Partir des risques de l’existant
Dans cette étude, je suis parti d’un réseau interne peu cloisonné, de services exposés directement, de comptes privilégiés partagés, de systèmes anciens et d’une journalisation insuffisante. J’ai relié ces faiblesses aux mesures de ma cible : séparer les zones, limiter les flux, individualiser l’administration et préparer la reprise. J’ai formalisé cette conception dans une cartographie et un plan de sécurisation.
Définir les frontières de publication
J’ai proposé un Stormshield SN-S 220 en frontal et une appliance Netgate 4200 avec pfSense entre la DMZ et le LAN. Pour le web, j’ai placé dans la DMZ une VM Nginx avec ModSecurity, destinée à recevoir le trafic public et à être seule autorisée à joindre la VM Apache/PHP. J’ai ainsi prévu un point de contrôle devant le serveur applicatif, avec HTTPS, LDAPS et des ACL pour les échanges entre segments internes.
J’ai détaillé des VLAN pour la DMZ, la production, l’administration, la téléphonie, le management, quatre pôles utilisateurs, les administrateurs sur site et deux populations VPN. Je dois toutefois harmoniser deux points de mon plan : la synthèse annonce huit VLAN alors que ma liste en compte douze, et je cite à la fois le commutateur L3 et le pare-feu interne pour le routage et le filtrage inter-VLAN. Leur répartition exacte reste à arrêter avant configuration.
Préparer l’administration et la reprise
J’ai prévu un passage par VPN puis par une VM bastion dédiée pour les accès distants d’administration en RDP ou SSH, avec MFA. J’ai proposé des comptes nominatifs séparés par niveau pour remplacer les comptes génériques. Pour conserver les traces et les données, j’ai ajouté une VM de collecte Syslog, un NAS QNAP avec sauvegardes Veeam, des états conservés et une copie mensuelle hors site sur support chiffré. J’ai aussi prévu un essai périodique de restauration. Ces mesures font partie de l’architecture que j’ai étudiée.
Chiffrer et planifier la mise en œuvre
J’ai établi un devis pédagogique de 8 732,10 € HT pour les deux pare-feux, un commutateur, un hôte de bastion, le NAS, ses disques et une licence Windows Server, sous l’enveloppe de 10 000 € HT. J’ai ensuite organisé les achats, le cloisonnement, la migration des services et les contrôles. Mon travail s’arrête à cette préparation : l’installation, les essais de filtrage, les accès au bastion et la restauration restent à réaliser après clarification des VLAN et des fonctions de routage.