Pourquoi séparer les machines en VLAN si le firewall identifie déjà chaque utilisateur

Cette vidéo explique pourquoi la séparation des machines en VLAN (réseaux virtuels) est insuffisante pour la cybersécurité si l'on ne contrôle pas le trafic interne.

L'objectif est d'appliquer le principe de moindre privilège : une machine ne doit communiquer qu'avec les services strictement nécessaires à son travail. Beaucoup d'administrateurs pensent que créer des VLAN par service ou par étage suffit à isoler les postes. Cependant, par défaut, les machines d'un même VLAN peuvent se parler directement, ce qui permet à un attaquant de se déplacer latéralement dans le réseau une fois un poste compromis.

La solution complète consiste à configurer le réseau pour que les machines d'un même VLAN ne puissent communiquer qu'avec leur passerelle (le firewall), et non entre elles. Cela force tout le trafic, y compris celui interne au VLAN, à passer par le firewall. Ce dernier devient alors le seul point de contrôle et de visibilité, capable d'appliquer des règles de sécurité précises entre chaque utilisateur ou service, indépendamment de leur localisation physique ou logique dans le réseau.

Exemple : Imaginez deux employés du même service dans le même VLAN. Sans configuration spécifique, leur PC A peut accéder directement aux fichiers de PC B. Avec la méthode décrite, la requête de PC A vers PC B doit passer par le firewall. Celui-ci peut alors bloquer cette connexion si elle n'est pas autorisée par la politique de sécurité, empêchant ainsi le mouvement latéral.