Voir la note en bas au centre de cette diapositive classique:

Ceci provient d'une présentation de diapositives de la NSA. Exploiter le trafic interne n'est pas sorcier, la seule vraie exigence est que quelqu'un vous cible. S'il y a quelque chose de valeur qui passe par le câble, quelque chose qui mérite potentiellement d'être chiffré, alors vous pouvez également supposer que quelqu'un pourrait le chercher tôt ou tard.

C'est pourquoi nous chiffrons le trafic interne: les câbles physiques ne le sont pas à toujours faire confiance. Un invité dans une salle d'attente ayant accès au réseau interne (en raison de LAN (V) manquants ou mal configurés) n'est pas rare, ou quelqu'un de confiance mais dont l'appareil est infecté, ou quelqu'un qui s'introduit physiquement, ou un seul serveur compromis qui peut intercepter le trafic d'autres serveurs ... il existe de nombreux scénarios dans lesquels le chiffrement aide, également sur les réseaux internes. Vous devez également vous demander: la personne la moins privilégiée disposant d’un accès physique (ou réseau) est-elle autorisée à connaître les données les plus sensibles que le réseau transporte? Si ce n'est pas le cas, c'est le cryptage qui garantit qu'ils ne peuvent pas l'intercepter.

Savez-vous où passent vos câbles physiques et si tous ces endroits sont gardés à tout moment? L'usurpation ARP est-elle désactivée dans chaque LAN que vous avez? Le saut de VLAN est-il atténué? Pas de WiFi WPA2-PSK n'importe où? Les pare-feu et les routeurs intermédiaires ont activé 2FA et ne sont pas piratés? Toutes les mesures mises en œuvre sont-elles testées? N'ai-je rien oublié? D'après mon expérience, chacune de ces mesures n'est utilisée que dans une minorité d'entreprises, et très peu auront tout.

La configuration du cryptage est généralement facile de nos jours. Si vous ne parlez que de vos propres données, vous pouvez prendre le risque pour vous-même. Mais lorsqu'il y a d'autres personnes (collègues ou même clients) à risque, vous devriez vraiment l'activer.

Le seul cas d'utilisation auquel je puisse penser est si vous avez des utilisateurs non fiables sur le réseau ...

Ceci, mais le problème est que vous avez des utilisateurs non fiables que vous ne connaissez même pas sont des utilisateurs sur les appareils sur le réseau. Cela inclut:

• Les nœuds de botnet sur les fichiers indésirables IoT compromis
• Les développeurs des applications fragmentaires que vous avez installées sur votre téléphone ou votre PC
• Les attaquants qui ont déjà a compromis un serveur réel sur votre réseau, probablement un serveur de faible valeur où la sécurité a été négligée
• Des attaquants physiques qui ont discrètement connecté un appareil à une prise Ethernet quelque part
• Voisins / gardiens qui ont deviné / a forcé brutalement votre mot de passe wifi
  • Et l'un des éléments ci-dessus en utilisant leurs appareils
• Etc.

Un élément fondamental Le principe de sécurité est que la couche réseau est toujours non fiable . Si vous suivez ceci, vous vous épargnerez beaucoup de problèmes.

Avec TLS activé pour les services internes, vous réduisez le risque contre les menaces telles que:

• La divulgation de données sensibles via des attaques de reniflage contre un initié malveillant ou un attaquant externe qui a déjà un pied à l'intérieur votre réseau
• Attaques de type «Man-in-the-Middle» via des serveurs non fiables qui peuvent facilement usurper l’identité d’un serveur non authentifié (TLS vous donne l’authenticité en plus de la confidentialité *) qui peuvent ensuite dégénérer en des scénarios d’attaque plus importants
• Modifications non autorisées des données en transit, qui peuvent causer de graves dommages si les données envoyées font partie d'une commande administrative (TLS vous donne également le service de sécurité de l'intégrité des données)
• Probablement d'autres que je peux Je ne pense pas maintenant ...

* En supposant qu'il ne s'agisse pas d'un certificat TLS auto-signé et qu'une sorte d'établissement de confiance existe, comme une PKI interne.

Comme toujours, c'est une approche basée sur les risques. Si vous pensez que les menaces ci-dessus ne sont pas exagérées pour votre réseau / organisation, je vous recommande de mettre en œuvre TLS si possible en interne. Si, pour une raison quelconque, cela ajoutera une couche de complexité qui surpasserait les avantages obtenus (le risque que de telles menaces se matérialisant étant considéré comme faible), alors ne le faites pas.

À mon avis, il est recommandé de sécuriser les sites internes sensibles avec TLS.

Les raisons:

• Si un attaquant a pris pied au départ avec de faibles privilèges sur votre réseau, elle aurait une plus grande surface d'attaque (via le reniflage de paquets, etc.) pour faire une élévation de privilèges si vos pages d'administration n'étaient pas correctement sécurisées.
• Il pourrait être naïf d'exclure la possibilité d'acteurs malveillants au sein du réseau interne.

TLS devrait-il être activé pour les utilisateurs accédant aux services (par exemple, les consoles d'administration) sur les réseaux internes?

Oui.

Vous avez déjà mentionné la confidentialité contre un mauvais acteur interne sur votre réseau avec un renifleur de paquets. C'est une raison suffisante ici. Il peut s'agir d'un employé non autorisé, d'un invité ou d'une imprimante compromise.

Parlons de cette imprimante. Mouvement latéral. Une fois que quelqu'un "extérieur" prend pied sur votre réseau, il est maintenant à l'intérieur.

TLS offre également l'intégrité, ainsi que la confidentialité. Cela empêche le méchant de changer les commandes en vol vers la console d'administration.

Enfin, TLS fournit l'authentification, au moins du serveur aux clients. Il protège vos utilisateurs contre les faux sites de phishing.

Le périmètre de réseau "interne" ne doit pas être votre seul mécanisme de défense. C'est l'idée de "défense en profondeur".

L'activation de TLS signifierait que les appareils de surveillance ne seraient pas en mesure de surveiller le trafic car il sera chiffré.

En ce qui concerne la surveillance, vous pouvez déployer votre propre autorité de certification interne, signer les certificats TLS avec cela, et faire intercepter et déchiffrer le trafic par vos propres outils de surveillance, si c'est une exigence.