Un serveur qui répond lentement, un poste qui se connecte à une adresse IP inconnue la nuit, un pare-feu dont personne n’a relu les règles depuis deux ans. Ces signaux faibles passent souvent inaperçus, jusqu’au jour où une intrusion les transforme en crise. L’audit de sécurité réseau existe pour repérer ces failles avant qu’un attaquant ne le fasse. Encore faut-il savoir ce qu’on audite, avec quels outils, et surtout dans quel ordre.
Chaîne d’approvisionnement réseau : le périmètre que la plupart des audits oublient
Vous avez déjà vérifié qui gère réellement vos liens MPLS ou votre accès SD-WAN ? La directive NIS2, dont la transposition en droit français concerne désormais un large éventail d’entités, impose de vérifier les conditions de sécurité contractuelles et techniques avec les opérateurs télécom, les prestataires infogérance (MSP/MSSP) et les fournisseurs cloud ou d’équipements réseau.
A lire en complément : Les étapes essentielles pour réussir la division d'un terrain en indivision
Concrètement, un audit réseau conforme à NIS2 ne se limite plus à scanner vos propres machines. Il doit aussi examiner les accès distants de vos sous-traitants, les mises à jour firmware de vos routeurs opérateur, et les clauses de notification d’incident dans vos contrats. Auditer la chaîne d’approvisionnement réseau est devenu obligatoire, pas optionnel.
Pour structurer cette démarche, l’audit de sécurité réseau avec E-novateur détaille un cadre méthodique qui intègre ces exigences fournisseurs dès la phase de cadrage.
A lire en complément : Comment réussir l'habillage d'escalier : matériaux, astuces et conseils pratiques
Cadrage technique de l’audit réseau : définir ce qu’on teste vraiment
Avant de lancer le moindre scan, il faut répondre à une question simple : quel est le périmètre exact ? Un réseau d’entreprise, même modeste, comporte des couches hétérogènes. Wi-Fi invité, VLAN métier, accès VPN des collaborateurs en télétravail, API exposées sur internet. Chacun de ces segments présente des vulnérabilités différentes.
Inventaire des actifs et cartographie
La première action concrète consiste à dresser un inventaire exhaustif. On recense chaque équipement actif (commutateurs, pare-feu, bornes Wi-Fi, serveurs), chaque liaison externe, et chaque service exposé. Sans cette cartographie, le reste de l’audit repose sur des hypothèses.
- Lister les adresses IP publiques et privées actives, en croisant les données DNS, DHCP et les tables ARP des commutateurs.
- Identifier les équipements non gérés (shadow IT) : imprimantes réseau, caméras IP, objets connectés branchés sans validation.
- Documenter les flux inter-sites et les tunnels VPN, y compris ceux ouverts ponctuellement puis jamais refermés.
Un inventaire incomplet produit un audit incomplet. Si un segment réseau échappe au périmètre, ses failles resteront invisibles dans le rapport final.
Fixer des objectifs mesurables
Un audit peut viser la conformité réglementaire (NIS2, RGPD), la préparation à un test d’intrusion, ou simplement l’évaluation du niveau de protection après un changement d’infrastructure. Mélanger ces objectifs dans un même exercice dilue les résultats. Mieux vaut un audit ciblé sur la segmentation réseau qu’un survol de tout le système d’information.
Analyse des vulnérabilités réseau : scanner ne suffit pas
Les outils de scan automatisés (Nessus, OpenVAS, Qualys) détectent les failles connues en comparant les versions logicielles à des bases de données de vulnérabilités. C’est une étape nécessaire, mais insuffisante si elle reste isolée.
Un scan de vulnérabilités détecte les failles connues, pas les erreurs de configuration. Un pare-feu à jour peut très bien autoriser du trafic sortant non filtré vers n’importe quelle destination. Un commutateur peut avoir le protocole SNMP activé avec la communauté par défaut « public ». Ces erreurs ne remontent pas toujours dans un rapport de scan classique.
Revue manuelle des configurations
C’est ici que l’audit prend sa valeur. Un auditeur examine les règles de filtrage du pare-feu ligne par ligne, vérifie la segmentation VLAN, contrôle les listes de contrôle d’accès (ACL) et s’assure que les protocoles obsolètes (Telnet, SNMPv1, FTP non chiffré) sont désactivés.
NIS2 ajoute une dimension supplémentaire : l’audit doit aussi évaluer la capacité de détection des incidents. Les journaux sont-ils centralisés ? Les alertes de corrélation fonctionnent-elles ? Un test simple consiste à simuler un comportement anormal (connexion depuis une géolocalisation inhabituelle) et vérifier si le SIEM ou l’outil de supervision génère bien une alerte.
Rapport d’audit réseau et plan de remédiation : transformer les constats en actions
Un rapport d’audit qui liste des vulnérabilités sans priorisation finit dans un tiroir. La valeur réelle du livrable réside dans la hiérarchisation des risques et la feuille de route corrective.
- Classer chaque vulnérabilité par criticité en croisant sa sévérité technique (score CVSS quand disponible) et son exposition réelle dans l’architecture réseau.
- Proposer des actions correctives avec un calendrier réaliste : les failles critiques exposées sur internet d’abord, les améliorations de gouvernance ensuite.
- Identifier les correctifs qui dépendent de tiers (opérateur télécom, éditeur de firmware) et anticiper les délais contractuels.
- Prévoir une date de contre-audit pour vérifier que les remédiations ont été appliquées, pas seulement planifiées.
Un audit sans suivi de remédiation ne réduit pas le risque. La gap analysis NIS2 exige d’ailleurs une réévaluation régulière de l’efficacité des mesures, ce qui implique de programmer des audits récurrents, pas uniquement ponctuels.
Gouvernance et responsabilités internes
Qui porte la responsabilité des correctifs après l’audit ? Dans beaucoup de PME, la réponse reste floue. Le rapport doit nommer un responsable par action corrective et fixer un circuit de validation. Sans cette gouvernance, les recommandations restent lettre morte, même quand elles sont techniquement pertinentes.
L’audit de sécurité réseau n’est pas un exercice ponctuel qu’on coche sur une liste de conformité. C’est un processus qui commence par la cartographie du périmètre réel (fournisseurs inclus), passe par une analyse technique combinant scans automatisés et revue manuelle, et ne produit de résultat que si le plan de remédiation est suivi jusqu’au bout. La prochaine échéance réglementaire NIS2 approche : mieux vaut auditer maintenant que colmater après un incident.