Contrôles de cybersécurité – Sécurité réseau, systèmes, applications et réponse aux incidents

Bonne lecture et bon apprentissage !
Junior TSAFACK – 07/09/2026
⏱️ Temps de lecture estimé : 14 minutes

Après avoir exploré les menaces, il est temps de se concentrer sur les défenses. Ce chapitre couvre les différents types de contrôles de sécurité, les attaques réseau courantes, les bonnes pratiques pour sécuriser les systèmes et les applications, ainsi que les processus essentiels comme la gestion des vulnérabilités et la réponse aux incidents.

1. Les attaques sur Internet : comprendre pour mieux se défendre

Avant d’aborder les contrôles de sécurité, il est essentiel de connaître les attaques qu’ils sont censés contrer. Voici les principales menaces qui pèsent sur les infrastructures réseau.

1.1. La cartographie du réseau

La cartographie du réseau est le processus qui consiste à découvrir et à visualiser les connexions physiques et logiques d’un réseau (routeurs, commutateurs, serveurs, etc.).

Outils populaires :

Nmap (Network Mapper) : Outil open source qui permet d’identifier les appareils, les ports ouverts, les services et les systèmes d’exploitation présents sur un réseau.
Wireshark : Un analyseur de protocole réseau qui capture et affiche le trafic réseau en temps réel, permettant une analyse approfondie des paquets.

Utilisation par les attaquants : Tout comme un cambrioleur inspecte une maison, les attaquants utilisent la cartographie pour identifier les points d’entrée, les systèmes vulnérables et les actifs de grande valeur. Ils l’utilisent pour planifier des attaques ciblées ou des menaces persistantes avancées (APT), où ils se déplacent latéralement dans le réseau sans être détectés.

1.2. Le reniflage de paquets (Packet Sniffing)

Les paquets sont de petites unités de données (contenant un en-tête avec les adresses source/destination, et la charge utile) qui circulent sur le réseau. Le reniflage de paquets consiste à capturer et analyser ces paquets.

Comment ça fonctionne ? Les renifleurs placent la carte réseau en mode promiscuité, ce qui leur permet de capturer tout le trafic sur le segment réseau, quelle que soit la destination.

Types de reniflage :

Reniflage passif : L’attaquant observe silencieusement le trafic (ex : sur un réseau WiFi public).
Reniflage actif : L’attaquant injecte du trafic pour manipuler les commutateurs et forcer l’interception de paquets spécifiques (ex : ARP spoofing).

Défenses :

Utiliser le chiffrement (HTTPS, VPN) pour rendre les données interceptées illisibles.
Mettre à jour les systèmes et utiliser un VPN sur les réseaux publics.
Activer l’authentification multifactorielle (MFA).

1.3. L’usurpation d’adresse IP (IP Spoofing)

L’usurpation d’adresse IP consiste à modifier l’en-tête d’un paquet pour falsifier l’adresse IP source, masquant ainsi la véritable origine de l’expéditeur.

Utilisations malveillantes :

Attaques DDoS (Distributed Denial of Service) : Les attaquants inondent une cible de trafic en usurpant des adresses IP pour masquer leur identité et rendre le filtrage difficile. GitHub a subi en 2018 l’une des plus grandes attaques DDoS jamais enregistrées.
Masquage de botnets : Les botnets, des armées d’ordinateurs infectés, utilisent l’usurpation pour protéger leurs activités.
Attaques de l’homme du milieu (MitM) : L’attaquant intercepte et modifie les communications entre deux parties.

Défenses :

Filtrage d’entrée (Ingress Filtering) : Bloque les paquets entrants dont l’adresse IP source ne correspond pas à l’origine attendue.
Filtrage de sortie (Egress Filtering) : Vérifie que les paquets sortants ont des en-têtes source authentiques, empêchant les utilisateurs du réseau d’envoyer des paquets usurpés.

1.4. Les attaques par déni de service (DoS/DDoS)

Une attaque par déni de service (DoS) vise à rendre un service, un serveur ou un réseau indisponible.

Types d’attaques DoS :

Attaque “Ninja” (ciblée) : Un paquet malformé est envoyé, provoquant un crash instantané du système (ex : dépassement de tampon).
“Mort par 1000 coupures” (ressources) : L’attaquant utilise des techniques comme le SYN flood pour épuiser les ressources du serveur en ouvrant de fausses connexions.
Attaque DDoS (distribuée) : L’attaque provient de plusieurs sources (un botnet), submergeant la cible de trafic.

Défenses :

Redondance : Avoir plusieurs systèmes pour éviter un point de défaillance unique.
Limitation de débit (Rate Limiting) : Limiter le nombre de requêtes acceptées sur une période donnée.
Filtrage du trafic : Utiliser des filtres pour bloquer le trafic malveillant.
Renforcement des systèmes (Hardening) : Supprimer les services et fonctionnalités inutiles.
Application de correctifs (Patching) : Maintenir les systèmes à jour.
Surveillance : Utiliser des outils SIEM et XDR pour détecter les anomalies.
Plans de réponse (SOAR) : Avoir des playbooks pour réagir rapidement.

1.5. Les attaques par injection (SQL et XSS)

Les attaques par injection exploitent les failles de validation des entrées dans les applications web.

Injection SQL (Structured Query Language) : L’attaquant injecte du code SQL malveillant dans une requête pour manipuler la base de données.

Conséquences : Violation de la confidentialité (vol de données), compromission de l’authentification, perte d’autorisation et violation de l’intégrité (modification/suppression de données).

Cross-Site Scripting (XSS) : L’attaquant injecte des scripts malveillants (souvent JavaScript) dans des pages web considérées comme sûres. Ces scripts s’exécutent dans le navigateur de la victime.

Types :
- XSS côté serveur : Le code malveillant est stocké ou reflété par le serveur.
- XSS côté client : Le code malveillant est injecté dans le DOM via des scripts côté client.

Défenses :

Validation des entrées (ou “assainissement”) : S’assurer que les données saisies par l’utilisateur sont conformes au format attendu.
Gestion des erreurs : Ne pas exposer d’informations sensibles via les messages d’erreur.
Utilisation de requêtes paramétrées : Éviter de construire des requêtes SQL par concaténation de chaînes.

2. Les contrôles de sécurité : des boucliers multidimensionnels

Les contrôles de sécurité sont des mesures conçues pour protéger la confidentialité, l’intégrité et la disponibilité (triade CIA) des actifs d’une organisation. Ils se classent en trois catégories principales.

2.1. Les types de contrôles

Type de contrôle	Description	Exemples
Administratif	Directives et méthodologies pour que les employés respectent les protocoles de sécurité.	Politiques de sécurité, formation de sensibilisation, séparation des tâches, audits.
Physique	Mesures pour sécuriser les actifs tangibles (matériel, infrastructures).	Portes verrouillées, clôtures, badges d’accès, caméras de surveillance, gardes de sécurité.
Technique	Mesures implémentées via le matériel, le logiciel ou le microprogramme pour protéger les données et les systèmes.	Pare-feux, antivirus, MFA, chiffrement, systèmes de détection d’intrusion (IDS).

2.2. Les fonctions des contrôles

Chaque contrôle peut également être classé selon sa fonction principale :

Fonction	Objectif	Exemples de contrôles
Préventif	Empêcher un incident de sécurité avant qu’il ne se produise.	Chiffrement, MFA, pare-feu, politiques d’embauche, portes verrouillées.
Détective	Identifier et alerter sur des actions inappropriées ou non autorisées.	SIEM, IDS, audits, caméras de surveillance, journalisation sécurisée.
Dissuasif	Décourager les comportements non sécurisés ou les attaques.	Bannières d’avertissement, politiques de sécurité, présence de gardes, signalisation d’accès restreint.
Correctif	Réparer les conséquences d’un incident et prévenir sa récurrence.	Plans de reprise d’activité, plans de réponse aux incidents, correctifs de vulnérabilités, réparation des serrures.

3. Sécurisation des systèmes

La sécurité du système protège les systèmes informatiques et leurs informations contre les accès non autorisés, les dommages ou le vol.

3.1. Méthodes clés

Contrôles d’accès : Limiter l’accès aux ressources (autorisations, mots de passe, biométrie, MFA).
Chiffrement : Convertir les données en un code illisible sans la clé de déchiffrement. Le chiffrement intégral du disque protège les données même en cas de perte ou de vol de l’appareil.
Application de correctifs (Patching) : Mettre à jour les logiciels pour corriger les vulnérabilités et les bogues.
Sauvegardes régulières : Créer des copies des données pour les restaurer en cas de perte (panne matérielle, ransomware, etc.).
Pare-feux au niveau du système : Logiciels qui inspectent le trafic réseau entrant et sortant sur un ordinateur individuel.
Logiciels antivirus : Analyser les systèmes à la recherche de menaces connues (via des signatures) et de comportements suspects (via l’heuristique).

4. Sécurisation du réseau

La sécurité du réseau protège l’infrastructure réseau contre l’accès non autorisé, l’exploitation ou le vol. Elle repose sur une approche de défense en profondeur.

4.1. Objectifs principaux

Empêcher les accès non autorisés.
Identifier et stopper les cybermenaces en cours.
Garantir un accès sécurisé aux utilisateurs légitimes.

4.2. Outils et techniques clés

Outil / Technique	Description
Pare-feux	Barrière matérielle ou logicielle qui filtre le trafic entrant/sortant.
Contrôle d’accès réseau (NAC)	Gère l’authentification et l’autorisation des utilisateurs pour contrôler l’accès au réseau.
Système de détection et de prévention des intrusions (IDPS)	Analyse le trafic pour identifier et bloquer les menaces.
Réseau privé virtuel (VPN)	Chiffre le trafic Internet et masque l’adresse IP, essentiel pour le télétravail.
Segmentation du réseau	Divise le réseau en sous-réseaux pour limiter le mouvement latéral des attaquants.
Sécurité des terminaux	Protège les points d’extrémité (ordinateurs, mobiles, serveurs) avec antivirus, antimalware et pare-feu personnels.
Gestion des informations et des événements de sécurité (SIEM)	Agrége et analyse les données de logs pour offrir une visibilité en temps réel et détecter les anomalies.
Orchestration, automatisation et réponse de sécurité (SOAR)	Automatise les flux de travail et les réponses aux incidents, en complément du SIEM.

5. Sécurité des applications : la sécurité dès la conception

La sécurité des applications (ou “SecDevOps”) consiste à intégrer des pratiques de codage sécurisé tout au long du cycle de vie du développement logiciel (SDLC). L’objectif est de détecter et de résoudre les problèmes de sécurité dès la phase de conception, et non après le déploiement.

5.1. Pratiques de codage sécurisé

Pratique	Description
Validation des entrées	S’assurer que les données entrantes sont correctes et sûres avant de les traiter (prévient les injections SQL et XSS).
Gestion des erreurs	Gérer les erreurs de manière sécurisée sans exposer d’informations sensibles.
Journalisation sécurisée	Enregistrer les événements pour suivre les activités tout en protégeant l’accès aux journaux.
Éviter les informations d’identification codées en dur	Ne pas stocker de mots de passe ou de clés API dans le code source. Utiliser des gestionnaires de secrets.
Contrôle d’accès	Mettre en œuvre des droits d’accès stricts pour les utilisateurs.
Chiffrement	Crypter les données sensibles au repos et en transit.
Tests de sécurité des logiciels	Utiliser des outils comme le SAST (analyse statique du code source), le DAST (tests dynamiques sur l’application en cours d’exécution) et l’IAST (combinaison des deux).

6. Gestion des vulnérabilités

La gestion des vulnérabilités est un processus continu d’identification, d’évaluation et d’atténuation des failles de sécurité.

Étapes clés :

Définir et classer les cibles : Identifier tous les actifs du réseau.
Effectuer des analyses régulières : Utiliser des scanners automatisés (ex : Nessus, OpenVAS) pour détecter les vulnérabilités.
Analyser et prioriser : Évaluer la criticité des vulnérabilités.
Remédier : Appliquer les correctifs ou les mesures d’atténuation.
Re-analyser : Vérifier que les correctifs ont bien été appliqués.

Bonnes pratiques :

Planifier les analyses pendant les heures creuses.
Mettre à jour régulièrement les bases de données des scanners.
Adapter les analyses aux caractéristiques des actifs.

7. Réponse aux incidents (RI) et criminalistique numérique

Le National Institute of Standards and Technology (NIST) propose un plan de réponse aux incidents en quatre phases, reconnu comme une norme du secteur.

7.1. Les quatre phases du cycle de vie de la RI

Phase	Description
1. Préparation et planification	Mettre en place une équipe IR, définir les rôles, les canaux de communication et un plan d’action.
2. Détection et analyse	Utiliser des outils (SIEM, IDS) pour détecter les anomalies. La criminalistique numérique est cruciale pour collecter et analyser les preuves.
3. Confinement, éradication et récupération	Isoler les systèmes infectés, supprimer la cause (éradication) et restaurer les systèmes.
4. Activité post-incident	Effectuer une revue pour identifier les faiblesses et améliorer le plan IR. Rédiger un rapport de leçons apprises.

7.2. Le rôle de la criminalistique numérique

La criminalistique numérique est une branche de la science forensique qui fournit les outils et techniques pour identifier, préserver, extraire et documenter des preuves numériques.

Concepts clés :

Chaîne de traçabilité (Chain of Custody) : Documentation chronologique de qui a manipulé les preuves, quand et comment. Elle garantit l’intégrité des preuves et leur admissibilité en justice.

8. Points clés à retenir

Les attaques réseau (cartographie, reniflage, usurpation, DDoS) exploitent les vulnérabilités des protocoles et des infrastructures.
Les attaques par injection (SQL, XSS) ciblent les applications web mal sécurisées.
Les contrôles de sécurité se déclinent en trois catégories (administratifs, physiques, techniques) et quatre fonctions (préventive, détective, dissuasive, corrective).
La sécurité des systèmes repose sur le contrôle d’accès, le chiffrement, les correctifs, les sauvegardes, les pare-feux et les antivirus.
La sécurité du réseau utilise une approche de défense en profondeur avec des outils comme les pare-feux, NAC, IDPS, VPN, SIEM et SOAR.
La sécurité des applications intègre des pratiques de codage sécurisé (validation, gestion des erreurs, tests SAST/DAST) tout au long du cycle de vie du logiciel.
La gestion des vulnérabilités est un processus continu d’analyse et de correction.
La réponse aux incidents suit les phases définies par le NIST, de la préparation au post-incident, avec la criminalistique numérique comme outil clé.

9. Glossaire

Terme	Définition
Nmap	Outil de cartographie réseau pour découvrir les appareils, ports et services.
Wireshark	Analyseur de protocole réseau pour capturer et analyser le trafic en temps réel.
Reniflage de paquets	Technique de capture et d’analyse des paquets de données sur un réseau.
Usurpation d’adresse IP (IP Spoofing)	Falsification de l’adresse IP source dans un paquet.
DDoS (Distributed Denial of Service)	Attaque visant à submerger un système de trafic provenant de multiples sources.
Injection SQL	Attaque injectant du code SQL malveillant dans une requête de base de données.
XSS (Cross-Site Scripting)	Attaque injectant des scripts malveillants dans des pages Web.
Contrôle de sécurité	Mesure pour protéger la CIA des actifs.
Authentification multifactorielle (MFA)	Utilisation de plusieurs facteurs de vérification pour l’accès.
VPN (Virtual Private Network)	Chiffre le trafic et masque l’identité en ligne.
SAST / DAST / IAST	Méthodes de test de sécurité des applications (statique, dynamique, interactive).
SIEM / SOAR	Solutions de gestion des informations de sécurité et d’orchestration de la réponse.
Réponse aux incidents (RI)	Approche structurée pour gérer les incidents de sécurité.
Criminalistique numérique	Collecte et analyse des preuves numériques.
Chaîne de traçabilité	Documentation de l’intégrité des preuves.
NIST	Institut national des normes et de la technologie, définit des normes pour la RI.

10. Prochain chapitre

Vous avez découvert les contrôles techniques, physiques et administratifs pour sécuriser une infrastructure. Le prochain chapitre se concentrera sur la gestion des identités et des accès, ainsi que sur les contrôles physiques.

👉 Chapitre 4 : Contrôles d’identité et physiques