Le pivoting : accéder à un réseau au-delà du premier point d'entrée

Un réseau d'entreprise n'est presque jamais plat : derrière le serveur exposé à Internet se cachent souvent des machines internes, invisibles depuis l'extérieur. Le pivoting consiste à utiliser un premier accès pour atteindre ce qui n'était pas directement joignable. Cette leçon en explique le principe, essentiel pour comprendre la véritable portée d'une faille initiale.

Pourquoi le premier accès ne suffit (souvent) pas

Dans la mission Verdelune de votre labo, imaginez que le serveur web exposé ait été compromis via la faille confirmée dans les leçons précédentes. Ce serveur se trouve peut-être dans une zone réseau particulière (parfois appelée zone démilitarisée ou DMZ), séparée du réseau interne par un pare-feu. Depuis Internet, vous ne voyiez que ce serveur. Mais une fois « dedans », vous découvrez peut-être qu'il peut lui-même joindre d'autres machines internes, invisibles depuis l'extérieur. C'est exactement la situation que simule le pivoting.

Le principe, par analogie

Imaginez un bâtiment où la porte d'entrée est surveillée, mais où une fois dans le hall, des couloirs internes mènent à des pièces que l'on ne voit pas depuis la rue. Le premier accès (la porte d'entrée) ne donne pas directement les clés de tout l'immeuble, mais il donne une position à partir de laquelle explorer ce qui est accessible depuis cet endroit précis, et pas depuis l'extérieur.

Les étapes du pivoting

1. Reconnaissance depuis le point d'entrée : une fois un accès obtenu sur une machine, on reproduit une partie de la méthodologie de reconnaissance et de scan (vue au chapitre 2), mais depuis cette machine, vers les réseaux qu'elle peut joindre ;
2. Identification des réseaux atteignables : la machine compromise a souvent plusieurs interfaces réseau ou peut router vers des réseaux internes que l'attaquant externe ne voyait pas ;
3. Mise en place d'un relais : techniquement, on fait transiter le trafic de test à travers la machine compromise, pour pouvoir scanner et interagir avec les machines internes comme si l'on était physiquement sur ce segment réseau ;
4. Répétition de la méthodologie : reconnaissance, analyse, éventuellement exploitation sur ces nouvelles cibles, toujours dans le périmètre autorisé.

Comme pour les leçons précédentes, aucune commande technique précise de relais n'est fournie ici : retenez le principe, qui est la clé pour comprendre pourquoi une seule faille, en apparence mineure, peut avoir un impact qui dépasse largement la machine initialement touchée.

Pourquoi c'est important pour l'évaluation du risque

Revenons à la grille de priorisation du chapitre précédent. Le critère « intérêt pour la progression » prend ici tout son sens : une faille sur un serveur en apparence peu sensible devient critique si elle sert de tremplin vers le cœur du réseau. C'est pourquoi un bon rapport de pentest ne se contente jamais de lister des failles isolées : il décrit aussi les chemins possibles, du point d'entrée jusqu'à l'objectif le plus sensible.

Cette vision par chemins est exactement ce que MITRE ATT&CK (attack.mitre.org) appelle le « mouvement latéral », une tactique que nous retrouverons en détail au chapitre 6, consacré à la post-exploitation.

Le point de vue défensif : la segmentation

La meilleure réponse à ce risque n'est pas de rendre le pivoting plus difficile à documenter, mais de rendre le réseau structurellement moins traversable :

• Segmenter le réseau en zones séparées par des pare-feux internes, pas seulement en périphérie (principe déjà vu avec les VLAN dans le cours sur les réseaux) ;
• Limiter les communications entre segments au strict nécessaire : une machine exposée n'a pas besoin de joindre toutes les machines internes ;
• Surveiller les connexions internes inhabituelles, pas seulement le trafic entrant depuis Internet ;
• Isoler les systèmes les plus sensibles dans des zones dont l'accès est strictement contrôlé et journalisé ;
• Limiter les comptes et les secrets partagés entre machines, pour qu'un accès obtenu quelque part ne donne pas automatiquement accès à tout le reste (nous y reviendrons au chapitre 5, sur les mots de passe, et au chapitre 6, sur le mouvement latéral).

Cette approche porte un nom dans la profession : le principe de défense en profondeur, qui part du constat qu'un seul périmètre externe ne suffit jamais, et qu'il faut des barrières à l'intérieur même du réseau.

Dans votre labo : une illustration maîtrisée

Pour s'entraîner sans danger, un labo bien conçu peut comporter deux réseaux internes séparés : un réseau « exposé » contenant le serveur web, et un réseau « interne » contenant par exemple le serveur de fichiers, le premier pouvant router vers le second tandis que votre machine d'attaque, elle, ne le peut pas directement. L'exercice consiste alors à constater, depuis le serveur web compromis (de façon simulée, par exemple en vérifiant simplement sa configuration réseau), quelles machines du réseau interne lui sont accessibles, sans nécessairement aller plus loin techniquement si votre niveau ne le permet pas encore : comprendre la carte est déjà l'essentiel de cette leçon.

À vous de jouer : cartographier un chemin de compromission

Dans votre carnet, dessinez (même à la main, puis décrivez par écrit) un schéma représentant trois zones : Internet, la zone exposée de Verdelune contenant le serveur web, et la zone interne contenant le serveur de fichiers. Indiquez les flèches représentant qui peut atteindre qui aujourd'hui. Puis répondez : si le serveur web est compromis, quelles mesures de segmentation limiteraient concrètement l'impact sur la zone interne ? Proposez au moins trois mesures issues de la liste défensive ci-dessus, adaptées à ce scénario précis.

Vous comprenez désormais comment un accès initial peut s'étendre dans un réseau. Le chapitre suivant se concentre sur l'un des maillons les plus exploités dans ce genre de scénario : les mots de passe et les identifiants.