Atténuer les points d'accès non autorisés sur les réseaux d'entreprise

Bienvenue dans ce briefing sur l'architecture d'entreprise de Purple. Je suis votre hôte, et aujourd'hui nous nous attaquons à une vulnérabilité critique qui contourne des millions de livres sterling de sécurité périmétrique : les points d'accès non autorisés (Rogue Access Points). Si vous êtes directeur informatique, architecte réseau ou responsable des opérations pour de grands sites — chaînes de vente au détail, hôpitaux, stades — ce sujet vous concerne. Nous allons dépasser la théorie pour voir comment atténuer concrètement cette menace à l'aide de systèmes de prévention des intrusions sans fil, ou WIPS. Posons le contexte. Vous avez investi massivement dans des pare-feu de nouvelle génération, la détection des terminaux et des règles de proxy strictes. Mais il suffit qu'un seul employé branche un routeur grand public à cinquante livres sur une prise murale dans une salle de réunion pour que, soudainement, votre réseau local sécurisé diffuse sur le parking. C'est cela, un point d'accès non autorisé. Il s'agit d'un pont non géré et non chiffré qui mène directement à votre cœur de réseau. Mais il ne s'agit pas seulement d'employés à la recherche d'un meilleur signal. Nous constatons une augmentation des attaques de type « Evil Twin » (jumeau malveillant). Dans ce scénario, un attaquant se positionne à l'extérieur de votre bâtiment — peut-être dans le café d'à côté — et diffuse exactement votre SSID d'entreprise. « Corp-WiFi ». Il augmente la puissance du signal, et les ordinateurs portables de vos employés se connectent automatiquement au point d'accès de l'attaquant plutôt qu'au vôtre. Désormais, l'attaquant se trouve au milieu de tout ce trafic. Chaque identifiant, chaque jeton de session, chaque donnée sensible transitant par cette connexion est potentiellement compromis. Il existe également la variante du pot de miel (honeypot) — un réseau ouvert diffusant un nom inoffensif comme « Free Public WiFi » — qui est particulièrement dangereuse dans les secteurs de l'hôtellerie et de la vente au détail, où les clients recherchent activement une connectivité. Alors, comment arrêter cela ? Le balayage manuel avec un analyseur de spectre portable est aujourd'hui obsolète en tant que contrôle principal. C'est trop lent, trop coûteux et cela laisse d'immenses failles de visibilité entre les cycles de balayage. La norme d'entreprise est le WIPS continu et automatisé. Plongeons dans l'architecture technique. Un déploiement WIPS robuste repose sur une couche de capteurs superposés. Deux approches principales s'offrent à vous. Premièrement, le mode capteur dédié. Dans ce cas, vous déployez des points d'accès dont le seul rôle est d'écouter. Ils ne gèrent pas le trafic client ; ils scannent simplement les spectres de deux virgule quatre, cinq et six gigahertz en continu, sur tous les canaux. Cela vous offre la détection la plus fidèle et la capacité de contenir les menaces en temps quasi réel. Si vous travaillez dans le secteur de la santé, des services financiers ou de la vente au détail conforme aux normes PCI, c'est la référence absolue. Le coût matériel supplémentaire est largement justifié par l'automatisation de la conformité et la réduction du temps de réponse aux incidents.La seconde approche est le balayage en arrière-plan, parfois appelé découpage temporel (time-slicing). Ici, vos points d'accès existants servent les clients normalement, mais ils changent brièvement de canal à intervalles réguliers pour détecter les menaces. C'est une solution rentable car elle ne nécessite pas de matériel dédié, mais vous sacrifiez la visibilité continue. Un point d'accès malveillant pourrait être actif et causer des dommages dans les intervalles entre les balayages. Pour les environnements à faible risque ou les réseaux de vente au détail distribués où les superpositions dédiées sont d'un coût prohibitif, c'est un compromis viable — à condition de compenser par des contrôles rigoureux côté filaire, sur lesquels nous reviendrons bientôt. Or, la détection ne représente que la moitié de la bataille. La véritable puissance d'un WIPS réside dans la classification et le confinement automatisés. Et c'est là que la plupart des déploiements échouent. Vous ne pouvez pas simplement bloquer tous les signaux WiFi que vous détectez — vous finiriez par brouiller l'entreprise voisine, ce qui vous attirerait de graves ennuis juridiques avec les régulateurs des télécommunications. Vous avez besoin de règles de classification strictes et hiérarchisées. Laissez-moi vous expliquer la logique. Si le capteur WIPS détecte une adresse MAC inconnue — un BSSID qui ne figure pas dans votre inventaire autorisé — et qu'il diffuse votre SSID d'entreprise, et que la force du signal est élevée — disons, supérieure à moins soixante-cinq dBm, ce qui indique qu'il se trouve physiquement à l'intérieur ou à proximité immédiate de votre bâtiment — il s'agit d'un Evil Twin. Classifiez-le comme critique. Automatisez le confinement immédiatement. Si le WIPS détecte un BSSID inconnu et qu'il peut corréler cette adresse MAC à un port de commutateur filaire sur votre réseau — ce qui signifie que l'appareil est physiquement branché sur votre LAN — il s'agit d'un véritable point d'accès malveillant interne. Également critique. La méthode de confinement est cependant différente. Si le signal est faible — inférieur à moins soixante-quinze dBm — et que le SSID ne correspond pas au vôtre, il s'agit presque certainement d'un réseau voisin. Enregistrez-le, établissez une base de référence et n'y touchez pas. Une fois la menace classifiée, comment la neutraliser ? Nous disposons de deux armes : le confinement filaire et le confinement sans fil. La règle d'or ici est : le filaire d'abord, le sans fil ensuite. Si le WIPS peut corréler l'adresse MAC sans fil du point d'accès malveillant à un port de commutateur physique sur votre réseau, la meilleure réponse est la suppression de port. Le WIPS communique avec votre commutateur central via SNMP ou une API REST moderne, et désactive administrativement ce port spécifique. L'appareil perd sa connectivité réseau. La menace est éliminée. De manière définitive. De manière permanente. Jusqu'à ce que quelqu'un réactive physiquement le port. Mais qu'en est-il s'il s'agit d'un Evil Twin ? Il n'est pas sur votre réseau filaire, vous ne pouvez donc pas désactiver de port. C'est là que nous utilisons le confinement sans fil. Le capteur WIPS usurpe l'adresse MAC du point d'accès malveillant et transmet des trames de désauthentification IEEE 802.11 ciblées à tous les clients associés. Simultanément, il usurpe les adresses MAC des clients et renvoie des trames de désauthentification au point d'accès malveillant. Cela perturbe continuellement l'association, forçant les clients à rechercher des points d'accès légitimes. Il convient de noter que la norme 802.11w — Protected Management Frames — rend les attaques de désauthentification plus difficiles à exécuter contre les clients qui la prennent en charge. Cependant, le WIPS peut toujours perturber le rogue AP lui-même, et la combinaison de la désauthentification et de la diffusion du SSID légitime par vos AP à une puissance supérieure est généralement suffisante pour neutraliser l'attaque. Parlons des pièges de mise en œuvre, car il y en a plusieurs que nous constatons régulièrement sur le terrain. La plus grande erreur est un confinement automatisé trop agressif sans limites de RSSI appropriées. Si vous configurez votre politique de confinement pour qu'elle se déclenche sur n'importe quel BSSID inconnu, quelle que soit la force du signal, vous allez confiner vos voisins. Il s'agit d'une interférence illégale. Définissez un seuil de RSSI minimum — généralement entre moins soixante-cinq et moins soixante-dix dBm — et n'automatisez le confinement que pour les signaux supérieurs à ce seuil. Pour tout signal plus faible, générez une alerte pour une investigation manuelle. Le deuxième piège consiste à traiter le WIPS comme une solution autonome. Le WIPS est votre filet de sécurité. Votre défense principale doit être le contrôle d'accès réseau IEEE 802.1X sur vos commutateurs d'accès filaires. Si un employé branche un routeur pirate, le port du commutateur doit exiger une authentification, échouer — car le routeur n'est pas un appareil géré et certifié — et refuser de transmettre tout trafic. Vous stoppez la menace avant même qu'elle n'obtienne une adresse IP. Avant même qu'elle n'apparaisse sous forme de signal RF. Le 802.1X est l'outil de prévention des rogue AP le plus rentable de votre arsenal. Le troisième piège est d'ignorer la réponse physique. Le WIPS peut trianguler l'emplacement physique d'un rogue AP sur un plan d'étage en utilisant la force du signal de plusieurs capteurs. Mais le WIPS ne peut pas retirer physiquement l'appareil. Vous avez besoin d'un processus : l'alerte se déclenche, l'emplacement est identifié, l'équipe informatique ou de sécurité se rend sur place dans le cadre d'un SLA défini. Sans cette boucle de réponse humaine, vous ne faites que contenir la menace indéfiniment plutôt que de l'éliminer. Très bien, passons à une session de questions-réponses rapides basées sur des scénarios clients courants. Question une : Nos rogue APs ne diffusent pas de SSID. Le WIPS peut-il tout de même les détecter ? Oui, absolument. Les WIPS modernes ne s'appuient pas uniquement sur les trames de balise (beacon frames). Ils surveillent les requêtes de sonde (probe requests) des appareils clients et les réponses de sonde (probe responses) des points d'accès. Même si le SSID est masqué — une balise SSID nulle — la signature RF et l'adresse MAC restent visibles pour le capteur. Configurez votre WIPS pour signaler tout BSSID non reconnu, quelle que soit la visibilité du SSID. Question deux : Le WIPS a-t-il un impact sur les performances de notre WiFi invité ? Si vous utilisez des capteurs dédiés, l'impact sur le trafic client est nul. Les capteurs sont complètement séparés de votre infrastructure de service. Si vous utilisez le découpage temporel (time-slicing), il y a un léger impact sur la latence lorsque l'AP change de canal, mais pour la navigation web standard et les applications professionnelles, c'est généralement imperceptible. Pour les applications sensibles à la latence comme la VoIP ou la visioconférence, les capteurs dédiés sont fortement recommandés. Question trois : En quoi cela aide-t-il directement à la conformité PCI DSS ? La condition 11.1 de la norme PCI DSS exige que les organisations testent la présence de points d'accès sans fil et qu'elles détectent et identifient tous les points d'accès sans fil autorisés et non autorisés chaque trimestre. Le WIPS automatise entièrement ce processus — il est continu, et non trimestriel. La console d'administration génère précisément les rapports et les journaux d'audit requis par les QSA, ce qui évite à vos équipes des semaines de travail manuel et réduit considérablement le coût de la conformité. Pour résumer les points clés de la présentation d'aujourd'hui. Les points d'accès non autorisés (Rogue APs) constituent un contournement critique de vos investissements en sécurité périphérique. Un seul appareil non géré peut réduire à néant l'ensemble de votre défense périmétrique. Pour les neutraliser, il est nécessaire de passer de balayages manuels périodiques à un WIPS automatisé et continu. La technologie est mature et le ROI est démontrable. Une classification précise n'est pas négociable. Les seuils RSSI et la corrélation filaire évitent les faux positifs et vous maintiennent en conformité avec la législation sur les télécommunications. Privilégiez toujours la suppression des ports filaires à la désauthentification sans fil lorsque le point d'accès non autorisé est physiquement connecté à votre réseau local (LAN). C'est définitif. Renforcez votre WIPS avec la norme 802.1X sur la périphérie filaire. La prévention est toujours moins coûteuse que le confinement. Et enfin, bouclez la boucle avec un processus d'intervention physique. La technologie identifie la menace ; votre équipe l'élimine. Pour obtenir des topologies de déploiement plus détaillées, des études de cas et des conseils de configuration neutres vis-à-vis des fournisseurs, consultez le guide de référence technique complet sur le site Web de Purple. Merci pour votre écoute, et protégez bien vos réseaux.