Un VLAN est-il une frontière de sécurité ?

Seulement si le trafic entre VLAN passe par un pare-feu ou des règles d'accès qui imposent quelque chose. Un VLAN seul sépare des domaines de diffusion sur un commutateur ; si le routeur entre VLAN laisse tout passer, la séparation est cosmétique, et c'est un constat fréquent dans les petits réseaux. Des ports de commutateur mal configurés peuvent aussi permettre à un attaquant de sauter d'un VLAN à l'autre, par exemple des ports trunk ouverts aux appareils des utilisateurs ou le VLAN par défaut utilisé pour tout. Pour que les VLAN comptent : routez entre eux via un pare-feu avec liste d'autorisations, configurez les ports utilisateurs sur un seul VLAN d'accès, désactivez les ports inutilisés et gardez les interfaces d'administration dans leur propre VLAN. Vérifiez ensuite avec le trafic réel que les règles tiennent. NetSenX montre les connexions d'hôte à hôte des segments surveillés et détecte balayage et mouvement latéral sur toutes les offres, si bien qu'un hôte qui atteint un autre VLAN sans y être autorisé devient visible, à condition que ce trafic traverse une liaison recopiée.

← Les 45 questions sur Zero trust, identité et segmentationTous les thèmes