Les fondamentaux : ce que tout informaticien doit comprendre

1. Le réseau : les briques de base

1.1 Qu’est-ce qu’un « hôte » ?

On appelle hôte tout équipement connecté à un réseau et disposant d’une adresse pour y communiquer :

• ordinateur (poste de travail, serveur) ;
• imprimante réseau, caméra IP, téléphone IP ;
• smartphone, tablette ;
• objet connecté (capteur, badgeuse, écran d’affichage…).

Pour approfondir : GLPI : inventorier son parc

1.2 Le modèle en couches

Pour se comprendre, les hôtes doivent parler le même langage : c’est le rôle des protocoles. Ces protocoles sont organisés en couches ; chaque couche rend un service à la couche du dessus. On parle de TCP/IP pour désigner l’ensemble (la « suite ») de protocoles utilisée par Internet et les réseaux locaux, du nom de ses deux protocoles principaux.

Couche TCP/IP	Couches OSI	Rôle	Exemples
Accès réseau	1 Physique, 2 Liaison	Transmettre les signaux, adresser les cartes du réseau local	Ethernet, Wi-Fi, adresse MAC, switch
Internet	3 Réseau	Adresser les hôtes, acheminer les paquets d’un réseau à l’autre	IP, ICMP (ping), routeur
Transport	4 Transport	Remettre les données à la bonne application (port), fiabilité	TCP, UDP
Application	5 à 7	Services utilisés par les applications	HTTP(S), DNS, DHCP, SSH, SMTP

Pour approfondir : Animation : le voyage d’un paquet · Animation : quand je tape une URL

1.3 Adresse MAC et protocole ARP

Chaque carte réseau possède une adresse MAC (48 bits, notée en hexadécimal, par exemple 00:1A:2B:3C:4D:5E), attribuée par le fabricant. Elle sert à communiquer sur le réseau local (couche 2), alors que l’adresse IP sert à joindre un hôte à travers les réseaux (couche 3).

Pour envoyer des données à une adresse IP de son réseau, un hôte doit connaître l’adresse MAC correspondante. Il la demande à tout le réseau grâce au protocole ARP (« qui possède l’adresse 192.168.1.10 ? »), puis la garde en mémoire dans son cache ARP.

Pour approfondir : Fiche ARP

1.4 Qu’est-ce qu’une « adresse IP » ?

Une adresse IP est un identifiant logique attribué à une interface réseau (carte physique ou virtuelle). Elle permet de joindre un hôte, y compris à travers plusieurs réseaux. Deux versions coexistent :

• IPv4 : 32 bits, 4 nombres de 0 à 255 (ex. 192.168.10.25) ;
• IPv6 : 128 bits, notation hexadécimale (ex. 2001:db8:10::25), créée pour répondre à la pénurie d’adresses IPv4.

Une interface peut porter plusieurs adresses : c’est courant sur les serveurs (adresses secondaires) et systématique en IPv6 (une adresse de lien local en fe80:: plus une ou plusieurs adresses globales).

Une adresse IP est attribuée :

• manuellement (adresse fixe ou statique), en respectant le plan d’adressage : serveurs, équipements réseau, imprimantes ;
• automatiquement par un serveur DHCP : cas général des postes de travail ;
• automatiquement par le système lui-même lorsqu’aucun serveur DHCP ne répond : c’est une adresse APIPA, de la forme 169.254.x.y.

Pour approfondir : Configurer le réseau sous Linux · Configurer le réseau sous Windows · Décodeur IPv6

1.5 Que peut-on lire dans une adresse IP ?

Une adresse IP contient deux informations : l’adresse du réseau et l’adresse de l’hôte dans ce réseau. C’est le masque de sous-réseau qui indique où se fait la séparation.

Exemple : 192.168.10.25 avec le masque 255.255.255.0 (noté /24) → réseau 192.168.10.0, hôte n° 25.

• Une adresse IP doit être unique dans son réseau : deux hôtes avec la même adresse provoquent un conflit.
• Deux hôtes ne communiquent directement que s’ils appartiennent au même réseau. Pour joindre un autre réseau, ils passent par une passerelle (voir 2.4).

Adresses privées et publiques. Certaines plages sont réservées aux réseaux internes et ne circulent pas sur Internet : 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. Les adresses publiques, elles, sont uniques au niveau mondial. Le NAT (traduction d’adresses), assuré par le routeur ou le pare-feu de sortie, permet à de nombreux hôtes privés de partager une même adresse publique.

Pour approfondir : Calculatrice IPv4 · Adressage IPv4 : introduction · Adressage IPv4 : calculs · Numération et conversions · Convertisseur binaire / hexadécimal · Fiche NAT

1.6 Ports et protocoles courants

L’adresse IP désigne un hôte ; le port (de 0 à 65535) désigne le service ou l’application sur cet hôte. TCP établit une connexion et garantit la livraison des données ; UDP les envoie sans connexion, plus rapidement mais sans garantie.

Port	Protocole	Usage
20-21/TCP	FTP	Transfert de fichiers, non chiffré
22/TCP	SSH, SFTP	Administration à distance et transfert de fichiers chiffrés
23/TCP	Telnet	Administration à distance non chiffrée : à proscrire
25/TCP	SMTP	Envoi de courriels entre serveurs
53/UDP-TCP	DNS	Résolution de noms
67-68/UDP	DHCP	Distribution des configurations réseau
80 et 443/TCP	HTTP, HTTPS	Web (443 = chiffré avec TLS)
88/TCP-UDP	Kerberos	Authentification Active Directory
123/UDP	NTP	Synchronisation de l’heure
389 et 636/TCP	LDAP, LDAPS	Interrogation d’un annuaire (636 = chiffré)
445/TCP	SMB	Partage de fichiers Windows
1812-1813/UDP	RADIUS	Authentification des accès réseau
3389/TCP	RDP	Bureau à distance Windows

Pour approfondir : Fiche TCP et UDP · Fiche commandes et outils réseau · Fiche Nmap

2. Les équipements réseau

2.1 Le concentrateur (hub)

Un concentrateur relie plusieurs équipements d’un même réseau local en répétant chaque trame reçue sur tous ses ports. Tous les équipements partagent donc le même domaine de diffusion et le même domaine de collision : une seule machine peut émettre à la fois. Si deux machines émettent en même temps, il y a collision et chacune réémet après une attente tirée au hasard.

C’est un équipement historique : il a disparu des réseaux d’entreprise au profit du commutateur. Le connaître permet surtout de comprendre ce qu’apporte ce dernier. Il permet d’étendre un réseau local, pas de le transformer en réseau étendu (WAN).

Pour approfondir : Fiche Wireshark

2.2 Le commutateur (switch)

Un commutateur relie lui aussi plusieurs équipements d’un réseau local mais, contrairement au hub, il apprend l’adresse MAC des équipements branchés sur chacun de ses ports (table MAC) et n’envoie chaque trame que sur le port du destinataire. Il encombre beaucoup moins le réseau.

• switch de niveau 2 : commute selon les adresses MAC ;
• switch de niveau 3 : sait aussi router entre réseaux et VLAN, il peut jouer le rôle de passerelle ;
• switch administrable (« manageable ») : il se configure (VLAN, sécurité, supervision), contrairement à un switch non administrable.

2.3 Le VLAN

Un VLAN (réseau local virtuel, norme IEEE 802.1Q) est un réseau logique indépendant créé sur un switch administrable : on désigne, par configuration, les ports qui appartiennent à chaque VLAN. On sépare ainsi les flux sans multiplier les switchs physiques. Son objectif premier est de limiter les domaines de diffusion.

• port d’accès (access, non étiqueté) : appartient à un seul VLAN, on y branche un hôte ;
• port d’agrégation (trunk, étiqueté) : transporte plusieurs VLAN entre deux switchs ou vers un routeur / pare-feu ; chaque trame y porte le numéro de son VLAN.

Techniquement, plusieurs réseaux IP peuvent circuler dans un même VLAN, mais la bonne pratique est un VLAN = un réseau IP. Deux VLAN ne communiquent qu’en passant par un équipement de niveau 3 (routeur, switch de niveau 3, pare-feu) : c’est à cet endroit que s’appliquent les règles de filtrage.

Pour approfondir : Animation : switch et VLAN · Configurer des VLAN sur un switch Cisco · Guide d’administration Cisco Catalyst

2.4 La passerelle et le routeur

Une passerelle permet à des hôtes de réseaux différents de communiquer. Concrètement, c’est un routeur : un équipement de niveau 3 qui reçoit les paquets destinés à un autre réseau et les transmet vers leur destination grâce à sa table de routage.

Sur chaque hôte, on configure une passerelle par défaut : l’adresse du routeur à qui confier tout ce qui ne concerne pas le réseau local. Sans elle, l’hôte ne communique qu’avec son propre réseau. Le routage peut être assuré par :

• un dispositif matériel : routeur physique ou switch de niveau 3 ;
• un dispositif logiciel : serveur ou pare-feu dont le système est paramétré pour router (pfSense, OPNsense, Linux, Windows Server).

Pour approfondir : Fiche table de routage

2.5 Le pare-feu (firewall)

Un pare-feu filtre les flux réseau pour autoriser ou bloquer certains échanges. Ses règles portent sur les adresses IP source et destination, le protocole (TCP, UDP, ICMP), les ports et le sens du flux.

• pare-feu d’hôte : protège la machine sur laquelle il est installé, poste ou serveur (pare-feu Windows, nftables, ufw) ;
• pare-feu réseau : protège un ou plusieurs réseaux (pfSense, OPNsense, Stormshield, Fortinet…).

Un pare-feu moderne est à états : il suit les connexions et autorise automatiquement les réponses à une connexion permise. Les pare-feu dits « nouvelle génération » analysent en plus le contenu applicatif. Les ACL d’une passerelle sont un filtrage comparable mais plus simple, généralement sans suivi des connexions.

Pour approfondir : Animation : pare-feu et règles

2.6 La DMZ

Une DMZ (zone démilitarisée) est un réseau isolé, placé derrière le pare-feu, qui accueille les serveurs devant être joignables depuis Internet : site web, messagerie, passerelle VPN, reverse proxy. Les flux sont filtrés entre Internet et la DMZ, et surtout entre la DMZ et le réseau interne.

Pour approfondir : Animation : pare-feu, règles et DMZ · Bastion d’administration Guacamole

2.7 Le proxy

Un proxy (serveur mandataire) est un intermédiaire : les clients lui confient leurs requêtes (le plus souvent web) et il les émet vers Internet à leur place. Il permet :

• de partager et de contrôler l’accès à Internet entre plusieurs hôtes ;
• de filtrer les accès selon des listes de sites autorisés ou interdits, par réseau, par adresse IP ou par utilisateur ;
• d’authentifier les utilisateurs et de journaliser leurs accès ;
• de mettre en cache les pages les plus consultées — un intérêt aujourd’hui limité, car la quasi-totalité des sites sont en HTTPS.

Exemple : Squid, souvent associé à un filtre. À l’inverse, un reverse proxy (Nginx, HAProxy, Traefik) est placé devant des serveurs : il reçoit les requêtes venues de l’extérieur et les transmet aux serveurs internes, qu’il masque. Il porte souvent le certificat HTTPS et peut répartir la charge.

2.8 Le VPN

Un VPN (réseau privé virtuel) crée un tunnel entre deux points à travers un réseau que l’on ne maîtrise pas, le plus souvent Internet. Tout se passe comme si l’on « tirait un câble » entre l’endroit où l’on se trouve et le réseau local que l’on veut rejoindre. Dans un usage professionnel, ce tunnel est chiffré et authentifié : les données ne peuvent être ni lues ni modifiées en chemin.

• VPN nomade (client vers site) : télétravail, accès distant d’un poste ;
• VPN site à site : liaison permanente entre deux sites de l’entreprise.

Protocoles courants : IPsec, OpenVPN, WireGuard. Le VPN sert aussi à l’intérieur du réseau pour protéger des transferts critiques (sauvegardes, flux d’administration).

Pour approfondir : Recettage : VPN site à site WireGuard

3. Systèmes et services

3.1 Qu’est-ce qu’un « système d’exploitation » ?

Un système d’exploitation est l’ensemble des logiciels qui gère les composants d’un hôte (processeur, mémoire, stockage, réseau) et met à disposition une interface homme-machine, graphique ou en ligne de commande, pour l’utiliser et le paramétrer.

3.2 Système serveur et système de poste de travail

Un système d’exploitation serveur est conçu pour héberger des services pour d’autres machines : il fonctionne en continu et accepte de nombreuses connexions simultanées, y compris plusieurs utilisateurs connectés en même temps à ses ressources. Un système de poste de travail est conçu pour un utilisateur interactif à la fois.

Critère	Système serveur	Système de poste de travail
Usage principal	Fournir des services (fichiers, annuaire, web…)	Utilisation interactive par une personne
Sessions simultanées	Nombreuses (utilisateurs, administrateurs)	Une session interactive à la fois
Interface	Souvent sans interface graphique (Server Core, ligne de commande)	Interface graphique
Exemples	Windows Server 2022 et 2025, Debian, Ubuntu Server, Red Hat Enterprise Linux	Windows 11 (Pro, Entreprise, Éducation), macOS, Linux de bureau

Les deux familles sont multitâches (plusieurs programmes s’exécutent en même temps) : la différence tient surtout à l’usage, au nombre de connexions simultanées, aux rôles disponibles, à la durée du support et aux licences.

Pour approfondir : Durcir un serveur Linux · Durcir un poste Windows

3.3 Qu’est-ce qu’un « service » ?

Un service est un programme qui s’exécute en arrière-plan pour répondre à des requêtes, venant d’utilisateurs (les « clients ») ou d’autres systèmes. Sous Linux, on parle aussi de démon (daemon).

On peut comparer un serveur à un immeuble de bureaux : le serveur est le bâtiment (le matériel), les services sont les différents départements qui y travaillent (accueil, comptabilité, courrier).

• Arrière-plan : pas de fenêtre, il tourne « silencieusement ».
• Indépendant des sessions : il démarre généralement avec le serveur, avant toute connexion d’utilisateur.
• À l’écoute : il attend les sollicitations sur un port (80 ou 443 pour un service web).
• Disponible : il est conçu pour fonctionner 24 h/24 et peut être configuré pour redémarrer automatiquement en cas d’arrêt (systemd sous Linux, options de récupération sous Windows).

Le modèle client-serveur. Le client envoie une requête via le réseau ; le service la reçoit, la traite (calcul, recherche de fichier…) et renvoie une réponse. Un même serveur peut héberger plusieurs services simultanément :

Service	Rôle	Exemples de logiciels
Web	Envoie des pages et applications web aux navigateurs	Apache, Nginx, IIS
Fichiers	Stocke et partage des documents	Partage Windows (SMB), Samba, NFS, SFTP
Messagerie	Gère l’envoi et la réception des courriels	Postfix, Dovecot, Microsoft Exchange
Base de données	Stocke et organise des données structurées	MariaDB / MySQL, PostgreSQL, SQL Server
DNS	Traduit les noms en adresses IP	BIND, Unbound, DNS Windows
Annuaire	Gère utilisateurs, groupes et machines	Active Directory, OpenLDAP

Pour approfondir : Fiche HTTP · Animation : requête web dynamique · Installer MariaDB sous Debian · Nextcloud, plateforme collaborative

3.4 Le serveur DHCP

Un serveur DHCP distribue automatiquement une configuration réseau aux hôtes qui la demandent : adresse IP, masque, passerelle par défaut, serveurs DNS, et si besoin serveur NTP, nom de domaine, etc. Cela suppose que la carte réseau de l’hôte soit réglée en « obtention automatique ».

• L’adresse est prêtée pour une durée limitée, le bail, que le client renouvelle régulièrement.
• Pour qu’un hôte reçoive toujours la même adresse, on crée une réservation liée à son adresse MAC.
• L’échange se fait en quatre messages : Discover, Offer, Request, Acknowledge (DORA).
• La demande initiale est diffusée à tout le réseau et ne traverse pas les routeurs : pour servir plusieurs réseaux ou VLAN avec un seul serveur, on configure un agent relais DHCP sur la passerelle de chaque réseau.

Disponibilité. Le DHCP est un élément sensible du SI : s’il tombe, les postes ne peuvent plus obtenir d’adresse et perdent l’accès au réseau à l’expiration de leur bail. Deux serveurs ne doivent jamais distribuer indépendamment les mêmes plages (risque de conflits d’adresses). Deux solutions :

• partager la plage en deux parties qui ne se chevauchent pas (règle dite « 80/20 ») ;
• mettre en place un basculement (failover) où les deux serveurs se synchronisent, soit en partage de charge (actif/actif), soit en serveur de secours (actif/passif). C’est possible avec Windows Server ou Kea (ISC).

Pour approfondir : Fiche DHCP · Animation : DHCP en 4 temps

3.5 Le serveur DNS

Un serveur DNS fonctionne comme un annuaire : il traduit les noms d’hôtes en adresses IP (résolution directe) et les adresses en noms (résolution inverse). On s’adresse ainsi à un hôte par son nom plutôt que par son adresse.

• il est plus facile de retenir des noms que des nombres ;
• en cas de changement de plan d’adressage, les liens réseau ne sont pas à refaire : seuls les enregistrements DNS sont modifiés.

Le DNS est une base hiérarchique et distribuée : la racine, puis les domaines de premier niveau (.fr, .com), puis les domaines et sous-domaines. Chaque zone est gérée par des serveurs qui font autorité ; les autres serveurs (résolveurs) interrogent cette hiérarchie et gardent les réponses en cache.

Enregistrement	Rôle
A / AAAA	Nom → adresse IPv4 / IPv6
CNAME	Alias vers un autre nom
MX	Serveur de messagerie du domaine
PTR	Adresse → nom (résolution inverse)
SRV	Localisation d’un service ; Active Directory l’utilise pour trouver ses contrôleurs de domaine
NS	Serveurs qui font autorité pour la zone

Le DNS est vraisemblablement l’un des services les plus sensibles et importants du SI : s’il ne répond plus, systèmes et applications ne fonctionnent plus (Active Directory en dépend entièrement : voir la fiche Active Directory). On installe donc au moins deux serveurs DNS, sur deux machines distinctes, et on déclare les deux sur l’ensemble des hôtes (DNS préféré et auxiliaire), généralement par le DHCP.

Pour approfondir : Fiche DNS

3.6 Le serveur NTP

Un serveur NTP, ou serveur de temps, sert d’horloge de référence à tous les hôtes qui le consultent (port 123/UDP). NTP est organisé en niveaux appelés strates : la strate 0 correspond aux horloges de référence (atomiques, GPS), la strate 1 aux serveurs directement reliés à celles-ci, et ainsi de suite.

Il est primordial que tous les hôtes aient la même heure :

• Authentification : dans un domaine Active Directory, l’authentification Kerberos échoue par défaut au-delà de 5 minutes d’écart entre un poste et le contrôleur de domaine. Dans le domaine, la référence horaire est le contrôleur de domaine qui porte le rôle d’émulateur PDC, lui-même synchronisé sur une source NTP fiable.
• Certificats : une horloge fausse peut faire considérer un certificat valide comme expiré.
• Journaux : sans horloges synchronisées, impossible de reconstituer la chronologie d’un incident entre plusieurs machines.

3.7 La virtualisation

La virtualisation permet de faire fonctionner plusieurs systèmes d’exploitation, les machines virtuelles (VM), sur un même serveur physique, grâce à un hyperviseur qui leur partage les ressources.

• hyperviseur de type 1 (« bare metal »), installé directement sur le matériel : VMware ESXi, Proxmox VE, XCP-ng, Hyper-V ;
• hyperviseur de type 2, installé comme une application sur un système existant : VirtualBox, VMware Workstation ;
• conteneurs (Docker, Podman) : ils isolent des applications qui partagent le noyau du système hôte, sans virtualiser un système complet.

Intérêts : meilleure utilisation du matériel, instantanés (snapshots), déploiement rapide, déplacement des VM d’un serveur à l’autre, reprise d’activité facilitée.

4. Identités, annuaires et domaines

4.1 Qu’est-ce qu’un « annuaire » ?

Un annuaire est une base de données centralisée qui recense l’ensemble des éléments constituant un système d’information : utilisateurs, groupes d’utilisateurs, hôtes (ordinateurs, imprimantes…). Chaque entrée possède un identifiant unique, ce qui permet d’appliquer des règles de gestion très précises à chaque objet ou groupe d’objets.

Le protocole standard d’accès aux annuaires est LDAP. Lorsque l’on parle d’annuaire, on fait généralement référence à :

• Active Directory (Microsoft), l’annuaire le plus répandu en entreprise, lui-même compatible LDAP et associé à Kerberos et au DNS ;
• un annuaire LDAP libre : OpenLDAP, FreeIPA (Samba peut également jouer le rôle de contrôleur de domaine Active Directory) ;
• dans le cloud, Microsoft Entra ID (anciennement Azure AD), souvent synchronisé avec l’Active Directory local.

4.2 Qu’est-ce qu’un « domaine » ?

Le mot « domaine » recouvre deux notions liées :

• le domaine DNS : un espace de noms (exemple : entreprise.fr) ;
• le domaine Active Directory : une entité logique, une « enveloppe » qui regroupe les utilisateurs, les groupes et les hôtes d’une même organisation. Un domaine AD porte toujours un nom DNS.

Le domaine permet à l’administrateur de gérer efficacement les utilisateurs et les postes déployés dans l’entreprise, car toutes ces informations sont centralisées dans une même base de données.

4.3 Qu’est-ce qu’un « contrôleur de domaine » ?

Un contrôleur de domaine (DC) est un serveur qui héberge l’annuaire Active Directory et authentifie les utilisateurs et les machines du domaine. Le terme date de Windows NT, mais il reste le terme actuel pour désigner les serveurs Active Directory.

On en installe au moins deux par domaine : l’annuaire est répliqué entre eux, ce qui permet au domaine de continuer à fonctionner si l’un tombe. Ils hébergent généralement aussi le DNS du domaine.

4.4 Le domaine, pierre angulaire de la cybersécurité

La mise en place d’un domaine et de contrôleurs de domaine constitue la pierre angulaire de la cybersécurité en entreprise : plutôt que de gérer chaque ordinateur individuellement, on crée un système de gestion centralisé. Voici pourquoi cette architecture est un rempart essentiel.

1. Centralisation de l’authentification et de l’identité. Sans domaine, chaque utilisateur possède un compte local sur chaque machine : un cauchemar de sécurité.

• Contrôle unique : l’identité est vérifiée à un seul endroit. Si un employé quitte l’entreprise, on désactive son compte une seule fois pour lui couper l’accès à toutes les ressources.
• Politique de mots de passe imposée à toute l’organisation. Les recommandations actuelles (ANSSI, CNIL) privilégient la longueur (phrases de passe) et l’authentification multifacteur plutôt que le changement forcé et fréquent, qui pousse à des mots de passe prévisibles ; on impose le changement en cas de soupçon de compromission.

2. Application des stratégies de groupe (GPO). Les GPO permettent de verrouiller les systèmes à distance et automatiquement : c’est l’outil de durcissement par excellence.

• désactivation des ports USB, contre le vol de données ou l’insertion de clés infectées ;
• blocage de l’installation de logiciels non autorisés ;
• configuration automatique des pare-feu et des mises à jour de sécurité sur tous les postes.

3. Gestion des privilèges (principe du moindre privilège). Le contrôleur de domaine permet de définir finement qui a le droit de faire quoi, grâce aux groupes de sécurité.

• Un utilisateur standard n’a jamais les droits administrateur sur sa machine : un logiciel malveillant ne peut pas s’exécuter avec des droits élevés, ce qui limite fortement sa propagation.
• Accès sélectif : le comptable n’accède qu’au dossier « Finance », l’ingénieur qu’au dossier « R&D ».
• Les mots de passe des comptes administrateurs locaux sont tous différents et gérés automatiquement (Windows LAPS).
• Les administrateurs disposent de deux comptes : un compte standard pour le travail courant, un compte d’administration réservé aux tâches d’administration.

4. Audit et traçabilité. Le contrôleur de domaine agit comme une « boîte noire » du réseau : il enregistre toutes les tentatives de connexion, réussies ou échouées. Si un compte tente de se connecter à 50 serveurs en 2 minutes, ses journaux permettent de détecter une attaque par force brute (voir 4.5) ou un mouvement latéral (voir 4.6).

5. Administration simplifiée des mises à jour. Le domaine facilite le déploiement centralisé des correctifs, avec WSUS (outil historique, déclaré obsolète par Microsoft mais encore très répandu), Microsoft Intune ou un autre outil de gestion de parc : tous les postes reçoivent rapidement les correctifs critiques, ce qui comble les vulnérabilités avant qu’elles ne soient exploitées.

Pour approfondir : Fiche Active Directory · Cybersécurité 1 : identités et accès · PowerShell et Active Directory

4.5 L’attaque par force brute

L’attaque par force brute est l’une des méthodes les plus anciennes et les plus simples : elle consiste à tester systématiquement des combinaisons de caractères pour deviner un secret (mot de passe, code PIN, clé de chiffrement). Si le mouvement latéral est l’art de se faufiler dans un bâtiment, la force brute revient à donner des coups d’épaule dans chaque porte jusqu’à ce que l’une d’elles cède.

• attaque par dictionnaire : tester les mots de passe les plus courants plutôt que toutes les combinaisons ;
• pulvérisation de mots de passe (password spraying) : tester un même mot de passe courant sur de très nombreux comptes, pour ne pas déclencher le verrouillage ;
• bourrage d’identifiants (credential stuffing) : réutiliser des identifiants volés sur un autre site.

Pour approfondir : Animation : hachage des mots de passe

4.6 Le mouvement latéral

Une fois entré dans le réseau, par exemple par un poste piégé via un courriel, un attaquant cherche à se déplacer de machine en machine pour atteindre ses véritables cibles : contrôleurs de domaine, serveurs de fichiers, sauvegardes. C’est le mouvement latéral. Il réutilise pour cela les identifiants récupérés sur chaque machine compromise (mots de passe, empreintes de mots de passe, tickets Kerberos).

4.7 RADIUS et 802.1X

RADIUS est un protocole d’authentification centralisée des accès réseau. Un équipement (switch, borne Wi-Fi, passerelle VPN) ne décide pas seul : il transmet la demande à un serveur RADIUS (FreeRADIUS, NPS sous Windows) qui vérifie l’identité, souvent auprès de l’annuaire, et répond « accepté » ou « refusé ».

Associé à la norme 802.1X, il permet de n’ouvrir un port de switch ou un accès Wi-Fi qu’après authentification de l’équipement ou de l’utilisateur, et éventuellement de le placer automatiquement dans le bon VLAN.

4.8 L’authentification multifacteur

L’authentification multifacteur (MFA) combine au moins deux facteurs de natures différentes : ce que je sais (mot de passe, code PIN), ce que je possède (téléphone, clé de sécurité FIDO2, carte), ce que je suis (empreinte, visage).

5. Traces, sauvegarde et chiffrement

5.1 Qu’est-ce qu’un « journal » (log) ?

Les journaux sont la mémoire de tout ce qui se passe sur un système informatique. Si l’on compare un réseau d’entreprise à un immeuble, les logs sont le registre de l’accueil où chaque visiteur note son nom, son heure d’arrivée et le badge utilisé, complété par les enregistrements des caméras dans les couloirs.

Un journal est un enregistrement chronologique d’événements, produit automatiquement par un système (serveur, pare-feu, application) : fichier texte sous Linux (syslog), format propre à Windows (observateur d’événements). Chaque ligne contient en général quatre informations :

• le quand : un horodatage précis (date, heure, millisecondes) ;
• le qui : l’utilisateur, l’adresse IP ou le service à l’origine de l’action ;
• le où : la machine ou le composant concerné ;
• le quoi : la description de l’événement (« connexion réussie », « fichier supprimé », « erreur critique »).

En cybersécurité, les logs ne servent pas qu’à réparer des pannes : ce sont les témoins numériques indispensables de trois missions.

• La détection (le radar). Analysés en temps réel, souvent par un outil appelé SIEM (Wazuh, Graylog…), ils révèlent des comportements d’attaque : 1 000 échecs de connexion sur un même compte en 2 minutes (force brute), un poste qui envoie soudain des gigaoctets vers une adresse inconnue à l’étranger (exfiltration).
• L’investigation (la boîte noire). Après une attaque réussie, ils permettent de reconstituer le film de l’incident : par où l’attaquant est-il entré ? Quels fichiers a-t-il consultés ? A-t-il réussi un mouvement latéral ?
• La conformité et l’audit (la preuve). Le RGPD impose de sécuriser les données personnelles, ce qui implique de tracer les accès à ces données ; la CNIL recommande de conserver ces journaux de 6 mois à 1 an. Les logs prouvent que seules les personnes autorisées ont consulté des informations sensibles.

Type de journal	Ce qu’il surveille	Intérêt cybersécurité
Sécurité	Connexions, déconnexions, modifications de droits	Détecter un vol de compte ou une élévation de privilèges
Réseau	Flux traversant le pare-feu	Repérer des communications avec des serveurs malveillants
Système	Démarrage et arrêt des services, erreurs matérielles	Détecter l’installation d’un service malveillant
Applicatif	Actions dans un logiciel (ex. virement bancaire)	Tracer une fraude interne ou l’exploitation d’une faille web

Pour approfondir : La supervision informatique · Cybersécurité 4 : détection et réponse

5.2 La sauvegarde

La règle de référence est la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. Elle est aujourd’hui souvent complétée en 3-2-1-1-0 : une copie hors ligne ou non modifiable, et zéro erreur lors des tests de restauration.

• sauvegarde complète : toutes les données ;
• sauvegarde incrémentale : ce qui a changé depuis la dernière sauvegarde, quelle qu’elle soit ;
• sauvegarde différentielle : ce qui a changé depuis la dernière sauvegarde complète.

Deux indicateurs guident la stratégie : la perte de données maximale admissible (RPO) et la durée d’interruption maximale admissible (RTO).

5.3 Chiffrement et certificats

Le chiffrement rend des données illisibles pour qui ne possède pas la clé. On distingue trois familles d’outils :

• chiffrement symétrique : une même clé chiffre et déchiffre ; rapide (AES) ;
• chiffrement asymétrique : une paire clé publique / clé privée (RSA, courbes elliptiques), utilisée pour échanger des clés et pour signer ;
• hachage : une empreinte à sens unique (SHA-256), pour vérifier l’intégrité d’un fichier ou stocker un mot de passe sans le conserver en clair.

Un certificat est un document électronique qui lie une clé publique à une identité (un nom de site, un serveur, une personne). Il est signé par une autorité de certification. C’est ce que vérifie le navigateur lors d’une connexion HTTPS (protocole TLS).

Pour approfondir : Animation : chiffrement et certificats · Animation : hachage des mots de passe