Plan du cours
Les hackers ne s'introduisent pas directement dans les systèmes de paiement de Target. Ils passent par le réseau d'un prestataire HVAC (climatisation) qui avait accès au réseau interne. Une fois à l'intérieur, ils se déplacent librement jusqu'aux terminaux de paiement et volent 40 millions de numéros de cartes bancaires.
Le problème n'était pas l'absence de pare-feu. C'était que tous les équipements internes se faisaient confiance — climatisation et caisses enregistreuses sur le même réseau. Coût : 162 millions de dollars.
Se défendre, ce n'est pas construire un seul mur très haut. C'est mettre en place une défense en profondeur — plusieurs couches de protection, chacune limitant les dégâts si la précédente est franchie.
Le pare-feu (Firewall)
Un pare-feu filtre le trafic réseau selon des règles. Il décide ce qui entre, ce qui sort, et ce qui est bloqué. Il se positionne généralement entre Internet et le réseau interne.
| Type | Fonctionnement | Couche OSI |
|---|---|---|
| Filtrage de paquets | Analyse IP source/destination et port. Simple et rapide. | Couche 3–4 |
| Stateful (avec état) | Suit l'état des connexions TCP. Autorise les réponses aux connexions légitimes. | Couche 3–4 |
| NGFW (nouvelle génération) | Inspecte le contenu des paquets, identifie les applications (Deep Packet Inspection). | Couche 7 |
AUTORISER TCP depuis ANY vers 192.168.1.10 port 443 (HTTPS)BLOQUER tout le resteLes règles sont lues dans l'ordre — la première qui correspond s'applique.
Les ACL (Access Control Lists)
Les ACL sont des listes de règles configurées directement sur les routeurs et switches. Elles filtrent le trafic au plus proche de la source, avant même qu'il atteigne un pare-feu.
Filtre uniquement sur l'adresse IP source. Simple mais peu précis.
Filtre sur l'IP source, IP destination, protocole et port. Bien plus précis et recommandé.
La segmentation réseau — les VLAN
La leçon de Target est claire : mettre tous ses équipements sur le même réseau est dangereux. La segmentation consiste à diviser le réseau en zones isolées, chacune avec ses propres règles d'accès.
Un VLAN (Virtual Local Area Network) crée des réseaux logiquement séparés sur la même infrastructure physique.
Postes utilisateurs
Serveurs internes
Wi-Fi invités
IoT / Imprimantes
Un poste piraté dans le VLAN 30 (invités) ne peut pas accéder aux serveurs du VLAN 20 — ils sont sur des réseaux logiquement séparés.
La DMZ (Zone Démilitarisée)
Une DMZ est une zone réseau intermédiaire, entre Internet et le réseau interne, qui héberge les serveurs accessibles depuis l'extérieur (web, mail, DNS).
Si un serveur web en DMZ est compromis, l'attaquant se retrouve dans la DMZ — pas directement dans le réseau interne. Le pare-feu interne constitue une deuxième ligne de défense.
- La défense en profondeur = plusieurs couches de protection indépendantes
- Le pare-feu filtre selon des règles (IP, port, protocole)
- Les VLAN isolent les zones réseau — si une zone est compromise, les autres restent protégées
- La DMZ expose les serveurs publics sans donner accès au réseau interne
Cours mis à jour en mars 2026.