Pourquoi empiler les défenses plutôt que miser sur un seul rempart ?
Si vous administrez un environnement Exchange ou un domaine Active Directory depuis quelques années, vous avez probablement déjà entendu l'expression défense en profondeur (defense in depth) sans forcément savoir d'où elle vient ni comment elle s'articule concrètement. L'idée est simple : au lieu de placer toute sa confiance dans un pare-feu unique ou un antivirus, on empile plusieurs couches de contrôles indépendantes. Si l'une tombe, la suivante prend le relais.
Analogie du château fort
Pensez à un château médiéval : douves, muraille extérieure, cour intérieure, donjon. Chaque obstacle ralentit l'assaillant et donne du temps aux défenseurs pour réagir. La limite de l'analogie : dans un réseau informatique, l'attaquant peut parfois apparaître directement dans la « cour intérieure » via un e-mail de phishing, sans jamais franchir la muraille extérieure. C'est justement pour couvrir ce cas que la supervision et la segmentation interne comptent autant que le périmètre.
Cette architecture ne relève pas de la théorie abstraite : elle décrit ce que la plupart des entreprises matures déploient concrètement, de l'utilisateur final jusqu'aux outils de détection managés.
Les cinq piliers qui guident toute architecture de sécurité
Avant de détailler les couches techniques, il faut comprendre les objectifs qu'elles servent. Cinq principes structurent quasiment toutes les architectures de sécurité d'entreprise :
- Confidentialité : empêcher qu'une donnée soit lue par quelqu'un qui n'y est pas autorisé.
- Intégrité : garantir qu'une donnée n'a pas été modifiée sans autorisation.
- Disponibilité : s'assurer que les services restent accessibles quand on en a besoin.
- Surveillance : détecter une activité anormale le plus tôt possible.
- Résilience : continuer à fonctionner, même en mode dégradé, pendant ou après une attaque.
Chaque brique technique décrite plus bas répond en réalité à un ou plusieurs de ces cinq objectifs. Un pare-feu applicatif sert la confidentialité et l'intégrité, une sauvegarde testée sert la résilience, un SIEM sert la surveillance.
Premier contact : du poste utilisateur au périmètre réseau
Le parcours d'un flux commence avec les utilisateurs eux-mêmes : collaborateurs au bureau, télétravailleurs, partenaires externes. Leurs connexions passent en TLS 1.3, la version actuelle du protocole de chiffrement qui sécurise les échanges web (le successeur direct de ce qu'on appelait autrefois SSL). Pour les accès distants, on utilise des tunnels IPsec, SSL ou VPN (réseau privé virtuel) qui créent un canal chiffré au-dessus d'Internet, un peu comme un tuyau opaque tendu entre deux points publics.
À l'entrée du réseau se trouve la zone périmètre, avec plusieurs dispositifs complémentaires :
- Le WAF (Web Application Firewall) filtre spécifiquement le trafic destiné aux applications web, en bloquant par exemple les tentatives d'injection SQL.
- Le NGFW (Next-Generation Firewall) va plus loin qu'un pare-feu classique en inspectant le contenu applicatif du trafic, pas seulement les ports et les adresses IP.
- Les protocoles SPF, DKIM et DMARC authentifient l'origine des e-mails et protègent contre l'usurpation de domaine, l'un des vecteurs de phishing les plus courants.
Repère mnémotechnique
SPF vérifie « qui a le droit d'envoyer », DKIM vérifie « le message n'a pas été modifié », DMARC dit « que faire si l'un des deux échoue ». Trois questions, trois protocoles.
La DMZ et la segmentation interne : cloisonner pour limiter les dégâts
Juste derrière le périmètre se trouve la DMZ (zone démilitarisée), un terme empli directement au vocabulaire militaire pour désigner une zone tampon. Elle héberge les serveurs exposés à Internet — web, mail, DNS — sans jamais leur donner un accès direct au réseau interne. Un dispositif IDS/IPS (système de détection et de prévention d'intrusion) surveille en permanence cette zone charnière pour repérer des comportements suspects.
Côté réseau interne, le cœur repose sur des commutateurs et des routeurs de niveau 3, mais la vraie valeur ajoutée vient de la segmentation : on découpe le réseau en zones distinctes plutôt que de tout laisser communiquer librement. On distingue typiquement :
- le réseau utilisateurs (postes, imprimantes), protégé par le contrôle d'accès 802.1X / NAC qui vérifie l'identité d'un équipement avant même de lui donner une adresse IP,
- les serveurs métier hébergeant applications et bases de données,
- le réseau d'administration, réservé aux accès privilégiés et sécurisé via SSH.
Cette séparation limite ce qu'on appelle le mouvement latéral : même si un attaquant compromet un poste utilisateur, il ne devrait pas pouvoir sauter directement vers un serveur de base de données sans franchir d'autres contrôles.
| Couche | Rôle principal | Exemples d'outils |
|---|---|---|
| Périmètre | Filtrer le trafic entrant | WAF, NGFW, SPF/DKIM/DMARC |
| DMZ | Isoler les services publics | IDS/IPS |
| Réseau interne | Segmenter et cloisonner | VLAN, 802.1X/NAC, SSH |
| Identité | Authentifier et limiter les privilèges | IAM, Active Directory, MFA |
| Supervision | Détecter et répondre | SIEM, SOAR, EDR/XDR |
Les briques transverses : identité, sauvegarde et chiffrement
Sous l'architecture réseau se trouvent des services transverses qui structurent la gouvernance de bout en bout :
- L'IAM (Identity and Access Management) et Active Directory centralisent l'authentification, avec Kerberos pour la vérification des identités, le MFA (authentification multifacteur) pour ajouter une seconde preuve, et le principe du moindre privilège pour limiter chaque compte au strict nécessaire.
- Le bastion d'administration est un point de passage obligatoire pour les accès privilégiés : il trace chaque session et évite qu'un administrateur se connecte directement, sans supervision, à un serveur critique.
- La sauvegarde et le PRA (plan de reprise d'activité) ne servent à rien s'ils ne sont jamais testés : des exercices de restauration réguliers sont la seule façon de savoir si une sauvegarde est réellement exploitable en cas de sinistre.
- Le chiffrement des données au repos (souvent en AES-256, un algorithme symétrique reconnu comme robuste) et en transit (TLS 1.3 / IPsec) protège la confidentialité, que la donnée soit stockée sur un disque ou en train de circuler sur le réseau.
Piège fréquent
Beaucoup d'organisations chiffrent leurs sauvegardes mais oublient de tester la restauration. Une sauvegarde non testée est une hypothèse, pas une garantie de résilience.
Voir et réagir : SIEM, SOAR, EDR/XDR
Toutes les couches précédentes bloquent ou ralentissent une attaque. Encore faut-il savoir qu'elle a lieu. C'est le rôle du bloc supervision et réponse :
- Le SIEM (Security Information and Event Management) collecte les journaux (logs) de l'ensemble de l'infrastructure et les corrèle pour repérer des schémas d'attaque qu'un seul journal isolé ne révélerait jamais.
- Le SOAR (Security Orchestration, Automation and Response) automatise les réponses : isoler un poste, révoquer une session, ouvrir un ticket, sans attendre qu'un humain clique manuellement sur chaque action.
- L'EDR/XDR (Endpoint/Extended Detection and Response) surveille en continu les postes de travail et serveurs, détecte les comportements malveillants et peut réagir directement sur l'équipement, par exemple en isolant une machine du réseau.
Ensemble, ces trois briques transforment une pile de contrôles statiques en un système capable de détecter un incident et d'y répondre en quelques minutes plutôt qu'en plusieurs jours.
Transposer ce modèle dans un environnement Microsoft 365 et Azure
Si votre entreprise s'appuie sur l'écosystème Microsoft, cette architecture n'est pas théorique : elle correspond presque brique par brique à des services que vous manipulez peut-être déjà.
- Entra ID (anciennement Azure AD) couvre la couche IAM : authentification centralisée, MFA, accès conditionnel et gestion des identités privilégiées.
- Microsoft Sentinel joue le rôle de SIEM et de SOAR : collecte des journaux multi-sources, corrélation via des règles de détection, et playbooks d'automatisation pour la réponse.
- Microsoft Defender (Defender for Endpoint, Defender for Office 365, Defender for Cloud Apps) assure la fonction EDR/XDR sur les postes, les boîtes mail et les applications SaaS.
Cette correspondance est utile pour cartographier votre existant : si vous avez déjà Entra ID, Sentinel et Defender, vous disposez déjà de l'essentiel des couches transverses de ce schéma. Ce qui manque souvent, en revanche, c'est la discipline opérationnelle — segmentation réseau, tests de restauration, revue régulière des privilèges — qui fait toute la différence entre une architecture sur le papier et une défense réellement efficace.
Points clés à retenir
- La défense en profondeur repose sur l'empilement de contrôles indépendants, pas sur un outil miracle unique.
- Cinq objectifs guident les choix techniques : confidentialité, intégrité, disponibilité, surveillance, résilience.
- La segmentation réseau (DMZ, VLAN, 802.1X/NAC) limite la propagation latérale d'une compromission.
- L'identité (IAM, MFA, moindre privilège) et la supervision (SIEM, SOAR, EDR/XDR) sont aussi critiques que le périmètre réseau.
- Dans un environnement Microsoft, Entra ID, Microsoft Sentinel et Microsoft Defender couvrent l'essentiel de ces couches transverses — à condition d'être configurés et testés régulièrement.
