Chapitre 3 — OSI, Protocoles & Infrastructure Réseau

Comprendre le modèle OSI et les protocoles clés est fondamental pour situer les contrôles de sécurité. Ce module couvre le modèle OSI, les protocoles critiques, la segmentation et les équipements réseau.

Le Modèle OSI et la Sécurité

Mémorisez ! Mnémotechnique OSI (de bas en haut) : "Physique, Données, Réseau, Transport, Session, Présentation, Application" = "Please Do Not Throw Sausage Pizza Away". Les contrôles de sécurité sont souvent définis par la couche OSI où ils opèrent.

Couche	Nom	Protocoles/Équipements	Attaques / Contrôles
7	Application	HTTP, HTTPS, DNS, FTP, SMTP, SSH	XSS, SQLi, phishing → WAF, filtrage URL
6	Présentation	TLS/SSL, chiffrement, encodage	Downgrade SSL → forcer TLS 1.3
5	Session	NetBIOS, RPC, sockets	Hijacking de session → tokens sécurisés
4	Transport	TCP, UDP, ports	SYN flood → SYN cookies, rate limiting
3	Réseau	IP, ICMP, IPsec, routeurs	IP spoofing, routage malveillant → ACL, RPF
2	Liaison	Ethernet, ARP, MAC, switches	ARP spoofing, MAC flooding → Dynamic ARP Inspection
1	Physique	Câbles, hubs, signaux	Écoute passive, coupure → sécurité physique

Protocoles Critiques & Ports

Port	Protocole	Sécurisé ?	Alternative sécurisée
21	FTP	Non (clair)	SFTP (22) ou FTPS (990)
22	SSH	Oui	—
23	Telnet	Non (clair)	SSH (22)
25	SMTP	Non seul	SMTPS (587/465 + TLS)
53	DNS	Partiellement	DNS over TLS (853), DNS over HTTPS (443)
80	HTTP	Non	HTTPS (443)
110/143	POP3/IMAP	Non	POP3S (995), IMAPS (993)
443	HTTPS/TLS	Oui	—
445	SMB	Vulnérable (v1)	SMBv3 avec chiffrement
3389	RDP	Risqué si exposé	RDP via VPN + MFA

Astuce Examen

Mémorisez les ports dangereux : 21 (FTP), 23 (Telnet), 80 (HTTP), 445 (SMB v1), 3389 (RDP exposé). Ces protocoles transmettent en clair ou ont des vulnérabilités connues. Leur remplacement par des alternatives chiffrées est une priorité.

Segmentation Réseau

La segmentation divise le réseau en zones plus petites pour limiter la propagation des attaques (mouvement latéral).

VLAN (Virtual LAN) : segmentation logique au niveau couche 2. Isole des groupes d'appareils même sur le même switch physique.
Sous-réseaux (Subnets) : segmentation couche 3. Les routeurs contrôlent le trafic entre sous-réseaux via ACL.
DMZ (Demilitarized Zone) : zone entre le réseau interne et internet, hébergeant les serveurs accessibles publiquement (web, email, DNS). Protégée par deux pare-feux.
Micro-segmentation : segmentation très granulaire jusqu'au niveau des workloads individuels. Clé du Zero Trust et de la virtualisation/cloud.
Air Gap : isolement physique total d'un réseau — aucune connexion à internet ou réseaux externes. Utilisé pour les systèmes critiques (nucléaire, SCADA classifiés).

Équipements Réseau & Leur Rôle de Sécurité

Routeur : couche 3, route les paquets entre réseaux. Peut implémenter des ACL pour filtrer le trafic entre réseaux.
Switch : couche 2, connecte les appareils dans un même réseau. Sécurisation : désactiver les ports inutilisés, 802.1X, VLAN, STP BPDUguard.
Hub : couche 1, diffuse à tous les ports (obsolète, écoute passive triviale). Remplacé par les switches.
Pont (Bridge) : couche 2, connecte deux segments réseau. Surtout en Wi-Fi.
Passerelle (Gateway) : traducteur de protocoles entre réseaux différents. Aussi le terme pour le routeur par défaut.

Mémorisez ! Les hubs ne doivent jamais être utilisés — tout le trafic est visible par tous les appareils connectés. Un attaquant peut écouter passivement toutes les communications. Les switches modernes limitent cela (chaque port = domaine de collision séparé).

Quiz — OSI & Réseau

1. Un pare-feu Next-Generation (NGFW) qui inspecte le contenu HTTP et bloque les requêtes SQLi opère principalement à quelle couche OSI ?

Couche 3 — Réseau Couche 4 — Transport Couche 7 — Application Couche 2 — Liaison

L'inspection du contenu HTTP et la détection de SQLi nécessite d'analyser le payload applicatif — c'est la couche 7 (Application). Un pare-feu stateful basique opère à la couche 4 (ports TCP/UDP). Le NGFW monte jusqu'à la couche 7.

2. Un administrateur veut remplacer l'utilisation de Telnet pour l'administration des serveurs. Quelle est la meilleure alternative ?

FTP sur port 21 SSH sur port 22 HTTP sur port 80 RDP sur port 3389

SSH (port 22) est le remplaçant direct de Telnet (port 23). Telnet transmet tout en clair (y compris les mots de passe). SSH chiffre toute la session avec des algorithmes modernes (AES, chacha20).

3. Une DMZ est conçue pour :

Remplacer le VPN pour les accès distants Héberger les serveurs internes sensibles Bloquer tout le trafic internet entrant Isoler les serveurs accessibles publiquement (web, email) du réseau interne

La DMZ crée un zone tampon : les serveurs publics (web, email, DNS) sont accessibles depuis internet mais isolés du réseau interne. Si un serveur DMZ est compromis, l'attaquant ne peut pas atteindre directement le réseau interne.

4. L'ARP spoofing est une attaque opérant à quelle couche OSI ?

Couche 2 — Liaison de données Couche 3 — Réseau Couche 4 — Transport Couche 7 — Application

ARP (Address Resolution Protocol) opère à la couche 2. L'ARP spoofing empoisonne les caches ARP pour rediriger le trafic vers l'attaquant (attaque on-path/man-in-the-middle). Contre-mesure : Dynamic ARP Inspection (DAI) sur les switches.

5. Quelle est la principale menace de sécurité liée à l'utilisation d'un hub réseau ?

Les hubs ne supportent pas le VLAN Les hubs créent trop de collisions réseau Tout le trafic est diffusé à tous les ports — écoute passive triviale Les hubs ne supportent pas IPv6

Un hub diffuse chaque paquet à tous ses ports (couche 1). N'importe quel appareil connecté peut capturer tout le trafic du réseau en mode promiscuous. Les switches modernes isolent le trafic par port — beaucoup plus sûr.

6. La micro-segmentation est principalement utilisée pour :

Réduire la latence réseau dans les datacenters Limiter les mouvements latéraux en isolant chaque workload individuellement Créer des VLANs dans les switchs d'accès Chiffrer les communications entre pods Kubernetes

La micro-segmentation isole chaque workload (VM, conteneur, application) avec ses propres règles de pare-feu. Si un workload est compromis, l'attaquant ne peut pas facilement se déplacer vers les workloads adjacents.

7. Quel protocole remplace DNS standard pour sécuriser les requêtes DNS ?

DNSSEC uniquement (port 53) LDAPS (port 636) DNS over ICMP DNS over TLS (port 853) ou DNS over HTTPS (port 443)

DoT (DNS over TLS, port 853) et DoH (DNS over HTTPS, port 443) chiffrent les requêtes DNS pour empêcher l'interception et la manipulation. DNSSEC signe les réponses mais ne chiffre pas les requêtes.

8. Un "air gap" est :

Un isolement physique total du réseau sans connexion à des réseaux externes Un type de pare-feu pour les environnements cloud Un protocole de chiffrement pour les systèmes industriels Un espace entre les serveurs en rack pour la ventilation

Un air gap = aucune connexion physique ou logique à internet ou autres réseaux. Utilisé pour les systèmes ultra-sensibles (SCADA nucléaire, systèmes militaires classifiés). Les attaques contre les air-gaps utilisent des vecteurs physiques (USB Stuxnet, émissions RF).

9. SMBv1 est particulièrement dangereux car :

Il utilise le port 443 exposé sur internet Il ne supporte pas l'authentification Kerberos Des vulnérabilités critiques (EternalBlue/WannaCry) permettent l'exécution de code à distance sans authentification Il chiffre le trafic avec DES, un algorithme obsolète

EternalBlue (exploit NSA fuitée) cible SMBv1 et a été utilisé dans WannaCry, NotPetya, et d'autres attaques massives. SMBv1 doit être désactivé. SMBv3 avec chiffrement est la version sécurisée recommandée.

10. Un administrateur configure les switches pour que les serveurs web, les serveurs de base de données et les postes administrateur soient sur des réseaux logiquement séparés même s'ils partagent le même matériel physique. Quelle technologie utilise-t-il ?

ACL (Access Control Lists) VLAN (Virtual LAN) NAT (Network Address Translation) IPsec tunnel

Les VLANs permettent la segmentation logique sur un switch physique. Les appareils dans des VLANs différents ne peuvent pas communiquer directement — il faut passer par un routeur/pare-feu inter-VLAN, créant un point de contrôle supplémentaire.