Cyberpediapar Brain
FRDEEN

Segmentation réseau et VLAN contre les rançongiciels

Découper le réseau en zones (VLAN, pare-feu internes, micro-segmentation) limite un rançongiciel. Ce que le salarié fait pour que ça tienne.

En 30 secondes

Où ça arrive
Sur le réseau interne de l'entreprise, une fois qu'un poste ou un compte est compromis.
Ce que veut l'attaquant
Passer d'une machine à d'autres pour chiffrer le plus de données possible1.
Si c'est déjà fait
Prévenez tout de suite l'IT ou la sécurité, qui isole le poste ; si on vous le demande, débranchez le câble ou coupez le Wi-Fi2.
Le réflexe
Ne branchez aucun appareil ou support non autorisé, restez sur le réseau prévu pour votre usage, et signalez vite un poste qui se comporte bizarrement pour qu'il soit isolé.

De quoi parle-t-on

Un rançongiciel cherche rarement à s'arrêter au premier ordinateur touché. Selon MITRE ATT&CK, un logiciel de chiffrement peut se propager dans un réseau, à la manière d'un ver, pour chiffrer les données d'un grand nombre de machines et maximiser les dégâts1. Découper le réseau en zones étanches est l'une des réponses à ce risque.

Cette fiche explique ce que recouvrent les mots VLAN, pare-feu interne et micro-segmentation, ce que le salarié peut faire pour que ce découpage tienne, et les pièges qui le rendent inefficace.

Questions directes

Qu'est-ce que la segmentation réseau ?

C'est le découpage d'un réseau en segments plus petits et isolés, pour contrôler le trafic entre appareils, systèmes et applications. MITRE ATT&CK indique que cela réduit la surface d'attaque, freine les déplacements de l'attaquant et protège les actifs critiques3.

Que sont un VLAN et un pare-feu interne ?

MITRE ATT&CK décrit une séparation faite de frontières physiques, de séparation logique par VLAN et de règles d'accès appliquées par des équipements comme les pare-feu et les routeurs3. Un VLAN est donc une séparation logique, et le pare-feu interne contrôle ce qui passe d'un segment à l'autre.

Et la micro-segmentation ?

C'est le même principe à l'échelle de chaque charge de travail. MITRE ATT&CK recommande des outils de réseau défini par logiciel pour segmenter à ce niveau et empêcher le mouvement latéral3.

Pourquoi un salarié est-il concerné ?

Parce que la segmentation peut être contournée par une erreur d'utilisateur. La CISA précise qu'elle peut devenir inefficace en cas de non-respect des règles de l'organisation, par exemple en connectant un support amovible ou d'autres appareils à plusieurs segments2.

1Comment ça marche2 min

Le principe est de regrouper les systèmes selon leur fonction, leur sensibilité et leur risque. MITRE ATT&CK cite en exemple les systèmes de paiement, les bases de données RH, les systèmes de production et les serveurs exposés à Internet3. Les serveurs web, DNS et de messagerie accessibles de l'extérieur sont placés dans une zone démilitarisée (DMZ), avec des règles strictes de filtrage vers le réseau interne3.

Les règles suivent une logique de refus par défaut : des listes de contrôle d'accès sur les équipements réseau, et des pare-feu qui limitent à la fois le trafic entre l'extérieur et l'intérieur et celui entre machines internes3. MITRE ATT&CK recommande aussi de séparer les réseaux Wi-Fi et filaires, notamment lorsque le réseau filaire donne accès à des ressources sensibles3.

La CISA recommande de séparer les services ou départements de l'organisation et de maintenir une séparation entre l'informatique classique et les systèmes industriels. Son guide présente un schéma de réseau « à plat » (non segmenté) et un schéma de réseau segmenté2.

Le NCSC britannique va plus loin avec le « zero trust » : la confiance inhérente au réseau est retirée, le réseau est considéré comme hostile et chaque requête est vérifiée selon une politique d'accès4. Pour le NIST, cette approche déplace la défense des périmètres statiques vers les utilisateurs, les actifs et les ressources5. Le NIST dit que le zero trust protège des ressources, et non des segments de réseau5.

2Ce que vous faites1 min
  • Ne branchez pas d'appareil non autorisé, ni sur une prise réseau ni sur un poste. La CISA cite le raccordement de supports amovibles ou d'appareils à plusieurs segments comme une cause d'échec de la segmentation2.
  • Utilisez le réseau prévu pour votre usage. MITRE ATT&CK recommande de séparer les environnements Wi-Fi et filaire quand le second donne accès à des ressources sensibles3.
  • Signalez vite un poste suspect à l'IT ou à la sécurité, qui isole les systèmes touchés de façon coordonnée. Si on vous le demande, débranchez le câble réseau ou coupez le Wi-Fi : la CISA présente le débranchement des appareils comme un repli quand la mise hors réseau n'est pas immédiatement possible2.
  • N'éteignez pas de vous-même sans consigne. La CISA indique que couper l'alimentation fait perdre des traces en mémoire et ne se fait que si la déconnexion est impossible autrement2.
3Les pièges2 min

Le réseau à plat. Quand tout communique avec tout, un seul poste compromis ouvre l'accès au reste. MITRE ATT&CK note qu'avec des identifiants de domaine valides, un attaquant peut se connecter à de nombreuses machines par des protocoles d'accès à distance comme SSH ou RDP6.

Un VLAN sans filtrage. Séparer ne suffit pas si rien ne contrôle le passage. MITRE ATT&CK demande des règles de pare-feu qui bloquent le trafic RDP entre zones de sécurité et le refus par défaut sur les listes de contrôle d'accès3. Il recommande aussi de revoir régulièrement les règles, de surveiller les flux et de tester la segmentation par des tests d'intrusion périodiques3.

Des règles trop larges. MITRE ATT&CK recommande de n'autoriser que les ports et le trafic nécessaires3. Une règle qui laisse tout passer retire l'intérêt de la zone.

Une administration non cloisonnée. Les partages d'administration cachés de Windows (C$, ADMIN$, IPC$) permettent la copie de fichiers à distance et d'autres fonctions d'administration, et un attaquant peut les utiliser avec un compte administrateur valide7. Pour WinRM, MITRE ATT&CK conseille d'isoler les enclaves critiques avec une infrastructure séparée et de restreindre l'accès à des appareils précis3.

Des serveurs vulnérables joignables de partout. Des failles connues existent dans des services courants comme SMB et RDP, ainsi que dans des applications internes comme MySQL8. MITRE ATT&CK recommande de segmenter pour réduire l'accès aux systèmes critiques à des méthodes contrôlées3.

Des copies d'outils d'une machine à l'autre. Un attaquant peut copier des fichiers entre systèmes internes avec des protocoles de partage comme SMB ou une connexion RDP authentifiée9.

4Cas réels1 min

2016 : attaque contre le réseau électrique ukrainien

Selon MITRE ATT&CK, lors de l'attaque de 2016 contre le réseau électrique ukrainien, le groupe Sandworm Team a utilisé la commande net use pour se connecter à des partages réseau7. Les sources citées ici ne détaillent pas davantage cet épisode.

Campagne APT28 « Nearest Neighbor »

MITRE ATT&CK indique que, pendant la campagne « Nearest Neighbor », APT28 a utilisé SMB pour transférer des fichiers et se déplacer latéralement7. Les sources citées ici ne donnent pas de date pour cette campagne.

Fiche

Identifiant
CP-228
Aile
3. Protocoles et défense
Compétence Brain
Naviguer en sécurité (browse_safely)
Réflexe Brain
cr-079
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
9 sources vérifiées le 3 novembre 2026
Sources9 sources
  1. MITRE ATT&CK, « Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1486/ (consulté le 3 novembre 2026)
  2. CISA, « #StopRansomware Guide | CISA ». https://www.cisa.gov/stopransomware/ransomware-guide (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1030/ (consulté le 3 novembre 2026)
  4. NCSC (Royaume-Uni), « Zero trust architecture design principles ». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consulté le 3 novembre 2026)
  5. NIST, « SP 800-207, Zero Trust Architecture | CSRC ». https://csrc.nist.gov/pubs/sp/800/207/final (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1021/ (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1021/002/ (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1210/ (consulté le 3 novembre 2026)
  9. MITRE ATT&CK, « Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1570/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Segmentation réseau et VLAN contre les rançongiciels », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/

BibTeX 
@misc{brain_cp228_fr_2026,
  author = {Brain},
  title = {Segmentation réseau et VLAN contre les rançongiciels},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0