Par Aurélie, M2M Network.
La segmentation réseau IoT consiste à placer chaque famille d’objets connectés (caméras, automates, bornes de recharge, terminaux de paiement, capteurs) dans un réseau séparé, et à ne laisser passer entre ces réseaux que les flux dont l’exploitation a besoin. Avec des cartes SIM, chaque famille reçoit son propre APN privé (réseau mobile), prolongé chez l’opérateur par une table de routage séparée, une VRF, et tous les échanges entre zones traversent un pare-feu dont le client écrit et relit les règles. Une caméra compromise ne peut alors joindre que son enregistreur, jamais un automate ni un terminal de paiement.
Le filtrage carte par carte est traité dans notre article sur la carte SIM avec pare-feu. Celui-ci explique comment découper un parc mixte en zones, qui administre quoi, et ce qu’il faut journaliser.
Un seul APN privé pour tout le parc : un réseau plat
Un APN privé isole déjà beaucoup : les cartes SIM du client sortent du réseau mobile dans un réseau qui lui est propre, et non sur Internet. Mais si toutes les familles d’objets partagent le même APN, elles partagent aussi le même réseau. Sans règle contraire derrière la passerelle de l’opérateur, une caméra et un automate sont voisins : c’est un réseau plat.
Le risque est documenté pour les caméras. Dans son alerte TA16-288A d’octobre 2016, l’agence américaine CISA décrit le botnet Mirai, qui balayait Internet en continu à la recherche d’objets vulnérables avec une liste de 62 couples identifiant et mot de passe par défaut, et qui avait infecté surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo. En face, les automates se défendent mal : l’ANSSI rappelle que des protocoles industriels comme Modbus TCP n’intègrent aucun mécanisme de sécurité, ni chiffrement ni authentification (guide ANSSI-PA-108, section 2.2.7). Une caméra prise en main dans un réseau plat se trouve à un saut d’un automate qui n’a aucun moyen de vérifier qui lui envoie une commande.
Ce que recommande l’ANSSI : des zones cloisonnées et un filtrage entre elles
Le guide de l’ANSSI « La cybersécurité des systèmes industriels, mesures détaillées » (ANSSI-PA-108, version 2.0 du 27 novembre 2025) pose la règle de base. R101 : segmenter les systèmes en zones cohérentes, et « ces zones doivent être cloisonnées entre elles ». R102 : mettre en œuvre une politique de filtrage entre les zones, où un flux s’identifie par ses adresses IP source et destination, son protocole et ses ports, où « les flux sont refusés par défaut » et où seuls les flux nécessaires au fonctionnement sont autorisés ; les flux refusés peuvent être journalisés et analysés.
Le même guide illustre le cloisonnement logique, dans la variante de sa R106, par un VLAN par usage : un pour l’administration, un pour la supervision, un pour les stations d’ingénierie, et « un VLAN par procédé contenant les automates ». Pour les réseaux sans fil, dont il cite la 4G et la 5G, il demande d’isoler les périphériques « dans un réseau physique ou logique séparé » (R147). Sur un parc relié par cartes SIM, l’APN tient le rôle du VLAN.
APN, VRF et pare-feu : les trois briques de la segmentation réseau IoT
L’APN, dans le réseau mobile. Selon la norme 3GPP TS 23.003 (clause 9.1), l’identifiant de réseau de l’APN « defines to which external network the GGSN/PGW is connected » : il désigne le réseau où la passerelle de l’opérateur fait sortir la session. En 5G, le DNN (Data Network Name) en est l’équivalent et suit les mêmes règles (clause 9A). L’APN permis est inscrit dans l’abonnement de la carte SIM, pas seulement dans l’objet : la norme 3GPP TS 23.401 (clause 5.3.2.1) prévoit que, si l’APN demandé par le terminal n’est pas permis par l’abonnement, le réseau refuse le rattachement ou remplace l’APN demandé par un APN qu’il prend en charge, selon la politique de l’opérateur. Un attaquant qui modifie la configuration d’une caméra ne la fait donc pas passer dans la zone des automates, à condition que l’abonnement ne contienne pas d’APN générique (« wildcard »), que la même norme prévoit (clause 4.3.8.1).
La VRF, à la sortie de la passerelle. Une fois sorti du réseau mobile, le trafic de chaque APN peut être placé dans sa propre table de routage : une VRF par APN. La RFC 4364 de l’IETF (février 2006), qui décrit les VPN IP sur réseau MPLS, appelle ces tables séparées « VPN Routing and Forwarding tables » et pose la règle : deux sites qui n’ont aucun VPN en commun n’ont aucune connectivité à travers le réseau de l’opérateur. Deux VPN sans site commun peuvent même réutiliser les mêmes adresses privées.
Le pare-feu, seul point de passage entre zones. Placé entre les VRF et les serveurs du client, il autorise une par une les rares communications utiles : la caméra vers l’enregistreur, la supervision vers les automates. Qu’il soit administré par le client compte : l’exploitant sait quel flux est nécessaire et doit pouvoir fermer une zone sans attendre l’opérateur. Pour les protocoles sans sécurité intrinsèque comme Modbus ou BACnet, l’ANSSI recommande en plus un filtrage applicatif qui n’accepte que les fonctions strictement utiles (R154).
| Brique | Où elle agit | Ce qu’elle garantit | Référence |
|---|---|---|---|
| APN (DNN en 5G) | Réseau mobile, à l’ouverture de session | La carte SIM n’entre que dans la zone prévue par son abonnement | 3GPP TS 23.003 (9.1, 9A) ; TS 23.401 (5.3.2.1) |
| VRF | Réseau de l’opérateur, après la passerelle | Deux zones sans VPN commun ne se joignent pas | RFC 4364 |
| Pare-feu | Entre les zones et vers les serveurs | Seuls les flux écrits passent ; le reste est refusé et peut être journalisé | ANSSI-PA-108, R102 |
Exemple : un réseau de magasins découpé en zones
Prenons une enseigne dont chaque magasin est équipé de caméras, de terminaux de paiement 4G, de capteurs de température dans les meubles frigorifiques, d’automates de chauffage et de climatisation, et de bornes de recharge sur le parking, le tout raccordé par cartes SIM. Le découpage proposé donne une zone, donc un APN et une VRF, par famille d’objets :
| Famille d’objets | Zone | Flux autorisés | Qui administre |
|---|---|---|---|
| Caméras | Vidéo | Caméras vers l’enregistreur ou le serveur vidéo ; postes de l’équipe sûreté vers les caméras pour les réglages ; aucun flux entre caméras | Équipe sûreté ; installateur vidéo en accès ponctuel |
| Terminaux de paiement | Paiement | Terminaux vers les serveurs du prestataire de paiement ou de la banque, rien d’autre ; aucun flux entrant depuis les autres zones | Prestataire de paiement ou banque, selon le contrat |
| Automates de chauffage, climatisation et froid | Automates | Supervision vers automates (Modbus TCP 502, BACnet/IP UDP 47808 ou OPC UA TCP 4840 selon le matériel) ; télémaintenance du prestataire à la demande | Exploitation technique ; prestataire de maintenance le temps d’une intervention |
| Capteurs de température | Capteurs | Capteurs vers la plateforme de collecte, en sortie seulement | Exploitation (qualité, chaîne du froid) |
| Bornes de recharge | Bornes | Bornes vers leur plateforme de supervision ; maintenance de l’opérateur de recharge | Opérateur de recharge ou service énergie |
| Postes d’administration | Administration | Seuls postes autorisés à ouvrir des sessions d’administration vers les autres zones | Équipe sécurité (RSSI) |
Le tableau se lit d’abord par ce qu’il interdit : aucune flèche ne relie la vidéo aux automates, ni les capteurs aux terminaux de paiement, ni aucune zone à Internet par défaut. Même au sein d’une zone, deux caméras n’ont aucune raison de se parler : la règle par défaut reste le refus. Les numéros de port cités sont ceux que l’ANSSI donne en exemple dans sa R102. Les serveurs, sur site, chez un hébergeur ou dans un cloud, forment eux-mêmes des zones. Le même découpage vaut pour une collectivité (vidéoprotection, postes de relevage, bornes).
Découper son parc en zones : la méthode en sept étapes
- Cartographier. Listez chaque objet, sa carte SIM, ses serveurs et ses flux réels, observés plutôt que supposés. L’ANSSI demande une cartographie physique et logique du système, de ses applications, de son administration et de sa maintenance (R5).
- Regrouper par famille. Une zone rassemble des objets de même fonction, de même sensibilité et de même responsable. Un APN par objet rendrait la politique illisible ; un seul APN pour tout le parc ne cloisonne rien.
- Attribuer un APN, ou un DNN en 5G, par zone. Le client dispose ainsi de plusieurs APN, un par usage, et chaque carte SIM est rattachée dans son abonnement au seul APN de sa zone, sans APN générique. La zone suit la carte, pas l’objet : tenez à jour le couple carte SIM et équipement.
- Donner une plage d’adresses par zone. L’adresse source dit alors à elle seule de quelle zone vient un paquet, et les règles se lisent sans table de correspondance.
- Écrire la matrice des flux. Pour chaque flux : source, destination, protocole et port, comme le demande la R102 ; tout le reste est refusé. La note technique DAT-NT-006 de l’ANSSI conseille de commenter chaque règle (fonction, date, référence de la demande, auteur : R10) et de tester la politique une fois en place (R14).
- Séparer les accès par équipe. Définissez des rôles selon le principe du moindre privilège, en distinguant utilisateurs et administrateurs, pour les intervenants internes comme externes (R42 du guide PA-108).
- Journaliser et relire. Conservez les flux refusés et les sessions d’administration ; l’annexe C du guide PA-108 cite parmi les événements minimaux les tentatives de connexion réseau, les tentatives d’authentification et les modifications des mécanismes de sécurité. Passez la politique en revue au moins une fois par an (DAT-NT-006, R15). Une hausse soudaine des refus dans une zone mérite une analyse.
Des accès distincts par équipe
Le cloisonnement perd son intérêt si un seul compte ouvre toutes les zones. Dans l’exemple des magasins, trois profils se dégagent :
- l’exploitation supervise et règle les automates, les capteurs et les bornes depuis ses postes de supervision ; elle n’a accès ni à la vidéo ni au paiement ;
- la sécurité (RSSI, équipe sûreté) administre les règles du pare-feu, lit les journaux de toutes les zones et gère la zone vidéo ;
- le prestataire de maintenance n’entre que dans la zone de son contrat, à la demande et pour une durée définie.
Pour ce dernier cas, l’ANSSI recommande des connexions à la demande pour une durée définie (4 heures en exemple), des authentifications journalisées et un équipement accédé cloisonné (R129), par une solution qui assure confidentialité, intégrité et authenticité, par exemple un tunnel VPN IPsec, avec authentification multifacteur (R130). Voir notre article sur la télémaintenance des automates en 4G. Les postes d’administration forment eux-mêmes une zone, sur un réseau dédié (R104).
Terminaux de paiement : une zone à part, aussi pour PCI DSS
Pour les terminaux de paiement, la séparation pèse sur la conformité. Le guide « Guidance for PCI DSS Scoping and Network Segmentation » du PCI Security Standards Council (version 1.1, mai 2017) indique que la segmentation n’est pas une exigence de la norme PCI DSS, mais qu’elle est fortement recommandée parce qu’elle peut réduire le périmètre de l’évaluation, son coût et le risque. Sans segmentation suffisante, dans un réseau dit plat, tout le réseau entre dans le périmètre. L’évaluateur vérifie que la segmentation suffit, et ses contrôles doivent passer un test d’intrusion au moins une fois par an.
Ce guide a été écrit pour la version 3.2 de la norme : vérifiez avec votre banque acquéreuse ou votre évaluateur ce qu’il en est pour la version que vous appliquez. Si la carte SIM du terminal est fournie par la banque ou le prestataire, le terminal reste hors de vos APN. Le choix du terminal et de sa liaison est traité dans notre article sur les terminaux de paiement 4G.
Ce que la segmentation ne fait pas
- Elle ne chiffre rien. Un APN et une VRF séparent les flux, ils n’en protègent pas le contenu. Pour Modbus, BACnet et les autres protocoles sans sécurité intrinsèque, l’ANSSI recommande un tunnel VPN en plus du filtrage (R154).
- Elle ne répare pas l’objet. Les identifiants par défaut, ceux qu’exploitait Mirai, se changent sur l’équipement lui-même.
- Elle ne vaut que si les règles restent justes. Une règle temporaire ouverte pour une intervention et jamais refermée annule le découpage ; la revue périodique de la DAT-NT-006 sert d’abord à supprimer ces règles obsolètes.
Ce que propose M2M Network
M2M Network sépare les cartes SIM de chaque client dans des réseaux spécifiques chez lui, des APN dédiés, et fait passer ces flux par des pare-feu que le client administre lui-même : c’est ce qui va au-delà de l’APN privé classique, que M2M Network propose aussi. Les flux restent ensuite dans des VPN, des MPLS ou des VPLS jusqu’aux sites du client, ou sont relivrés directement dans ses environnements AWS, Azure ou OVHcloud par une interconnexion cloud privée, sans passer par Internet. Le groupe MUONA héberge aussi en France avec Guardis, sur une infrastructure certifiée ISO 27001 et HDS. Pour étudier le découpage de votre parc en zones et son raccordement, contactez-nous.
Cette offre de réseau privé de cartes SIM, du pare-feu jusqu’au cloud, s’appelle M2M Cloud Connect.
À lire aussi
- Cloisonnement réseau IoT : appliquer les recommandations de l’ANSSI aux cartes SIM et aux APN
- VPLS ou L3VPN : relier un parc de cartes SIM à plusieurs sites
- Carte SIM avec pare-feu : filtrer et administrer les flux de vos objets connectés
Questions fréquentes
Par famille d’objets, en général : ce sont la fonction et le responsable qui déterminent les flux, pas l’adresse du site. Un APN par site multiplie les zones sans séparer une caméra d’un automate du même site. Les sites se distinguent ensuite dans le plan d’adressage de chaque zone.
Il peut en demander un autre, mais le réseau vérifie l’abonnement de la carte SIM : la norme 3GPP TS 23.401 prévoit que le rattachement soit refusé, ou l’APN remplacé, si l’APN demandé n’est pas permis. Cette protection disparaît si l’abonnement contient un APN générique (wildcard) : vérifiez-le auprès de votre opérateur.
Le VLAN sépare des équipements sur un réseau local Ethernet. L’APN sépare les sessions des cartes SIM dans le réseau mobile, et la VRF sépare les tables de routage dans les routeurs (RFC 4364). Sur un parc relié par cartes SIM, l’APN et la VRF tiennent le rôle que le guide de l’ANSSI donne au VLAN sur un réseau filaire.
Seulement si une règle l’autorise. Des caméras, des capteurs ou des terminaux de paiement n’ont en général aucun besoin de se joindre, et refuser ces flux empêche un objet compromis d’atteindre ses voisins. Demandez à votre opérateur si ce blocage s’applique à l’intérieur de l’APN.
Non. Elle limite qui peut parler à qui, elle ne protège pas le contenu des échanges. L’ANSSI recommande un tunnel VPN pour les protocoles sans sécurité intrinsèque comme Modbus ou BACnet (R154), et une télémaintenance qui assure confidentialité, intégrité et authenticité, par exemple en VPN IPsec (R130).
L’exploitant du parc, en pratique son équipe sécurité : c’est elle qui connaît les flux nécessaires et qui doit pouvoir fermer une zone sans attendre. L’opérateur fournit le cloisonnement et l’outil ; les règles, leur revue au moins annuelle recommandée par l’ANSSI et la lecture des journaux restent au client.
Sources
- IETF, RFC 4364, BGP/MPLS IP Virtual Private Networks (VPNs), février 2006 : https://www.rfc-editor.org/rfc/rfc4364
- 3GPP TS 23.003, Numbering, addressing and identification (ETSI TS 123 003 V19.8.0, octobre 2026) : https://www.etsi.org/deliver/etsi_ts/123000_123099/123003/19.08.00_60/ts_123003v190800p.pdf
- 3GPP TS 23.401, GPRS enhancements for E-UTRAN access (ETSI TS 123 401 V19.5.0, janvier 2026) : https://www.etsi.org/deliver/etsi_ts/123400_123499/123401/19.05.00_60/ts_123401v190500p.pdf
- ANSSI, La cybersécurité des systèmes industriels : mesures détaillées, ANSSI-PA-108, version 2.0 du 27 novembre 2025 : https://messervices.cyber.gouv.fr/documents-guides/Guide_Systemes_industriels__Mesures_detaillees_v2.pdf
- ANSSI, Recommandations pour la définition d’une politique de filtrage réseau d’un pare-feu, note technique DAT-NT-006 du 30 mars 2013 : https://messervices.cyber.gouv.fr/documents-guides/NP_Politique_pare_feu_NoteTech.pdf
- PCI Security Standards Council, Information Supplement: Guidance for PCI DSS Scoping and Network Segmentation, version 1.1, mai 2017 : https://listings.pcisecuritystandards.org/documents/Guidance-PCI-DSS-Scoping-and-Segmentation_v1_1.pdf
- CISA, Alert TA16-288A, Heightened DDoS Threat Posed by Mirai and Other Botnets (14 octobre 2016) : https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets