Tout est réseau. Et (presque) personne ne le regarde.

Identité, cloud, SaaS, agents IA, automates : rien de ce qui est numérique ne fonctionne sans le réseau. Et c'est aussi par lui que la menace entre, circule et repart. Pourtant, dans la plupart des organisations, il reste rangé au rayon plomberie. C'est une erreur cruciale de diagnostic, et elle peut vous coûter cher.

Faisons une expérience simple. Demandons à un comité de direction de citer les trois piliers de sa cybersécurité. Nous entendrons « l'EDR », « l'identité »... certains parleront de « la conformité NIS2 », s'ils ont été très très bien éduqué à la cyber... Peut-être que nous entendrons « le cloud ». Il y a des chances pour que nous entendions « l'IA » puisque tout le monde en parle sans vraiment savoir pourquoi. Mais nous n'entendrons presque jamais « le réseau ».

Pourquoi ? Parce que le réseau, c'est l'affaire de l'équipe infrastructure. Des gens, là-bas. De l'opérateur. De l'intégrateur qui a posé les commutateurs il y a dix ans. C'est un tuyau. Et un tuyau, on ne le regarde que lorsqu'il fuit.

Le réseau... Cette brique invisible, et pourtant fondatrice.

Un pur produit du réseau

Je suis né au début des années 70. J'ai commencé l'informatique quand j'avais 6 ou 7 ans... À 10 ans, je me suis amusé à coder le jeu Ping Pong sur un VTech Laser 200. J'ai grandi. Le code, c'est sympa, mais je me suis pris de passion pour un autre sujet... Le réseau.

Je suis un pur produit du réseau. Quand l'informatique est vraiment devenue ma passion, à la fin des années 80, le réseau existait à peine. En tout cas, pas sous sa forme actuelle. On parlait de Token Ring et de jeton, de coax et de BNC. J'ai déployé des nanoréseaux de Thomson MO5 et TO7/70, pilotés par des Goupil ou des Bull, sur des liaisons RS-485... Les élèves des écoles primaires étaient émerveillés de pouvoir travailler tous ensemble, et d'imprimer sur une bonne vieille Mannesmann-Tally MT80. Les entreprises de l'époque dépensaient des fortunes pour pouvoir partager et centraliser quelques fichiers multiplan.

J'ai été parmi les quelques certifiés Novell NetWare en France. Un nom qui ne doit plus parler qu'aux vieux comme moi.

Le réseau... Fascinant d'intelligence, de puissance, de robustesse.

Je me souviens de ces moments de solitude face aux dizaines de bouquins qui décrivaient les protocoles hérités du Xerox Network Systems (XNS). IPX, protocole de couche 3 non orienté connexion. SPX, qui apportait par-dessus le transport fiable, orienté connexion, de la couche 4. RIP pour le routage, SAP pour annoncer les services sur le réseau. Et je me souviens des kilomètres de câble coaxial tirés dans les bâtiments...

Puis TCP/IP s'est imposé. Conçu dans les années 70, adopté en 1983, il a fini par gagner la guerre des protocoles, face à IPX/SPX et face aux protocoles OSI que l'on nous promettait comme l'avenir. Grosse claque. Ce n'était pas la commutation de paquets qui était nouvelle : IPX le faisait déjà, X.25 aussi. C'était un protocole ouvert, indépendant des constructeurs, capable d'interconnecter n'importe quel réseau avec n'importe quel autre. La révolution, c'était ça : pour la première fois, tout pouvait parler à tout.

Y compris, trente ans plus tard, l'attaquant.

À l'époque, nous savions lire une trame, parce que nous n'avions pas le choix : quand ça ne fonctionnait pas, il fallait ouvrir des bouquins, se remonter les manches et faire fonctionner son cerveau. On savait interpréter, la taille, l'entête, la gigue, la latence, les retransmissions. Aujourd'hui, le réseau fonctionne si bien qu'on l'a oublié. Plus personne ne l'apprend. Ne s'y intéresse. L'abstraction a gagné. Et c'est précisément là que le problème commence.

En plus de vingt-cinq ans de construction et pilotage de SOC partout sur la planète, de création d'équipes CSIRT pour la réponses à incidents... je n'ai jamais vu une compromission sérieuse qui n'ait pas laissé de trace sur le réseau. Pas une.

Il n'existe pas de numérique hors réseau

Je vais commencer par quelques évidences que l'on oublie à force de les entendre, sans réellement les écouter.

Une identité, ce n'est pas qu'une entrée dans un annuaire. C'est aussi un échange Kerberos, une requête LDAP, un jeton OAuth qui transite en HTTPS.

Le cloud, ce n'est pas « l'ordinateur de quelqu'un d'autre ». C'est d'abord une succession d'appels d'API qui traversent un lien internet.

Un SaaS, c'est une session TLS vers un fournisseur.

Un agent IA, c'est un client qui interroge un modèle distant et qui, par un connecteur MCP, va chercher des données dans vos systèmes.

Un automate industriel, c'est du Modbus ou du S7 sur un segment que plus personne n'a cartographié depuis la mise en service.

Même votre EDR dépend du réseau : il remonte sa télémétrie vers une console, reçoit ses mises à jour, exécute les ordres d'isolement. Coupez-lui le réseau, il devient un journal intime que personne ne lit.

La sauvegarde, la virtualisation, la téléphonie, la vidéosurveillance, la GTB du bâtiment : réseau. Tout est réseau.

Il n'existe pas de numérique hors réseau. Il existe seulement du numérique dont on a décidé de ne pas regarder le réseau.

Pourquoi personne ne regarde

Ce désintérêt n'est pas un hasard. Il a trois causes, et aucune n'est vraiment technique. Et c'est d'ailleurs ce qui est désolant.

La première cause de ce désintérêt est organisationnelle. Dans la majorité des entreprises, le réseau relève de la production informatique, pas de la sécurité. Le RSSI pilote des politiques, des audits, des plans de remédiation. Il consomme des journaux de pare-feu comme on consulte un registre d'entrées : qui a franchi quelle porte. Il ne voit pas, ne regarde pas ce qui se passe dans les couloirs.

La deuxième est culturelle. La fonction RSSI s'est construite, à juste titre, autour de la gouvernance, du risque et de la conformité. Mais une génération entière de responsables sécurité n'a jamais regardé une architecture réseau, n'a jamais ouvert une capture réseau. Ce n'est pas un reproche, c'est un constat. On ne surveille pas ce qu'on ne sait pas lire, et on ne finance pas ce qu'on ne surveille pas.

La troisième est économique. Les budgets suivent les récits du marché. Depuis dix ans, le récit dominant est celui de l'agent sur chaque poste et de l'identité comme nouveau périmètre. Ces récits sont justes. Mais ils sont incomplets. Dangereusement incomplets. Et l'incomplétude se paie au moment exact où l'attaquant passe par ce que l'agent ne couvre pas.

Le Zero Trust a tué le périmètre, pas le réseau

Il faut dire un mot d'un contresens tenace. Relayé à grand renfort de communication et de marketing coûteux. 

Le Zero Trust a enterré l'idée d'un château fort avec des douves, un intérieur de confiance et un extérieur hostile. Très bien. Beaucoup en ont conclu que le réseau ne comptait plus.

C'est l'inverse. Le Zero Trust ne supprime pas les flux, il les multiplie. Chaque accès devient une session authentifiée, chiffrée, négociée avec un point de décision. Il y a plus de conversations réseau dans une architecture Zero Trust que dans n'importe quel réseau plat des années 2000. Le périmètre a disparu. Le réseau, lui, est partout.

Ne plus avoir de frontière n'autorise pas à ne plus avoir de regard. Et les buzzwords martelés dans les salons de bords de mer ne devraient pas dicter la stratégie sécuritaire d'une entreprise.

La menace entre par le réseau

Les chiffres de 2026 sont sans ambiguïté.

Selon le rapport M-Trends 2026 de Mandiant, l'exploitation de vulnérabilités reste le premier vecteur d'intrusion pour la sixième année consécutive, à 32 % des cas.

Le Data Breach Investigations Report 2026 de Verizon va plus loin : pour la première fois en dix-neuf ans, l'exploitation de vulnérabilités dépasse le vol d'identifiants comme première porte d'entrée. Le même rapport note que seules 26 % des vulnérabilités activement exploitées recensées par la CISA ont été entièrement corrigées, et que le délai médian de remédiation est passé de 32 à 43 jours.

Et quelles vulnérabilités ? Celles des équipements de bordure : pare-feux, concentrateurs VPN, passerelles, routeurs. Dans l'édition 2025 du DBIR, leur part dans les violations par exploitation était déjà passée de 3 % à 22 % en un an. Mandiant l'explique sans détour : ces équipements fonctionnent sur des systèmes propriétaires incompatibles avec les outils EDR, ce qui crée des angles morts de visibilité.

Je trouve cette situation assez savoureuse, en fait.

Le firewall, le VPN, le proxy, le routeur... ces rois de la bordure, ceux-là mêmes qu'on a achetés pour protéger le réseau, sont devenus la porte d'entrée préférée des attaquants. Et pourquoi ? Parce qu'on ne peut pas y installer d'agent. Je ne vais pas dresser la liste à la Prévert des vulnérabilités découvertes chaque mois sur certains firewalls ou routeurs... L'image de Salt Typhoon se promenant pendant des mois dans les routeurs des opérateurs télécoms américains parle d'elle-même. Et le phénomène s'amplifie chaque année, sans que personne ne s'en émeuve vraiment.

Alors, quand l'attaquant tient votre routeur, que reste-t-il ? Pas les logs, il les maîtrise. Pas l'EDR, il n'y en a pas. Il vous reste le trafic. Celui qui entre, celui qui sort, celui qui n'a rien à faire là.

Elle circule par le réseau

Une fois dans la place, l'attaquant doit bouger. Il n'a pas le choix : ce qui l'intéresse est rarement sur la première machine compromise.

Or chaque technique de mouvement latéral est un protocole réseau. Une élévation par Kerberoasting, ce sont des demandes de tickets de service anormales envoyées au contrôleur de domaine. Un DCSync, c'est un appel de réplication d'annuaire émis par une machine qui n'est pas un contrôleur de domaine. Une propagation par SMB, RDP ou WinRM, ce sont des sessions qui n'avaient jamais existé entre ces deux hôtes. L'attaquant peut effacer des journaux locaux, désactiver un agent, se fondre dans des binaires légitimes. Il ne peut pas se déplacer sans émettre de paquets.

Et il se déplace vite. M-Trends 2026 mesure le délai médian entre l'accès initial et sa revente ou sa transmission à un autre groupe : plus de huit heures en 2022, vingt-deux secondes en 2025. Vingt-deux secondes. À cette vitesse, la question n'est plus de savoir si vous verrez l'entrée. C'est de savoir si vous verrez la suite.

Le même rapport établit la durée médiane de présence non détectée à 14 jours. Quand la détection vient de l'extérieur, d'un partenaire, d'une autorité, d'un attaquant qui réclame une rançon, la médiane monte à 25 jours. 25 jours pendant lesquels tout ce qui s'est passé a transité, octet par octet, sur un réseau que personne ne regardait.

Et elle repart par le réseau

Une attaque qui ne communique pas n'existe pas. Il faut recevoir des ordres, remonter des résultats, sortir des données. Le canal de commande et de contrôle, le tunnel DNS, l'exfiltration vers un stockage cloud parfaitement légitime : tout finit par un flux sortant.

On m'objecte souvent que tout est chiffré et que le réseau serait donc devenu aveugle. C'est une idée reçue qui arrange beaucoup de monde et qui permet de se débarrasser du sujet rapidement. Mais non en fait.

Le chiffrement protège le contenu. Il ne masque ni la forme, ni le rythme, ni la destination de la conversation. L'empreinte d'une négociation TLS, que des méthodes comme JA4+ permettent de caractériser, trahit l'outil qui l'a émise. La périodicité d'un balisage trahit un implant. L'asymétrie entre octets reçus et octets envoyés trahit une exfiltration.

Le déchiffrement n'est pas une nécessité. Et heureusement d'ailleurs.

Il n'est pas nécessaire de déchiffrer quoi que ce soit pour s'inquiéter que le laptop d'un comptable envoie chaque nuit à trois heures plusieurs gigaoctets vers un serveur externe que personne ne connaît.

Ce qu'il faut changer

Je ne plaide pas pour remplacer une religion par une autre. L'EDR reste utile. La gestion des identités reste indispensable. La conformité reste une obligation. Évidemment !

Mais aucune de ces briques ne voit l'ensemble du continuum, parce qu'aucune n'est placée là où tout passe.

Le réseau est le seul plan d'observation qui ne dépend pas de la bonne volonté de l'équipement observé. Il voit la caméra qui ne supporte pas d'agent, l'automate qu'on n'a pas le droit de toucher, le serveur oublié, le poste du prestataire, l'agent IA lancé hors de tout contrôle, et le pare-feu compromis qui continue d'afficher un état nominal.

Alors posez-vous, dès demain, trois questions simples.

• Savez-vous, précisément, quels flux sortent de votre SI, et vers où ?
• Disposez-vous d'une cartographie des échanges réels, et non du schéma validé lors du dernier audit ?
• Et qui, dans votre SOC, est capable de lire une session réseau et de dire si elle est normale ?

Si l'une de ces réponses vous met mal à l'aise, vous avez trouvé votre angle mort. L'attaquant, lui, l'a sans doute déjà trouvé.

C'est la conviction sur laquelle nous avons construit Jizô AI : faire du réseau le socle de la détection, sur l'IT, l'OT et le cloud, sans agent, avec des algorithmes d'apprentissage qui qualifient les comportements plutôt que de reconnaître des signatures. Non pas parce que le réseau serait à la mode. Mais parce qu'il est le seul endroit où l'attaque ne peut pas mentir sur sa propre existence.

Le réseau n'est pas un sujet d'infrastructure. C'est la scène de crime.

Il serait temps de la regarder.