Qu'est-ce que… ? Termes réseau et sécurité

Un pare-feu est un équipement ou un logiciel qui décide quelles connexions réseau sont autorisées et bloque les autres, selon des règles que vous fixez. Il se place en général entre le réseau du bureau et internet, et parfois entre des segments internes, par exemple entre les PC du bureau et les machines de production. Une règle peut dire : les ordinateurs du bureau peuvent aller sur internet par les ports web, mais personne de l'extérieur ne peut joindre le serveur de fichiers. Un pare-feu est indispensable, mais il ne juge les connexions qu'au regard de ses règles ; il ne remarque pas un intrus qui utilise une connexion autorisée. La détection réseau observe ce qui se passe dans ces connexions autorisées.

Un routeur est l'équipement qui relie un réseau à un autre et fait passer le trafic entre eux, le plus souvent le réseau du bureau et internet. Il décide où chaque paquet de données doit aller ensuite, un peu comme un centre de tri postal. Dans les petits bureaux, le routeur sert souvent aussi de pare-feu, de point d'accès Wi-Fi et d'équipement qui distribue les adresses aux ordinateurs. Comme tout ce qui sort de votre réseau passe par lui, il compte pour la sécurité : tenez son logiciel à jour, changez le mot de passe d'administration par défaut, désactivez l'administration à distance depuis internet et consultez de temps en temps sa liste d'équipements connectés.

Un commutateur réseau est le boîtier à nombreuses prises qui relie entre eux les ordinateurs, imprimantes et serveurs d'un bureau, et n'envoie chaque élément de trafic qu'à l'équipement auquel il est destiné. Les commutateurs non administrables fonctionnent dès qu'on les branche. Les commutateurs administrables se configurent : ils peuvent découper le réseau en segments séparés (VLAN) et copier le trafic vers un port de surveillance, fonction appelée recopie de port ou SPAN. Cette copie permet à un capteur réseau de voir le trafic entre équipements sans être sur son chemin. Si vous prévoyez une surveillance réseau, vérifiez que votre commutateur principal est administrable.

Un VLAN (virtual local area network, réseau local virtuel) permet de découper un réseau physique en plusieurs réseaux séparés grâce aux réglages du commutateur, de sorte que les équipements d'un VLAN ne puissent pas parler directement à ceux d'un autre. Une entreprise peut placer les PC du bureau, le Wi-Fi invités, les terminaux de paiement et les caméras dans des VLAN différents, et n'autoriser que les connexions dont chaque groupe a besoin. Cela limite la propagation d'une infection. Un VLAN ne vaut que par les règles entre VLAN, réglées en général sur le routeur ou le pare-feu, et ces règles dérivent avec le temps. Observer le trafic entre segments montre si la séparation prévue tient vraiment.

Une adresse IP (Internet Protocol) est le numéro qui identifie un équipement sur un réseau pour que les données puissent lui parvenir, comme une adresse postale pour les ordinateurs. Dans un bureau, les équipements ont en général des adresses privées comme 192.168.1.20, qui ne sont pas joignables directement depuis internet ; le routeur a une adresse publique, celle que voit le monde extérieur. Les adresses peuvent changer quand un équipement se reconnecte, c'est pourquoi les outils de sécurité enregistrent aussi le nom de l'équipement ou son adresse matérielle. Quand une alerte cite une adresse IP, la première étape consiste en général à savoir quel équipement avait cette adresse à ce moment-là.

Une adresse MAC (media access control) est un identifiant matériel intégré à chaque interface réseau, comme la carte Wi-Fi ou la prise réseau d'un portable, écrit sous forme de six paires de caractères, par exemple 3C:22:FB:1A:4D:90. Les équipements d'un même réseau local l'utilisent pour se transmettre des données. Contrairement à l'adresse IP, elle ne change en général pas lors d'une reconnexion, ce qui aide à reconnaître un équipement dans le temps, même si les téléphones et portables récents utilisent souvent des adresses MAC aléatoires en Wi-Fi, pour la vie privée. Les inventaires réseau utilisent les adresses MAC, avec les noms d'équipements, pour distinguer les appareils.

Le DHCP (Dynamic Host Configuration Protocol) est le service qui attribue automatiquement à chaque équipement une adresse IP et les réglages réseau de base lorsqu'il se connecte, pour que personne n'ait à les saisir à la main. Dans les petits bureaux, c'est en général le routeur qui l'assure ; dans les entreprises plus grandes, un serveur. Le serveur DHCP tient la liste des équipements ayant reçu telle adresse et à quel moment, appelée baux. Cette liste est utile pour la sécurité : elle aide à savoir quel équipement avait l'adresse citée dans une alerte, et révèle des équipements dont vous ignoriez la présence. Conservez ces enregistrements aussi longtemps qu'une enquête pourrait en avoir besoin.

Le DNS (Domain Name System) est l'annuaire d'internet : il traduit des noms comme netsenx.com en adresses IP, dont les ordinateurs ont besoin pour se connecter. Chaque fois qu'on ouvre un site ou qu'une application contacte un serveur, une requête DNS a généralement lieu d'abord. Cela rend le DNS utile pour la sécurité : les noms qu'un équipement demande montrent où il cherche à aller, y compris vers un serveur malveillant ou un service d'IA non approuvé. Les attaquants détournent aussi le DNS, par exemple en cachant des données dans les requêtes, ce qu'on appelle le tunnel DNS. Faire passer le DNS par vos propres résolveurs et conserver leurs journaux aide les enquêtes.

Le NAT (network address translation) est la technique par laquelle un routeur permet à de nombreux équipements à adresses privées de partager une seule adresse internet publique. Quand un PC du bureau se connecte à un site, le routeur remplace l'adresse privée du PC par sa propre adresse publique et retient quelle réponse revient à quel équipement. Grâce au NAT, vos équipements de bureau ne sont pas joignables directement depuis internet par défaut, ce qui aide, mais le NAT n'est pas un pare-feu : des règles de redirection de port peuvent ouvrir volontairement un chemin vers l'intérieur. Pour une enquête, le NAT signifie que l'extérieur ne voit que l'adresse du routeur : ce sont vos journaux qui doivent montrer quel équipement interne c'était.

Un port réseau est un numéro qui indique à quel service d'un équipement une connexion est destinée, ce qui permet à un même ordinateur de faire tourner à la fois un serveur web, un serveur de messagerie et un accès à distance. Exemples courants : le port 443 pour les sites sécurisés, le 22 pour l'administration à distance en SSH, le 3389 pour le bureau à distance et le 445 pour le partage de fichiers. Un port est dit ouvert quand un service l'écoute. Les ports ouverts exposés sur internet sont une porte d'entrée fréquente pour les attaquants, d'où l'intérêt de savoir lesquels vous avez. Un scan de ports consiste à tester de nombreux ports pour en trouver d'ouverts.

Un paquet réseau est une petite unité de données envoyée sur un réseau ; les messages, fichiers et pages web plus volumineux sont découpés en nombreux paquets puis réassemblés à l'arrivée. Chaque paquet a un en-tête, comme l'enveloppe d'une lettre, avec les adresses et ports de l'expéditeur et du destinataire, et un contenu. Le chiffrement protège le contenu, mais une bonne partie de l'en-tête reste lisible pour que le réseau puisse livrer le paquet. Les outils de sécurité qui capturent les paquets peuvent lire ces en-têtes et quelques champs de protocole non chiffrés ; NetSenX le fait là où la capture de paquets est activée et ne déchiffre jamais le contenu.

Un protocole réseau est un ensemble de règles convenues sur la façon dont les équipements échangent des données, pour que du matériel de fabricants différents se comprenne. Certains protocoles transportent les données (TCP et UDP), d'autres trouvent les adresses (DHCP, ARP), traduisent les noms (DNS), protègent les données (TLS) ou servent un usage précis, comme SSH pour l'administration à distance, SMB pour le partage de fichiers ou Modbus pour les machines industrielles. Les outils de sécurité reconnaissent les protocoles pour comprendre ce que fait une connexion. Un protocole inattendu, comme du trafic d'administration à distance venant d'une imprimante ou des commandes industrielles depuis un portable de bureau, mérite souvent une vérification.

Un sous-réseau est une plage d'adresses IP qui forme une partie d'un réseau, par exemple de 192.168.10.0 à 192.168.10.255 pour le bureau et une autre plage pour les serveurs. Découper un réseau en sous-réseaux, en général avec des VLAN, regroupe les équipements et permet au routeur ou au pare-feu de contrôler le trafic entre les groupes. Les administrateurs notent les sous-réseaux sous une forme courte comme 192.168.10.0/24, le nombre après la barre indiquant la taille de la plage. Dans un rapport de sécurité, le scan d'un sous-réseau signifie qu'un équipement a frappé à de nombreuses adresses de cette plage, souvent le signe que quelqu'un cartographie le réseau.

Un LAN (local area network, réseau local) est le réseau d'un bâtiment ou d'un site, qui relie ses ordinateurs, imprimantes et serveurs. Un WAN (wide area network, réseau étendu) relie des réseaux à distance, par exemple plusieurs bureaux d'une même entreprise ou un site à internet. Le trafic à l'intérieur du LAN ne passe souvent jamais par le pare-feu en bordure d'internet : un pare-feu seul ne voit donc pas un PC compromis qui attaque le serveur de fichiers voisin. Ce trafic interne, parfois appelé trafic est-ouest, est ce qu'observe la détection réseau sur un port miroir. Les liaisons entre sites, souvent des VPN, méritent la même attention.

Un serveur proxy est un intermédiaire qui établit des connexions pour le compte d'autres équipements : un ordinateur demande une page au proxy, qui va la chercher. Les entreprises utilisent des proxys pour filtrer les sites, journaliser l'accès au web ou mettre en cache des contenus. Certains proxys inspectent le trafic chiffré en le déchiffrant puis en le rechiffrant, ce qui impose d'installer un certificat d'entreprise sur chaque équipement et soulève des questions de vie privée. Les attaquants utilisent aussi des proxys pour masquer l'origine de leur trafic. Un capteur réseau qui voit des connexions s'accumuler vers un proxy ou un service d'anonymisation inattendu a trouvé quelque chose à vérifier. NetSenX ne déchiffre jamais le trafic et ne fait pas office de proxy.

Un TAP réseau (test access point) est un petit boîtier matériel placé sur un câble réseau, qui copie tout le trafic qui le traverse vers un port de surveillance, sans modifier ni retarder le trafic d'origine. Il remplit le même rôle qu'un port miroir sur un commutateur administrable, mais fonctionne sur n'importe quel câble et ne perd pas de paquets quand le commutateur est chargé. Les TAP sont courants quand les commutateurs ne sont pas administrables, dans les réseaux industriels, ou quand un auditeur veut une copie indépendante. Avec NetSenX, un agent sur un hôte relié à un TAP surveille tout le segment et compte comme un seul équipement.

NetFlow, et des formats proches comme IPFIX et sFlow, sont des résumés des connexions réseau que routeurs et commutateurs peuvent exporter : qui a parlé à qui, sur quels ports, quand, et avec combien d'octets et de paquets. Un enregistrement de flux ressemble à une facture téléphonique : il liste les appels, pas ce qui s'est dit. Les données de flux servent à planifier la capacité et à repérer des volumes ou destinations inhabituels, et coûtent moins cher à stocker que le trafic complet. Elles manquent des détails comme les réponses DNS ou la négociation TLS. NetSenX lit sa propre copie du trafic depuis un agent ou un port miroir, plutôt que de dépendre uniquement d'enregistrements de flux exportés.

L'ARP (Address Resolution Protocol) est le moyen par lequel les équipements d'un réseau local trouvent l'adresse matérielle correspondant à une adresse IP, par exemple pour envoyer du trafic au routeur. Comme l'ARP fait confiance à toute réponse reçue, un attaquant sur le même réseau peut envoyer de fausses réponses et se faire passer pour le routeur ou un autre équipement. C'est l'usurpation ARP (ARP spoofing), qui lui permet de lire ou de modifier le trafic qui transite, une forme d'attaque de l'homme du milieu. Les commutateurs administrables disposent de protections. NetSenX lève des alertes d'usurpation ARP dès l'offre Pro, sur les segments qu'il surveille.

TCP (Transmission Control Protocol) et UDP (User Datagram Protocol) sont les deux grandes façons dont les données circulent sur les réseaux. TCP établit une connexion, numérote les paquets et renvoie ceux qui sont perdus, pour que tout arrive complet et dans l'ordre ; les sites web, la messagerie et les transferts de fichiers l'utilisent. UDP envoie simplement les paquets sans vérification, ce qui est plus rapide et convient aux appels vocaux, à la vidéo, aux requêtes DNS et à une partie du trafic web récent. Pour les outils de sécurité, la différence compte : une connexion TCP a un début et une fin nets, alors que le trafic UDP doit être regroupé par l'outil. Scans et inondations peuvent utiliser l'un ou l'autre.

L'ICMP (Internet Control Message Protocol) transporte des messages de contrôle et d'erreur entre équipements, comme hôte injoignable. Le ping est l'outil le plus simple qui l'utilise : il envoie un court message à une adresse et attend une réponse, pour vérifier si un équipement est joignable et à quelle vitesse. Les administrateurs l'utilisent tous les jours. Les attaquants aussi, pour découvrir quelles adresses sont actives avant de les scanner, et des inondations de messages ICMP peuvent saturer une liaison ou un équipement. Beaucoup de pare-feu limitent l'ICMP venant d'internet. NetSenX lève une alerte en cas d'inondation ICMP dans toutes les offres.

SMB (Server Message Block) est le protocole que la plupart des réseaux de bureau utilisent pour partager fichiers et imprimantes, par exemple quand vous ouvrez un document sur un lecteur réseau. Comme il donne accès aux données de l'entreprise et sert aussi à l'administration à distance, les attaquants s'en servent beaucoup une fois entrés : pour copier des données, se propager vers d'autres machines et, lors d'attaques par rançongiciel, chiffrer les fichiers des partages. SMB ne doit jamais être accessible depuis internet. Dans le réseau, un poste qui ouvre soudain des sessions SMB vers de nombreux serveurs est un signe classique de mouvement latéral, que NetSenX signale dans toutes les offres.

Un contrôleur de domaine est le serveur qui vérifie les connexions et détient la liste centrale des utilisateurs, ordinateurs et droits dans de nombreux réseaux d'entreprise, le plus souvent avec l'Active Directory de Microsoft. Quand quelqu'un se connecte à un ordinateur de l'entreprise, le contrôleur de domaine confirme qui il est et à quoi il a accès. C'est donc la cible la plus précieuse pour un attaquant : qui le contrôle contrôle les comptes de l'entreprise. Protégez-le avec des comptes d'administration séparés, l'authentification multifacteur là où c'est possible et un accès réseau strict. Un poste qui se met à dialoguer de façon inhabituelle avec le contrôleur de domaine mérite une vérification.

Le NTP (Network Time Protocol) synchronise les horloges des ordinateurs et équipements réseau sur une source de temps précise. Cela paraît secondaire, mais chaque journal, chaque alerte et chaque chronologie d'incident en dépend. Si le pare-feu avance de cinq minutes, le serveur retarde de deux heures et un enregistreur de caméras affiche la mauvaise année, personne ne peut reconstituer l'ordre des événements, et les preuves pour les assureurs, auditeurs ou autorités deviennent fragiles. Faites pointer tous les équipements vers la même source de temps fiable, vérifiez de temps en temps qu'ils concordent et notez le fuseau horaire de vos journaux. C'est l'une des mesures de sécurité les moins chères qui soient.

Syslog est une norme ancienne et répandue pour envoyer les messages de journal d'équipements comme les pare-feu, commutateurs, routeurs et serveurs vers un emplacement central. Au lieu que chaque équipement garde son propre petit journal écrasé au bout de quelques jours, tous envoient leurs messages à un serveur de journaux ou à un SIEM (security information and event management). Des journaux centralisés sont plus difficiles à effacer pour un attaquant et plus faciles à interroger quand il faut savoir ce qui s'est passé. Vérifiez que vos équipements importants envoient bien leur syslog quelque part, que les horloges sont justes et que le stockage garde assez d'historique pour une enquête.

Le SNMP (Simple Network Management Protocol) permet aux administrateurs de surveiller, et parfois de configurer, des équipements réseau comme les commutateurs, imprimantes et routeurs : leur état, leurs compteurs de trafic et leurs réglages. Il est très répandu et très ancien. Les anciennes versions ne protègent l'accès que par un mot partagé, appelé community string, souvent laissé par défaut à public ou private, ce qui permet à n'importe qui sur le réseau de lire, voire de modifier, les réglages des équipements. Utilisez si possible SNMP version 3 avec de vrais identifiants, changez les valeurs par défaut et limitez les hôtes autorisés à interroger les équipements. Du trafic SNMP venant d'un hôte inattendu peut signaler que quelqu'un cartographie le réseau.

Un endpoint est un équipement en bout de connexion réseau que des personnes ou des programmes utilisent directement : portables, ordinateurs de bureau, serveurs, téléphones et tablettes, parfois imprimantes ou terminaux. La sécurité des endpoints désigne la protection installée sur ces équipements, de l'antivirus à l'EDR (endpoint detection and response). Le terme compte, car beaucoup de produits de sécurité ne couvrent que les endpoints. Les équipements qui ne peuvent pas faire tourner ces logiciels, comme les caméras, automates du bâtiment ou machines industrielles, ne sont pas couverts, pas plus qu'un poste dont la protection a été désactivée. La détection réseau les surveille tous à travers leur trafic.

En réseau, un hôte est tout équipement doté d'une adresse qui envoie ou reçoit du trafic : un PC, un serveur, une imprimante, un téléphone, une caméra ou une machine virtuelle. Les outils de sécurité parlent d'hôtes plutôt que d'ordinateurs, car les attaques impliquent souvent des équipements que personne ne considère comme des ordinateurs. Quand une alerte indique qu'un hôte fait du beaconing ou des scans, la première tâche est d'identifier de quel équipement physique ou virtuel il s'agit et à qui il appartient. Dans la tarification de NetSenX, un équipement désigne un hôte sur lequel tourne l'agent NetSenX ; un agent sur un port miroir surveille chaque hôte du segment.

Une DMZ (zone démilitarisée) est un segment réseau à part pour les serveurs qui doivent être joignables depuis internet, comme un serveur web public, une passerelle de messagerie ou une passerelle d'accès à distance, séparé du réseau interne. Si l'un de ces serveurs exposés est compromis, les règles du pare-feu entre la DMZ et le réseau interne limitent ce que l'attaquant peut atteindre ensuite. L'idée est simple : ce qui fait face à internet ne doit pas se trouver à côté de votre serveur de fichiers. Surveillez de près le trafic de la DMZ vers les systèmes internes ; un serveur de la DMZ qui ouvre de nouvelles sessions vers l'intérieur est un signal fort de problème.

Le trafic entrant (ingress) désigne les données qui arrivent de l'extérieur dans votre réseau ; le trafic sortant (egress), celles qui le quittent. Traditionnellement, l'essentiel de l'effort porte sur l'entrant, pour arrêter les attaquants à la porte. Le sortant mérite autant d'attention, car presque toute attaque doit envoyer quelque chose dehors : un logiciel malveillant qui appelle son serveur de commande, des données volées en cours d'envoi, ou du personnel qui envoie des fichiers de l'entreprise vers des services non approuvés. Des règles simples sur le trafic sortant, comme n'autoriser le DNS sortant que depuis vos propres résolveurs, aident déjà. NetSenX surveille le trafic sortant de près : le beaconing vers des serveurs externes et les volumes sortants inhabituels déclenchent des alertes dans toutes les offres.

Le trafic nord-sud circule entre votre réseau et l'extérieur, par exemple d'un PC du bureau vers internet ; le trafic est-ouest circule entre équipements à l'intérieur de votre réseau, par exemple d'un PC vers le serveur de fichiers. Le pare-feu en bordure voit le trafic nord-sud, mais en général pas l'est-ouest. Une fois un attaquant à l'intérieur, l'essentiel de son activité est est-ouest : scans, connexions à d'autres machines, copie de données vers un serveur intermédiaire. C'est pourquoi le mouvement latéral se voit dans le trafic interne, observé depuis un port miroir à l'intérieur du réseau. NetSenX surveille les deux sens sur les segments qu'il couvre.

La bande passante est la quantité de données qu'une connexion peut transporter par seconde, comme la largeur d'une route ; la latence est le temps que mettent les données pour arriver, comme la durée du trajet. Un appel vidéo demande une bande passante modérée et une faible latence ; une sauvegarde nocturne demande de la bande passante mais tolère la latence. Les deux comptent pour la sécurité de deux façons. Une hausse soudaine de la bande passante sortante d'un équipement peut signaler un vol de données ou une infection. Et les outils de sécurité placés en coupure sur le trafic peuvent ajouter de la latence, contrairement aux capteurs passifs sur un port miroir, qui ne reçoivent qu'une copie.

WPA2 et WPA3 (Wi-Fi Protected Access, versions 2 et 3) sont les normes de sécurité qui chiffrent le trafic Wi-Fi et contrôlent qui peut rejoindre un réseau sans fil. WPA3 est plus récent et protège mieux contre la devinette des mots de passe. Au bureau, utilisez WPA2 ou WPA3 avec un mot de passe solide, ou mieux, le mode entreprise où chaque personne se connecte avec son propre compte, pour pouvoir retirer l'accès d'une personne qui part sans changer le mot de passe de tout le monde. Placez les invités sur un réseau séparé qui ne peut pas atteindre les équipements internes. Les anciennes normes comme WEP et WPA ne doivent plus être utilisées.

Une API (application programming interface) est un moyen défini pour qu'un programme parle à un autre, par exemple pour que votre logiciel comptable récupère les opérations bancaires ou qu'un outil de tickets reçoive des alertes de sécurité. Les API sont en général protégées par des clés ou des jetons qui servent de mots de passe aux programmes. Ces clés intéressent les attaquants : conservez-les en lieu sûr, ne donnez à chacune que les droits nécessaires, renouvelez-les et supprimez-les quand une intégration n'est plus utilisée. NetSenX offre un accès par API dès l'offre Pro, pour que les alertes et les données alimentent vos propres outils.

L'authentification unique (SSO, single sign-on) permet de se connecter une seule fois avec un compte d'entreprise, puis d'utiliser de nombreuses applications sans mot de passe distinct pour chacune. Un fournisseur d'identité central vérifie la connexion, idéalement avec authentification multifacteur, et indique à chaque application qui est la personne, souvent grâce à une norme comme SAML ou OpenID Connect. Le SSO est bon pour la sécurité : moins de mots de passe à voler, et une personne qui part perd l'accès partout dès que son compte est désactivé. En contrepartie, le compte central devient très précieux et doit être bien protégé. Dans NetSenX, le SSO avec SAML est disponible dans l'offre Enterprise.

Le NAC (network access control) vérifie les équipements avant de les laisser entrer sur le réseau, par exemple en exigeant un certificat d'entreprise, un système à jour ou une adresse matérielle connue avant qu'un port de commutateur ou un réseau Wi-Fi les accepte. Les équipements inconnus peuvent être refusés ou envoyés vers un réseau invités. Le NAC réduit le risque que quelqu'un se branche simplement sur une prise murale, mais il ne surveille pas ce que font ensuite les équipements admis : un portable d'entreprise compromis passe le contrôle. La détection réseau le complète en observant le comportement une fois les équipements sur le réseau.

Un malware est tout logiciel écrit pour nuire à un ordinateur ou à un réseau : voler des données, chiffrer des fichiers contre rançon, espionner les utilisateurs ou donner à un attaquant le contrôle à distance. Virus, vers, chevaux de Troie, rançongiciels et logiciels espions sont tous des malwares. La plupart arrivent par une pièce jointe, un lien piégé, un faux téléchargement ou un service non corrigé exposé sur Internet. L'antivirus et l'EDR les recherchent sur chaque poste. Une fois actif, un malware doit généralement communiquer par le réseau, avec son opérateur ou avec d'autres machines, et c'est ce trafic qu'un capteur réseau comme NetSenX surveille.

Les trois sont des malwares, mais ils se propagent différemment. Un virus s'attache à un fichier ou à un programme et se répand quand quelqu'un ouvre ou partage ce fichier. Un ver se propage tout seul sur le réseau, généralement via une vulnérabilité, sans action de l'utilisateur, ce qui lui permet d'infecter des centaines de machines en quelques minutes. Un cheval de Troie se fait passer pour quelque chose d'utile, une facture ou un outil gratuit, que l'utilisateur installe de lui-même ; il ne se copie pas, mais ouvre souvent une porte dérobée. Pour les défenseurs, le ver est le plus bruyant sur le réseau, car il scanne et contacte rapidement de nombreuses machines.

Une attaque DDoS (Distributed Denial of Service, déni de service distribué) inonde un site, un serveur ou une connexion Internet d'un trafic si important et venu de tant de sources que les vrais utilisateurs ne passent plus. Ce trafic provient généralement d'un botnet de machines détournées, donc bloquer une adresse ne sert à rien. Ces attaques servent souvent au chantage ou à détourner l'attention d'une équipe de sécurité pendant qu'autre chose se passe. La protection vient de votre fournisseur d'accès, de votre hébergeur ou d'un service anti-DDoS dédié, qui absorbent le flot avant qu'il ne vous atteigne. Un outil de détection dans votre réseau n'arrête pas un DDoS ; il peut montrer si vos propres machines y participent.

Une attaque par force brute essaie des mots de passe les uns après les autres jusqu'à ce que l'un fonctionne, contre une messagerie, un VPN, un bureau à distance ou un serveur SSH. Les variantes modernes utilisent des listes de mots de passe divulgués, ou testent un mot de passe courant sur de nombreux comptes (password spraying) pour éviter les verrouillages. Les parades sont connues : mots de passe longs et uniques, authentification à deux facteurs, verrouillage après échecs et pas de service de connexion ouvert à tout Internet. Les journaux de connexion du service font foi. Sur le réseau, de nombreuses connexions échouées vers un service de connexion en peu de temps forment un schéma visible, que NetSenX recherche dans toutes les offres, sur le trafic qu'il voit.

Un scan de ports vérifie quels ports réseau sont ouverts sur une machine ou une plage d'adresses, pour savoir quels services tournent : web, partage de fichiers, bureau à distance. Les administrateurs scannent leurs propres réseaux pour l'inventaire. Les attaquants scannent pour trouver une entrée, puis, une fois à l'intérieur, scannent à nouveau depuis le réseau interne pour trouver la cible suivante. Les scans venus d'Internet frappent toute adresse publique toute la journée et relèvent surtout du bruit. Un scan lancé depuis un ordinateur de votre réseau est autre chose, et souvent l'un des premiers signes visibles d'un intrus. NetSenX détecte les scans dans toutes les offres.

Dans une attaque de l'homme du milieu, l'attaquant s'intercale discrètement entre deux parties qui pensent se parler directement, par exemple entre un portable et le routeur, ou entre un utilisateur et un site web. De là, il peut lire le trafic, voler des mots de passe ou modifier ce qui est envoyé. Les méthodes courantes sont les faux points d'accès Wi-Fi, l'usurpation ARP (ARP spoofing) sur un réseau local et les ruses qui font qu'un appareil fait confiance au mauvais serveur. Le chiffrement avec des certificats correctement vérifiés, comme HTTPS, déjoue la plupart des tentatives. NetSenX signale l'usurpation ARP à partir de l'offre Pro, ce qui couvre la forme la plus courante de cette attaque sur un réseau local.

Une vulnérabilité est une faiblesse qu'un attaquant peut exploiter pour faire ce qu'il ne devrait pas pouvoir faire : exécuter son propre code, lire des données ou contourner une authentification. Ce peut être un bug logiciel, un mot de passe par défaut jamais changé, un service mal configuré ou un ancien protocole resté activé. Les vulnérabilités des produits répandus reçoivent des identifiants publics et des scores de gravité, ce qui permet de vérifier si l'on est concerné. Toutes ne se valent pas : une faille dans une passerelle VPN exposée sur Internet est bien plus urgente qu'une faille dans un programme que personne ne peut atteindre. Savoir ce que vous exploitez, et ce qui est exposé, est la première étape.

Un exploit est un code ou une technique qui tire parti d'une vulnérabilité précise pour faire faire à un système ce que veut l'attaquant. La vulnérabilité est la fenêtre ouverte, l'exploit est celui qui l'enjambe. Dès qu'un exploit visant un produit répandu est publié, les attaquants balaient souvent tout Internet en quelques jours, parfois en quelques heures, à la recherche de systèmes vulnérables. D'où l'importance de corriger vite les systèmes exposés. Après un exploit réussi, l'attaquant ouvre généralement de nouvelles connexions, télécharge des outils ou passe à d'autres machines, et cette activité peut être visible sur le réseau même quand l'exploit lui-même ne l'était pas.

Un correctif de sécurité, ou patch, est une mise à jour d'un éditeur de logiciel ou d'un fabricant de matériel qui corrige une vulnérabilité. Il en existe pour les systèmes d'exploitation, navigateurs, suites bureautiques, pare-feu, passerelles VPN, imprimantes et équipements industriels. Les installer rapidement est l'une des mesures de sécurité les plus efficaces, car la plupart des attaques utilisent des vulnérabilités connues, pas nouvelles. Corrigez d'abord les systèmes exposés sur Internet, puis le reste selon un calendrier régulier. Certains systèmes ne peuvent pas être corrigés, comme d'anciennes machines qui pilotent la production ; ils ont besoin d'une autre protection, par exemple un segment réseau séparé et la surveillance de ce avec quoi ils communiquent.

Une CVE (Common Vulnerabilities and Exposures) est un identifiant public attribué à une vulnérabilité connue, écrit par exemple CVE-2024-3400 : l'année, puis un numéro. La liste est tenue par la MITRE Corporation avec des organisations partenaires, et le numéro CVE permet aux éditeurs, aux équipes de sécurité et aux outils de parler exactement du même problème. Quand un éditeur publie un bulletin de sécurité, il liste les CVE corrigées. Si vous lisez qu'une CVE est activement exploitée, vérifiez si vous utilisez le produit et la version concernés, puis appliquez le correctif ou le contournement de l'éditeur. L'Union européenne gère aussi sa propre base de vulnérabilités, opérée par l'ENISA.

Le CVSS (Common Vulnerability Scoring System) attribue à une vulnérabilité un score de gravité de 0 à 10, selon notamment qu'elle est attaquable par le réseau, qu'une authentification est nécessaire et ce qu'un attaquant peut en faire. Les scores de 9,0 et plus sont qualifiés de critiques. Le score aide à trier, mais il décrit la vulnérabilité en général, pas votre situation. Une faille critique sur un système que personne ne peut atteindre peut compter moins qu'une faille moyenne sur votre VPN exposé. Associez le score à deux questions : est-ce exposé chez nous, et sait-on que c'est exploité en ce moment ?

Une zero-day est une vulnérabilité que des attaquants connaissent et exploitent avant que l'éditeur ait publié un correctif : les défenseurs ont donc eu zéro jour pour corriger. Les zero-days ont de la valeur et servent surtout dans des attaques ciblées, même si certaines se diffusent ensuite largement. Faute de correctif, et souvent de signature, les outils qui ne cherchent que le mal connu ne voient pas l'exploit lui-même. Ce qui aide, c'est la suite : la machine compromise change de comportement, se connecte à de nouveaux endroits, scanne ou déplace des données. La détection comportementale sur le réseau vise cette étape, et de bonnes sauvegardes ainsi que la segmentation limitent les dégâts.

TTP signifie Tactics, Techniques and Procedures (tactiques, techniques et procédures) : la manière dont un attaquant opère, plutôt que le fichier ou l'adresse qu'il utilise. Une tactique est un objectif, comme entrer, rester caché ou voler des données. Une technique est un moyen d'y parvenir, comme voler des mots de passe ou passer d'une machine à l'autre avec des outils d'administration à distance. Les procédures sont les étapes précises d'un groupe donné. Le référentiel MITRE ATT&CK est le catalogue commun de ces techniques. Les TTP comptent parce que les attaquants changent facilement d'adresses et de fichiers mais changent lentement d'habitudes : détecter des comportements tient plus longtemps que bloquer une liste d'indicateurs connus.

Le renseignement sur les menaces regroupe les informations sur les attaquants et leurs méthodes qui aident à se défendre : adresses et domaines malveillants connus, empreintes de fichiers, descriptions de campagnes actives et des secteurs visés. Il provient des éditeurs de sécurité, des CSIRT nationaux, d'organisations sectorielles et de sources publiques. Il est surtout utile lorsqu'il est récent et pertinent pour vous ; une liste d'un million d'anciennes adresses produit surtout du bruit. Pour une petite entreprise, la forme pratique est généralement celle intégrée aux outils déjà en place, plus les alertes du CERT-FR ou de votre CSIRT national sur les vulnérabilités exploitées. Il complète la surveillance de votre propre réseau sans la remplacer.

La surface d'attaque, c'est tout ce qu'un attaquant pourrait utiliser pour entrer : serveurs exposés sur Internet, passerelles VPN, comptes de messagerie, outils d'accès à distance, services cloud, téléphones et portables du personnel, prestataires disposant d'un accès, et même des ports ouverts inutilisés. Plus elle est grande, plus il y a à défendre. La réduire coûte souvent moins cher que la défendre : arrêtez les services que personne n'utilise, fermez les accès à distance ouverts à tout Internet, supprimez les anciens comptes et limitez l'accès des prestataires. Un bon premier exercice consiste à lister ce que vous exposez sur Internet ; la liste est généralement plus longue qu'on ne le pense.

Un acteur de la menace est celui qui se trouve derrière une attaque : un groupe criminel, une équipe soutenue par un État, un hacktiviste, une personne isolée ou quelqu'un de l'intérieur, comme un salarié mécontent. On emploie ce terme parce que ce sont une personne ou un groupe qui prennent les décisions, pas un logiciel. La plupart des attaques contre les petites et moyennes entreprises viennent de groupes criminels motivés par l'argent, généralement via rançongiciel, extorsion ou fraude au virement, et ils choisissent leurs victimes par opportunité, pas par leur nom. Savoir quels acteurs visent votre secteur aide à décider où investir d'abord, mais les protections de base sont les mêmes face à presque tous.

Une APT (advanced persistent threat, menace persistante avancée) est un attaquant compétent et bien doté, souvent soutenu par un État, qui cible des organisations précises et cherche à rester longtemps à l'intérieur sans être remarqué, généralement à des fins d'espionnage ou de sabotage. Avancée, parce qu'elle utilise des outils sur mesure et des méthodes soignées ; persistante, parce qu'elle revient sans cesse. Ses cibles sont les administrations, la défense, l'énergie et leurs fournisseurs, et c'est ainsi que des entreprises de taille moyenne entrent dans son champ. Ces attaquants évitent les malwares bruyants et utilisent des outils d'administration ordinaires ; les signes sont donc surtout comportementaux : connexions inhabituelles entre machines internes et contacts discrets et réguliers avec des serveurs externes.

Un faux positif est une alerte sur quelque chose d'inoffensif : l'outil annonce une attaque, mais c'était une sauvegarde ou un nouveau logiciel. Un faux négatif est une attaque que l'outil a manquée. Tout outil de détection commet les deux types d'erreur, et ils tirent en sens inverse : rendez l'outil plus sensible, vous aurez plus de fausses alertes ; rendez-le plus discret, vous manquerez davantage. Trop de faux positifs sont dangereux à leur manière, car les gens cessent de lire les alertes. Pour comparer des outils, demandez comment ils gèrent les fausses alertes et comment on en signale une, plutôt que de vous fier à un seul chiffre de précision.

Un SOC (security operations centre, centre des opérations de sécurité) est une équipe, avec ses outils, qui surveille les alertes de sécurité d'une organisation, les analyse et répond aux incidents, souvent 24 heures sur 24. Les grandes entreprises ont le leur. La plupart des petites et moyennes entreprises ne peuvent pas en doter un ; elles achètent le service à un prestataire de sécurité managée ou s'appuient sur une ou deux personnes de l'informatique qui regardent les alertes pendant les heures de bureau. Quel que soit le modèle, les outils doivent produire peu d'alertes, sur lesquelles un humain peut agir. NetSenX ne fournit pas de service SOC ; il donne à votre équipe ou à votre prestataire les alertes réseau et leur contexte.

Un CSIRT (Computer Security Incident Response Team), aussi appelé CERT, est une équipe qui traite les incidents de sécurité. Chaque pays de l'UE dispose d'un CSIRT national ; en France, c'est le CERT-FR de l'ANSSI. Avec la directive NIS2, les entreprises concernées signalent les incidents importants à leur CSIRT ou à l'autorité compétente : une alerte précoce sous 24 heures, une notification plus complète sous 72 heures et un rapport final sous un mois. Les CSIRT nationaux publient aussi des alertes sur les vulnérabilités exploitées, auxquelles il vaut la peine de s'abonner. Les grandes entreprises ont parfois leur propre CSIRT interne. NetSenX suit les délais de notification NIS2 dans toutes les offres.

Un test d'intrusion, ou pentest, est une attaque autorisée de vos systèmes par des spécialistes de la sécurité, pour trouver les faiblesses avant les vrais attaquants. Les testeurs essaient d'entrer depuis Internet, ou partent de l'intérieur du réseau comme s'ils étaient un intrus ou un salarié malveillant, puis indiquent ce qu'ils ont atteint et comment y remédier. Un pentest est une photographie d'un moment et d'un périmètre, généralement quelques jours de travail. Il vaut la peine d'en faire un par an ou après de gros changements. C'est aussi un bon test de votre détection : demandez ensuite si vos outils ont remarqué les testeurs, et quand.

Dans les exercices de sécurité, la red team joue l'attaquant et la blue team défend. Un exercice red team va plus loin qu'un test d'intrusion : il vise un objectif, comme lire le partage de la comptabilité, par tous les moyens réalistes, en restant caché ; il teste donc les personnes et les processus autant que la technique. La blue team est celle qui détecte et répond, souvent l'équipe informatique ou sécurité. Quand les deux camps travaillent ouvertement ensemble et partagent ce qui a marché, on parle de purple teaming. La simulation d'attaques (breach and attack simulation) de NetSenX, dans l'offre Business, exécute des étapes d'attaque simulées et sans danger pour vérifier ce que votre détection remarque.

Un scan de vulnérabilités est une vérification automatique de vos systèmes à partir d'une base de vulnérabilités connues et de réglages faibles : correctifs manquants, mots de passe par défaut, chiffrement obsolète. Le scanner examine ce que chaque machine laisse voir et produit une liste de constats avec des scores de gravité. Il coûte moins cher et se fait plus souvent qu'un test d'intrusion, mais il ne trouve que des problèmes connus et ne juge pas comment ils se combinent. Scannez régulièrement depuis l'extérieur tout ce que vous exposez sur Internet, et en interne au moins tous les quelques mois. Attendez-vous à de nombreux constats ; commencez par ceux des systèmes exposés dont l'exploitation est connue.

Un honeypot (pot de miel) est un leurre : un faux serveur, appareil ou compte installé de sorte qu'aucun utilisateur légitime n'ait jamais besoin d'y toucher. Comme personne ne devrait s'y connecter, toute connexion est suspecte par définition, ce qui donne une alerte quasiment sans fausse alarme. Les honeypots sur Internet attirent des scans permanents et servent surtout à étudier le comportement des attaquants. Dans un réseau d'entreprise, un simple faux partage de fichiers ou une fausse page de connexion peut piéger un intrus en exploration. Les honeypots doivent être soigneusement isolés pour ne pas devenir eux-mêmes une porte vers le vrai réseau.

Une sandbox (bac à sable) est un environnement isolé où l'on peut ouvrir sans risque un fichier ou un lien suspect pour voir ce qu'il fait, sans mettre en danger les vrais systèmes. Les services de sécurité de la messagerie envoient souvent les pièces jointes dans une sandbox avant de les livrer : si le fichier tente de télécharger du code, de modifier des réglages système ou de contacter des serveurs étranges, il est bloqué. Les sandbox arrêtent beaucoup de choses, mais les auteurs de malwares les connaissent ; certains malwares attendent, vérifient s'ils sont observés ou ne s'activent que sur le poste d'un vrai utilisateur. La sandbox est donc une couche parmi d'autres, avec la protection des postes et la surveillance du réseau.

Une liste d'autorisation (allowlist) énumère ce qui est permis, et tout le reste est bloqué. Une liste de blocage (denylist) énumère ce qui est bloqué, et tout le reste est permis. Pare-feu, filtres de messagerie et contrôle des applications utilisent les deux. Les listes d'autorisation sont plus strictes et plus sûres, par exemple quand une machine de production ne peut parler qu'aux trois systèmes dont elle a besoin, mais elles demandent du travail d'entretien. Les listes de blocage sont plus simples mais n'arrêtent que ce qui est déjà connu comme malveillant. Ces termes remplacent les anciens liste blanche et liste noire. En détection, une liste d'autorisation sert aussi à marquer une activité connue et inoffensive, comme un serveur de sauvegarde, pour qu'elle cesse de déclencher des alertes.

Un IDS (Intrusion Detection System, système de détection d'intrusion) observe le trafic réseau et lève une alerte quand il voit quelque chose qui correspond à un schéma d'attaque connu. Un IPS (Intrusion Prevention System, système de prévention d'intrusion) se place sur le chemin du trafic et peut aussi le bloquer. Beaucoup de pare-feu intègrent aujourd'hui un IPS. Les deux reposent surtout sur des signatures d'attaques connues : solides contre les menaces connues, plus faibles face aux méthodes nouvelles ou aux attaquants qui utilisent des outils ordinaires. Un IPS qui bloque à tort arrête aussi le trafic métier. Le NDR (Network Detection and Response) ajoute l'analyse comportementale. NetSenX est un NDR : il observe et alerte, ne se place pas sur le chemin du trafic et ne le bloque pas lui-même.

Le SOAR (Security Orchestration, Automation and Response) est un logiciel qui relie les outils de sécurité et automatise les étapes routinières du traitement d'une alerte : rassembler le contexte, ouvrir un ticket, isoler un portable, bloquer une adresse, prévenir la bonne personne. Il repose sur des playbooks, des suites d'étapes écrites pour chaque type d'incident. Le SOAR est précieux pour les équipes qui traitent beaucoup d'alertes par jour, et sa mise en place comme son entretien demandent du travail. Les petites équipes obtiennent souvent l'essentiel du bénéfice avec des connexions plus simples. NetSenX envoie les alertes vers Slack ou un webhook à partir de l'offre Pro, et les exporte vers un SIEM à partir de l'offre Business.

Les outils DLP (Data Loss Prevention, prévention des pertes de données) cherchent à empêcher que des données sensibles, comme des fichiers clients, des numéros de carte ou des plans, quittent l'entreprise par le mauvais chemin : envoyées par e-mail, déposées sur un cloud personnel ou copiées sur une clé USB. Ils reconnaissent les contenus et appliquent des règles, et leur réglage doit être soigné pour ne pas bloquer le travail normal. NetSenX n'est pas un outil DLP et ne lit pas le contenu de votre trafic. Dans toutes les offres, il signale en revanche les transferts sortants inhabituels, par exemple une machine qui envoie soudain bien plus de données que d'habitude vers une adresse externe, ce qui est souvent le signe visible d'un vol.

Un journal d'audit enregistre qui a fait quoi et quand : qui s'est connecté, qui a modifié un réglage, qui a exporté un rapport, qui a clôturé une alerte. Un bon journal d'audit ne peut pas être modifié discrètement après coup et conserve les entrées assez longtemps pour servir lors d'une enquête. Auditeurs et régulateurs demandent des journaux d'audit parce qu'ils montrent que les contrôles sont réellement appliqués, pas seulement écrits. Après un incident, c'est avec le journal d'audit qu'on reconstitue les événements. NetSenX tient un journal d'audit des actions sur votre compte dans toutes les offres, et ajoute à partir de l'offre Starter pour les alertes une piste de preuve qui rend visible toute modification ultérieure.

Le dwell time (temps de présence) est la durée pendant laquelle un attaquant reste dans un réseau avant d'être découvert. Le rapport M-Trends 2026 de Mandiant donne une médiane mondiale de 14 jours pour les incidents étudiés en 2025, et beaucoup d'intrusions durent bien plus longtemps. Plus le dwell time est long, plus l'attaquant peut apprendre, voler et préparer ; c'est pourquoi les groupes de rançongiciel passent souvent des jours à cartographier un réseau avant de le chiffrer. Le dwell time baisse quand quelqu'un surveille l'intérieur du réseau, pas seulement sa bordure. Ce qui le réduit, c'est la détection des premières étapes : scans internes, appels réguliers vers un serveur externe ou connexions inhabituelles entre machines.

Le MTTD (Mean Time to Detect) est le temps moyen entre le début d'une attaque et le moment où quelqu'un la remarque. Le MTTR (Mean Time to Respond, parfois to Recover) est le temps moyen entre la détection et le confinement ou la remise en état. Les deux servent à mesurer l'efficacité d'un programme de sécurité, et tous deux devraient baisser avec le temps. Pour une petite entreprise, des chiffres approximatifs mais honnêtes valent mieux que des chiffres précis : quand avons-nous trouvé quelque chose pour la dernière fois, comment, et combien de temps avant d'agir ? Si la réponse est qu'un tiers vous a prévenu, c'est la détection qu'il faut corriger en premier.

Le shadow IT désigne tout logiciel, service cloud ou appareil que le personnel utilise pour travailler sans que l'informatique le sache ou l'ait approuvé : un compte personnel de partage de fichiers, un outil de projet gratuit, un routeur privé dans l'entrepôt, une extension de navigateur. Cela part généralement d'une bonne intention, parce que les gens veulent faire leur travail. Le risque est que des données de l'entreprise finissent là où personne ne les protège, ne les sauvegarde ni ne peut les supprimer au départ de quelqu'un. Tout interdire marche rarement. Mieux vaut savoir ce qui est utilisé, proposer des alternatives approuvées et fixer une règle simple. NetSenX montre les appareils qu'il voit sur votre réseau et signale l'usage de services d'IA à partir de l'offre Pro.

Une violation de données est tout incident de sécurité au cours duquel des données sont perdues, volées, détruites, modifiées ou vues par quelqu'un qui ne devrait pas les voir. Pas besoin de pirate : un e-mail contenant des données clients envoyé à la mauvaise adresse est aussi une violation. Selon le RGPD, une violation de données personnelles doit être notifiée à l'autorité de contrôle, la CNIL en France, dans les 72 heures après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes ; celles-ci doivent être informées lorsque le risque est élevé. Le rapport IBM Cost of a Data Breach 2025 estime le coût moyen mondial à 4,44 millions de dollars US.