Services applicatifs, partage et protocoles hérités

Un réseau d’entreprise transporte rarement « du trafic » : il transporte des services, chacun avec son protocole, ses ports, ses dépendances et, en principe, son propriétaire. Ce chapitre fait le tour de ces services, de la messagerie à la réplication entre baies de stockage, situe les protocoles d’identité qui les protègent, puis descend à la cave, là où dorment Telnet, TFTP, NetBIOS et IPX/SPX. Ils dorment d’un œil : un protocole hérité n’est jamais aussi actif que le jour où l’on décide de l’éteindre.

→ Lire l’explication complète de la marmotte

Les services visibles par les utilisateurs

La messagerie repose sur deux familles de protocoles. SMTP (Simple Mail Transfer Protocol) achemine les courriels entre serveurs sur le port 25, et reçoit les envois des clients authentifiés sur le port 587 (soumission, avec STARTTLS) ou 465 (TLS implicite). Pour relever le courrier, POP3 (Post Office Protocol version 3, port 110, ou 995 chiffré) télécharge les messages et les retire en général du serveur, tandis qu’IMAP (Internet Message Access Protocol, port 143, ou 993 chiffré) les laisse sur le serveur et synchronise dossiers et états entre appareils. Dans les grandes organisations, la messagerie est souvent hébergée et accessible par des API (Application Programming Interface) web, mais SMTP reste le protocole d’échange entre domaines.

Le web utilise HTTP (HyperText Transfer Protocol), sur le port 80 en clair et 443 en HTTPS (HTTP sur TLS, Transport Layer Security). Il est devenu le transport universel : intranet, applications métier, outils de collaboration, interfaces d’administration et API passent par lui. Ses évolutions récentes sont décrites dans QUIC et HTTP moderne.

Le partage de fichiers passe par SMB (Server Message Block, port 445) dans le monde Windows et par NFS (Network File System, port 2049) dans le monde Unix. NFS dans ses versions 2 et 3 fait confiance à l’identifiant numérique d’utilisateur annoncé par le client : quiconque contrôle un poste autorisé peut se déclarer n’importe qui. NFSv4 avec Kerberos corrige ce défaut, à condition de l’activer. La GED (gestion électronique de documents) ajoute au stockage les métadonnées, les versions et les circuits de validation, presque toujours au-dessus de HTTP et d’une base de données.

Les bases de données écoutent sur des ports caractéristiques : 1433 pour Microsoft SQL Server, 1521 pour Oracle, 3306 pour MySQL et MariaDB, 5432 pour PostgreSQL. Elles ne devraient être joignables que depuis les serveurs applicatifs, jamais depuis l’ensemble des postes. L’impression utilise IPP (Internet Printing Protocol, port 631), l’ancien LPD (Line Printer Daemon, port 515) et le flux brut sur le port 9100 ; les imprimantes multifonctions embarquent aussi un serveur web, parfois un serveur FTP, et envoient les numérisations vers des partages SMB avec un compte de service rarement surveillé (Sécurité des imprimantes réseau).

Le DaaS (Desktop as a Service) fournit des postes de travail virtuels hébergés, auxquels l’utilisateur accède par un protocole d’affichage distant comme RDP (Remote Desktop Protocol, port 3389) ou par une passerelle HTTPS. Le poste réel n’est alors plus qu’un écran ; les flux importants deviennent ceux entre le bureau virtuel et les serveurs, souvent dans un autre centre de données.

Les flux que personne ne voit

Les flux indispensables au SI (système d’information) ne sont pas tous initiés par des utilisateurs. La réplication entre baies de stockage copie en continu les volumes d’un site vers un autre : en mode synchrone, chaque écriture attend l’acquittement distant, ce qui impose une faible latence et donc une distance limitée ; en mode asynchrone, la copie suit avec un retard, au prix d’une perte possible des dernières écritures en cas de sinistre. Ces flux passent par Fibre Channel, par iSCSI (Internet Small Computer Systems Interface, port 3260) ou par des protocoles propriétaires, avec des débits considérables. La sauvegarde, elle, lit tous les serveurs avec des droits très larges. Les deux transportent l’intégralité des données et doivent apparaître dans l’inventaire, le filtrage et la supervision (Continuité, sauvegardes et PRA).

Sur les liens longs, des accélérateurs de type WAAS (Wide Area Application Services, nom de la gamme Cisco devenu générique) compressent, dédupliquent et accélèrent les protocoles bavards comme SMB. Leur gain s’effondre sur du trafic chiffré, qu’ils ne peuvent compresser qu’en le déchiffrant (Performance, QoS et capacité). Compression et chiffrement n’ont rien en commun : un flux compressé reste lisible par quiconque connaît l’algorithme, c’est-à-dire tout le monde.

Atelier : matrice service, protocole, port, zone

Chaque ligne relie un service à son protocole, à son port, aux zones source et destination, et à un propriétaire métier. Sans cette dernière colonne, le port reste ouvert à jamais faute de quelqu’un pour dire qu’il ne sert plus.

Service	Protocole	Port	Source → destination	Propriétaire
Envoi de courriel	SMTP soumission	587/TCP	postes → passerelle messagerie	équipe messagerie
Relève de courriel	IMAP sur TLS	993/TCP	postes → serveur messagerie	équipe messagerie
Partages bureautiques	SMB	445/TCP	postes → serveurs de fichiers	services métier
Application ERP	HTTPS	443/TCP	postes → frontal web	direction financière
Base de l’ERP	PostgreSQL	5432/TCP	frontal web → base	direction financière
Impression	IPP	631/TCP	postes → serveur d’impression	services généraux
Sauvegarde	protocole de l’outil	variable	serveur de sauvegarde → tous serveurs	exploitation
Réplication	iSCSI	3260/TCP	baie A → baie B	exploitation stockage

L’ERP (Enterprise Resource Planning, progiciel de gestion intégré) illustre la notion de dépendance : la ligne utilisateur (443) ne suffit pas, l’application a besoin de sa base, de l’annuaire, du DNS (Domain Name System) et du temps. Une matrice qui ne liste que les flux des utilisateurs décrit la façade, pas le bâtiment. Le passage de cette matrice aux règles de filtrage est traité dans Filtrage, segmentation et NAC.

Administration et identité

L’administration et l’identité forment des familles à part, parce qu’elles donnent du pouvoir à ceux qui les maîtrisent.

NTLM (NT LAN Manager) est le protocole historique d’authentification Windows, par défi-réponse. Il ne permet pas au client d’authentifier le serveur et se prête au relais : un attaquant qui intercepte une négociation peut la rejouer vers un autre service (NTLM : fonctionnement, vulnérabilités et durcissement). Kerberos (port 88) le remplace dans les domaines Active Directory : un centre de distribution de clés délivre des tickets limités dans le temps, valables pour un service précis, ce qui exige des horloges synchronisées à quelques minutes près. Ces deux protocoles réalisent une authentification réseau : elle a lieu au moment où le poste ouvre une session ou accède à un partage, sur le réseau interne, souvent de façon transparente pour l’utilisateur.

SAML 2.0 (Security Assertion Markup Language) et OIDC (OpenID Connect) réalisent une authentification applicative fédérée : l’application web redirige le navigateur vers un fournisseur d’identité, qui authentifie l’utilisateur et renvoie une assertion signée. Ils fonctionnent à travers Internet, sur HTTPS, et permettent l’authentification unique vers des applications hébergées chez des tiers. L’annuaire qui sert de référentiel, souvent interrogé par LDAP (Lightweight Directory Access Protocol, port 389, ou 636 chiffré), complète le tableau.

Atelier : comparer Kerberos, SAML et OIDC

Critère	Kerberos	SAML 2.0	OIDC
Terrain	réseau interne, domaine	applications web d’entreprise	applications web et mobiles
Transport	protocole dédié, port 88	redirections HTTPS via le navigateur	redirections HTTPS, API
Preuve émise	ticket chiffré	assertion XML (eXtensible Markup Language) signée	jeton d’identité JSON (JavaScript Object Notation) signé
Dépendance critique	horloges synchronisées, DNS	certificat de signature du fournisseur	configuration des URL (Uniform Resource Locator) de retour
Époque	années 1980 au MIT (Massachusetts Institute of Technology), version 5 en 1993	2005	2014

Les protocoles d’administration méritent la même vigilance. Telnet (port 23) ouvre une session distante en transmettant identifiant, mot de passe et commandes en clair : une capture suffit à les lire. FTP (File Transfer Protocol, ports 21 et 20, ou ports dynamiques en mode passif) transfère des fichiers, lui aussi en clair. TFTP (Trivial File Transfer Protocol, port 69 en UDP, User Datagram Protocol) n’a même pas d’authentification : il sert au démarrage réseau des postes et au chargement des configurations ou micrologiciels d’équipements, et quiconque connaît le nom du fichier peut le lire, voire l’écrire si le serveur l’autorise. Il faut distinguer un protocole de transfert (FTP, TFTP, SFTP, SSH File Transfer Protocol) d’un protocole d’administration (Telnet, SSH, RDP) : le premier déplace des fichiers, le second donne la main sur la machine. Telnet se remplace par SSH (Secure Shell, port 22), FTP par SFTP ou HTTPS ; TFTP, souvent impossible à supprimer pour le démarrage réseau, se cantonne à un réseau d’administration isolé, avec un serveur en lecture seule et des fichiers sans secret. Les accès d’administration eux-mêmes passent idéalement par un bastion (VPN, tunnels et bastions).

Héritage et compatibilité

IPX/SPX (Internetwork Packet Exchange / Sequenced Packet Exchange) est la pile réseau de Novell NetWare, dominante dans les réseaux locaux d’entreprise jusqu’au milieu des années 1990, avant que TCP/IP (Transmission Control Protocol / Internet Protocol) ne l’emporte. Son intérêt aujourd’hui est surtout historique : la retrouver signale un équipement très ancien, une machine industrielle ou un logiciel qui n’a pas changé depuis l’époque des disquettes.

NetBIOS (Network Basic Input/Output System) est une interface de nommage et de session des premiers réseaux PC. NBT (NetBIOS over TCP/IP), défini par les RFC 1001 et 1002, la transporte sur TCP/IP avec trois ports : 137/UDP pour les noms, 138/UDP pour les datagrammes, 139/TCP pour les sessions. Sa résolution de noms par diffusion répond à n’importe qui sur le segment, ce qu’exploitent des outils d’empoisonnement bien connus pour récolter des empreintes NTLM. SMB fonctionne directement sur le port 445 depuis Windows 2000 ; NBT ne sert donc plus qu’à des clients anciens, et sa désactivation est une mesure de durcissement classique, après vérification.

Les protocoles obsolètes se nichent toujours aux mêmes endroits : imprimantes et copieurs, commutateurs et onduleurs anciens, automates et équipements de laboratoire, NAS (Network Attached Storage) bon marché, applications métier dont l’éditeur a disparu. Un service hérité n’est pas forcément un service inutile : le premier est ancien mais peut être indispensable, le second ne sert plus à personne. Seule l’observation des flux permet de trancher. La démarche est toujours la même : isoler le service dans un segment dédié avec un filtrage strict, journaliser ses accès pour savoir qui l’utilise réellement, puis migrer vers un équivalent sûr avec une date de fin.

Atelier : repérer Telnet ou FTP dans un inventaire

nmap -sS -sU -p T:21,23,139,445,U:69,137 --open -oG - 10.0.0.0/24

Ce balayage, à lancer uniquement sur un périmètre dont on a la responsabilité et avec autorisation, liste les hôtes qui exposent FTP, Telnet, TFTP ou NetBIOS. Le résultat se croise ensuite avec la matrice : un port 23 ouvert sur un commutateur du cœur de réseau sans propriétaire déclaré est une ligne à traiter en priorité. Les enregistrements de flux complètent le balayage en montrant qui s’y connecte réellement, ce qui sépare l’hérité de l’inutile.

Pièges classiques

Ouvrir un port sans propriétaire métier garantit qu’il restera ouvert : personne n’osera le fermer, puisque personne ne sait qui en dépend.

Laisser TFTP ou Telnet sur un segment non contrôlé offre à tout poste compromis la lecture des configurations d’équipements et la capture des mots de passe d’administration.

Oublier les flux de réplication et de sauvegarde dans la matrice revient à laisser hors filtrage et hors supervision les seuls flux qui transportent toutes les données.

À ne pas confondre

Protocole de transfert et protocole d’administration : FTP déplace des fichiers, Telnet donne une console ; les deux sont en clair, mais le second livre directement les commandes.

Service hérité et service inutile : ancien ne veut pas dire superflu, et récent ne veut pas dire utilisé.

Compression et chiffrement : la compression réduit la taille, le chiffrement cache le contenu. Le WAAS accélère, il ne protège rien.

🐝 Ce qui arrive si on s’en passe

Sans cartographie des services, un protocole hérité reste actif parce que personne ne sait qui en dépend, et ce qui n’a pas de propriétaire n’a pas non plus de correctifs : la porte oubliée devient la mieux connue des attaquants et la moins surveillée des défenseurs. Les protocoles d’administration anciens, qui transmettent identifiants et commandes sans chiffrement, livrent à quiconque écoute le segment de quoi se connecter à son tour avec des droits d’administrateur. Et un flux de réplication ou de sauvegarde absent de l’inventaire échappe au filtrage comme à la supervision, tout en transportant l’intégralité des données.

🦫 Explication de la marmotte 🍫

Un réseau d’entreprise transporte de nombreux services, et chacun utilise un protocole, c’est-à-dire une règle d’échange, avec un numéro de port qui l’identifie. La messagerie utilise un protocole pour envoyer les courriels, SMTP, et d’autres pour les relever, POP3 et IMAP. Le web utilise HTTP. Le transfert de fichiers passe par FTP ou par sa version simplifiée TFTP, le partage de dossiers par NFS. S’y ajoutent l’impression, les bases de données, la gestion documentaire, la collaboration et la réplication entre baies de stockage. L’identité forme une famille à part : NTLM et Kerberos vérifient qui se connecte sur le réseau interne, tandis que SAML et OIDC permettent de se connecter à des applications web avec un compte unique. Certains protocoles sont anciens, comme Telnet pour l’administration à distance, ou NetBIOS et IPX/SPX pour le partage en réseau ; ils doivent être isolés, journalisés, puis remplacés. La méthode consiste à dresser un tableau qui relie chaque service à son protocole, à son port et à la zone du réseau où il circule, avec un responsable métier pour chacun. On repère ainsi les ports ouverts sans raison, les anciens protocoles encore présents et les flux oubliés, comme la réplication et les sauvegardes. Il faut aussi retenir que compresser des données ne les chiffre pas, et que distinguer un service ancien d’un service inutile demande de vérifier qui l’utilise encore.

Pages voisines

La citent

Services applicatifs, partage et protocoles hérités

Elle cite

Services applicatifs, partage et protocoles hérités

Services applicatifs, partage et protocoles hérités

Les services visibles par les utilisateurs

Les flux que personne ne voit

Atelier : matrice service, protocole, port, zone

Administration et identité

Atelier : comparer Kerberos, SAML et OIDC

Héritage et compatibilité

Atelier : repérer Telnet ou FTP dans un inventaire

Pièges classiques

À ne pas confondre

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines