cas métier : Isolation du réseau Wifi Invités et de la téléphonie IP- Séparation stricte des flux de production.

Compétence acquise : Segmenter un réseau d'entreprise et sécuriser la couche d'accès Nivel 2.

Livrable : Le plan d'adressage et de segmentation VLAN d'entreprise.

Objectif : Rédiger et implémenter la politique de filtrage d'un pare-feu réseau.

• Principes de fonctionnement des pare-feux : filtrage d'état (Stateful Inspection) vs filtrage de paquets simple.
• Construction de la matrice de flux : règles Ingress, Egress et règle de rejet implicite (Implicit Deny).
• Traduction d'adresses réseau (NAT / PAT / Port Forwarding).

Atelier pratique : Implémentation d'une matrice de filtrage pare-feu complète sur une maquette réseau d'entreprise.

Cas métier : Publication sécurisée d'un serveur Web public- Configuration du NAT destination et du filtrage pare-feu.

Compétence acquise : Configurer une politique de filtrage pare-feu étanche et performante.

Livrable : La matrice de flux pare-feu type d'entreprise.

Objectif : Concevoir des règles de filtrage étanches (ACL) et positionner une zone démilitarisée (DMZ).

• Créer des règles de filtrage (ACLs) adaptées aux besoins métiers de l'entreprise.
• Choisir et positionner des règles de pare-feu d'extrémité et de périmètre (DMZ).
• Contrôler la cohérence des accès entrants et sortants.

Atelier pratique : Production et test d'un jeu complet d'ACLs pour isoler la base de données d'une application d'entreprise.

Cas métier : Déploiement d'une zone démilitarisée (DMZ) pour protéger le serveur d'applications publiques d'un cabinet de conseil.

Compétence acquise : Être capable de créer une politique de filtrage réseau étanche et fiable.

Livrable : Matrice de flux réseau et politique de filtrage configurée.

Objectif : Interconnecter deux sites distants de manière chiffrée par VPN IPsec.

• Principes de la cryptographie symétrique, asymétrique et du hachage appliqué aux réseaux.
• Architecture du protocole IPsec : AH, ESP, modes Transport et Tunnel.
• Négociation des clés avec IKEv1 / IKEv2 (Phase 1 et Phase 2) et mécanismes Diffie-Hellman.

Atelier pratique : Configuration d'un tunnel VPN IPsec Site-à-Site entre deux pare-feux virtuels.

Cas métier : Interconnexion du siège social avec une filiale distante- Chiffrement fort des échanges de données.

Compétence acquise : Configurer un tunnel VPN IPsec Site-à-Site hautement sécurisé.

Livrable : La fiche d'architecture du tunnel VPN IPsec.

Objectif : Déployer la solution de raccordement sécurisé pour les collaborateurs nomades.

• Architecture des VPN SSL/TLS : mode portail Web vs mode Client lourd (Tunnels SSL).
• Authentification des utilisateurs nomades : intégration avec Active Directory / RADIUS et double facteur (MFA).
• Contrôle de la posture du poste client (Host Checking / compliance).

Atelier pratique : Déploiement d'un portail VPN SSL pour l'accès sécurisé des télétravailleurs avec authentification forte.

Cas métier : Sécurisation du travail à distance pour 200 télétravailleurs- Configuration de l'accès VPN nomade.

Compétence acquise : Déployer et administrer des accès VPN nomades SSL/TLS sécurisés.

Livrable : Le guide de déploiement de l'accès nomade sécurisé.

Objectif : Sécuriser l'accès physique et sans fil au réseau via l'authentification 802.1X.

• Contrôle d'accès réseau avec le standard IEEE 802.1X et le serveur RADIUS (NPS / Cisco ISE / FreeRADIUS).
• Architecture EAP (EAP-TLS, PEAP) et déploiement de certificats électroniques sur les équipements.
• Sécurité des réseaux sans fil (Wi-Fi) : WPA2/WPA3 Enterprise et gestion du réseau Invités.

Atelier pratique : Configuration de l'authentification 802.1X sur un commutateur et un point d'accès Wi-Fi.

Cas métier : Refus de l'accès au réseau d'entreprise pour les équipements non gérés (BYOD)- Déploiement du 802.1X.

Compétence acquise : Verrouiller l'accès aux prises réseau physiques et au Wi-Fi d'entreprise via 802.1X.

Livrable : La politique de contrôle d'accès réseau (NAC) et 802.1X.

Objectif : Centraliser la journalisation des événements réseau et dresser la synthèse d'architecture.

• Journalisation centralisée des événements réseau via Syslog et SNMPv3.
• Supervision de l'état de santé des équipements réseau et détection des anomalies de débit.
• Rédaction du plan d'action d'amélioration de la sécurité du réseau d'entreprise.

Atelier pratique : Configuration de la remontée des journaux d'un pare-feu vers un serveur Syslog centralisé.

Cas métier : Investigation suite à une saturation de bande passante- Analyse des logs de trafic réseau.

Compétence acquise : Centraliser les journaux réseau et piloter la supervision de la sécurité d'une infrastructure.

Livrable : La documentation complète de l'architecture réseau sécurisée.

Objectif : Réutiliser en autonomie la segmentation, les VLAN, le filtrage, la DMZ et les VPN des journées ESSENTIEL pour construire une architecture réseau sécurisée.

• Réactiver les acquis des journées ESSENTIEL : rappel visuel et quiz sur les menaces réseau, les VLAN, l'inspection d'état, les ACL, la DMZ et les VPN.
• Concevoir une architecture cloisonnée : zones, matrice des flux autorisés, règles de filtrage et accès distants.

Atelier pratique : Entraînement en binômes : auditer une liste de règles de filtrage volontairement trop permissive et la corriger, avec correction croisée entre binômes.

Cas métier : L'entreprise multisite (cas fil rouge) - Les participants segmentent le réseau en zones, construisent la matrice des flux, configurent les règles de filtrage et la DMZ, relient le site distant par VPN, puis présentent leur architecture au groupe.

Compétence acquise : Savoir concevoir et mettre en place en autonomie une architecture réseau cloisonnée.

Livrable : La matrice des flux et la configuration de filtrage, construites avec les modèles des journées ESSENTIEL.

Objectif : Mettre à l'épreuve le contrôle d'accès, la journalisation et la supervision face à une tentative d'intrusion simulée.

• Retour sur l'authentification réseau (RADIUS, 802.1X), le Wi-Fi sécurisé, la journalisation et le plan de sécurisation vus les jours précédents.
• Détecter une activité suspecte dans les journaux, l'analyser et y répondre.

Atelier pratique : Exercice guidé : analyser des extraits de journaux et repérer les signes d'une attaque, puis comparer les analyses entre participants.

Cas métier : La tentative d'intrusion (cas fil rouge) - Le formateur simule une intrusion sur le réseau. Chaque participant la détecte grâce aux journaux, la contient en ajustant les règles et le contrôle d'accès, puis présente son plan de sécurisation au groupe.

Compétence acquise : Savoir détecter et contenir un incident de sécurité réseau.

Livrable : Le plan de sécurisation réseau mis à jour, issu des modèles des journées ESSENTIEL.