Article principal de la série : Décrocher la certification CISSP 2026. Ce tutoriel approfondit le domaine 4 du CBK 2024, qui pèse 13 % de l’examen. Au programme : couches OSI/TCP-IP, protocoles sécurisés modernes (TLS 1.3, IPsec, DNSSEC, WPA3), segmentation, Zero Trust selon NIST SP 800-207, VPN et défense périmétrique.

Prérequis

Connaissances réseau de niveau CCNA ou équivalent
Lecture des RFC clés (8446 TLS 1.3, 4301 IPsec) en survol
Temps estimé : 20 à 25 heures sur deux à trois semaines

Étape 1 — Rafraîchir OSI et TCP/IP en parallèle

L’examen ne demande pas de réciter les sept couches OSI dans l’ordre — mais il demande de savoir à quelle couche opère un protocole donné et quel type d’attaque l’affecte. Construisez votre tableau de référence personnel et apprenez-le.

OSI	TCP/IP	Protocoles types	Menaces typiques
7 Application	Application	HTTP, DNS, SMTP, LDAP	Injection, XSS, malware
6 Présentation	Application	TLS handshake, charset	Downgrade, padding oracle
5 Session	Application	RPC, NetBIOS	Session hijacking
4 Transport	Transport	TCP, UDP, QUIC	SYN flood, port scan
3 Réseau	Internet	IPv4, IPv6, ICMP, IPsec	Spoofing, route hijack
2 Liaison	Link	Ethernet, ARP, VLAN	ARP spoofing, MAC flood
1 Physique	Link	Câbles, ondes, fibre	Coupure, écoute, EMP

Le piège classique demande à quelle couche opère TLS. Bonne réponse : TLS chevauche présentation (handshake et chiffrement) et session (établissement). À une question forcée à choisir, on répond présentation (couche 6). Autre piège : ARP est couche 2, pas couche 3 — sa résolution permet de mapper IP vers MAC, mais ARP lui-même n’utilise pas IP.

Étape 2 — TLS 1.3 et abandon des versions précédentes

TLS 1.3 (RFC 8446, août 2018) est imposé en 2026 pour tout service exposé. Les nouveautés à connaître : handshake en 1-RTT (au lieu de 2-RTT en TLS 1.2), 0-RTT optionnel pour les sessions reprises, suppression des algorithmes faibles (RC4, 3DES, SHA-1, RSA key exchange, CBC modes sans AEAD), perfect forward secrecy obligatoire via ECDHE.

Les suites de chiffrement TLS 1.3 ne comportent plus que cinq combinaisons : TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256, TLS_AES_128_CCM_SHA256, TLS_AES_128_CCM_8_SHA256. La négociation de courbe se fait séparément. Cette simplification réduit drastiquement la surface d’attaque par downgrade.

TLS 1.0 et 1.1 sont dépréciés par l’IETF (RFC 8996, mars 2021). TLS 1.2 reste acceptable transitoirement avec des suites GCM uniquement — pas de suites CBC avec MAC-then-encrypt, faillibles à BEAST/Lucky 13. À l’examen, recommander TLS 1.0 ou 1.1 est toujours faux.

Étape 3 — IPsec : ESP, AH, IKEv2 et modes

IPsec opère à la couche 3 et protège tout le trafic IP. Trois sous-protocoles à distinguer : AH (Authentication Header, intégrité et authentification, sans chiffrement), ESP (Encapsulating Security Payload, chiffrement et intégrité), IKE v2 (Internet Key Exchange, RFC 7296, négociation des SA et des clés).

Deux modes opératoires : transport (l’en-tête IP original est conservé, seule la payload est protégée) et tunnel (le paquet IP complet est encapsulé dans un nouveau paquet IP). Le mode transport est utilisé pour les communications hôte-à-hôte ; le mode tunnel pour les liaisons site-à-site (VPN d’entreprise).

Le piège typique demande à quoi sert AH si ESP fait déjà tout. Réponse : AH protège également les en-têtes IP qui ne sont pas dans la payload ESP (champ source par exemple), donc AH ajoute une intégrité du paquet IP complet. En pratique, AH est peu utilisé seul — ESP avec authentification intégrée (mode AEAD) est l’usage moderne.

Étape 4 — DNSSEC et protection du DNS

Le DNS reste vulnérable au cache poisoning et au spoofing tant qu’il n’est pas signé. DNSSEC ajoute des signatures cryptographiques sur les enregistrements et établit une chaîne de confiance depuis la racine. Les nouveaux types d’enregistrement à connaître sont DNSKEY, RRSIG, DS, NSEC/NSEC3. La résolution DNSSEC valide chaque étape : la racine signe le TLD, le TLD signe le domaine, et le résolveur de l’utilisateur vérifie chaque signature.

DNSSEC ne chiffre pas — il authentifie. Le chiffrement DNS passe par DoT (DNS over TLS, RFC 7858) ou DoH (DNS over HTTPS, RFC 8484), désormais le standard dans les navigateurs modernes. DoT et DoH protègent la confidentialité de la résolution contre les écoutes réseau ; DNSSEC protège l’intégrité contre la corruption. Les deux sont complémentaires.

Étape 5 — Segmentation réseau et microsegmentation

La segmentation classique repose sur VLAN (802.1Q, étiquettes 12 bits, 4094 VLAN utilisables), VRF (séparation de tables de routage), et zones de pare-feu. Le principe est de cloisonner les flux pour limiter la propagation latérale en cas d’intrusion.

La microsegmentation pousse le principe à l’extrême : chaque charge de travail (VM, conteneur, fonction) a sa propre politique de flux, indépendamment de sa position topologique. Les implémentations modernes utilisent SDN (Software-Defined Networking) ou des agents host-based (VMware NSX, Cisco Tetration, Illumio). À l’examen, la microsegmentation est l’arme contre le déplacement latéral en cas de compromission d’un serveur.

Étape 6 — Architecture Zero Trust

Le Zero Trust est codifié par NIST SP 800-207, publié en août 2020. Le principe fondateur est never trust, always verify : la confiance n’est plus déduite de la position réseau (LAN vs Internet), elle est évaluée pour chaque requête en fonction de l’identité, du device et du contexte.

Les composants logiques de l’architecture sont le Policy Decision Point (PDP, qui décide d’autoriser ou refuser), le Policy Enforcement Point (PEP, qui applique la décision sur le flux), et le Policy Administration Point (PAP, qui définit la politique). Trois variantes architecturales coexistent : identity-centric (Google BeyondCorp), microsegmentation-centric, SDP-centric (Software-Defined Perimeter, qui rend les ressources invisibles tant que l’authentification n’est pas réalisée).

L’examen ne demande pas de déployer Zero Trust — il demande de savoir que le périmètre traditionnel est obsolète, que l’identité est le nouveau périmètre, et que chaque accès est conditionnel et journalisé.

Étape 7 — VPN, SD-WAN et accès distant

Les VPN d’entreprise utilisent IPsec (site-à-site) ou SSL/TLS (accès distant utilisateur). Les implémentations modernes WireGuard (intégré au noyau Linux depuis 5.6) offrent une simplicité accrue avec une crypto moderne (Curve25519, ChaCha20-Poly1305, BLAKE2s) — l’examen le mentionne désormais.

Le SD-WAN remplace progressivement les WAN MPLS traditionnels. Il agrège plusieurs liens (fibre, 4G/5G, Internet) avec un routage politique basé sur la performance et l’application. La sécurité SD-WAN moderne intègre IPsec sur tunnels overlay, NGFW distribués, et services SASE (Secure Access Service Edge) qui combinent SD-WAN, SWG, CASB, ZTNA et FWaaS en cloud.

Étape 8 — Pare-feu modernes et IDS/IPS

Trois générations de pare-feu coexistent : stateful (suivi des sessions TCP), NGFW (couche 7, deep packet inspection, application awareness, intégration threat intelligence), WAF (Web Application Firewall, focalisé HTTP avec règles OWASP). À l’examen, NGFW est la bonne réponse pour bloquer une attaque applicative connue ; WAF pour bloquer une SQL injection ciblant une appli web spécifique ; stateful pour la simple translation et la segmentation.

Les IDS/IPS opèrent par signature (correspondance à une base connue, peu de faux positifs mais 0-day non détectés) ou par anomalie (modèle de trafic normal et écart, détection 0-day possible mais faux positifs nombreux). Les solutions modernes combinent les deux avec apprentissage statistique. Snort et Suricata sont les références open-source examinables. Le mode inline bloque le trafic (IPS), le mode tap observe (IDS).

Étape 9 — Sécurité sans fil et WPA3

WPA3 (Wi-Fi Alliance, janvier 2018, profil obligatoire à partir de juillet 2020) remplace WPA2. Trois améliorations clés : SAE (Simultaneous Authentication of Equals, échange Dragonfly) remplace PSK et résiste aux attaques offline ; Forward Secrecy protège les sessions passées en cas de compromission de la clé ; Wi-Fi Enhanced Open (OWE, RFC 8110) chiffre les réseaux ouverts sans authentification.

WPA2-PSK reste déployé mais vulnérable aux attaques offline sur le 4-way handshake (capturé puis cracké par dictionnaire ou GPU). À l’examen, WPA3 est la bonne réponse moderne, et la migration depuis WPA2 est recommandée d’ici fin 2026 pour les déploiements sensibles.

Étape 10 — Sécurité du courrier électronique

Le courrier reste la première porte d’entrée des attaques en 2026. Trois protections coexistent et l’examen attend de savoir les coordonner. SPF (Sender Policy Framework, RFC 7208) publie la liste des serveurs autorisés à envoyer pour un domaine. DKIM (DomainKeys Identified Mail, RFC 6376) signe les messages avec une clé privée publiée en DNS sous forme publique. DMARC (RFC 7489) aligne SPF et DKIM avec le domaine de l’en-tête From et publie une politique (none, quarantine, reject) à appliquer en cas d’échec, plus des rapports agrégés et forensiques.

Le déploiement recommandé est SPF strict (-all après audit), DKIM avec clé 2048 bits rotée annuellement, DMARC en p=reject une fois les flux légitimes maîtrisés. BIMI (Brand Indicators for Message Identification) complète l’ensemble en affichant le logo de marque côté boîte de réception après vérification — il requiert un Verified Mark Certificate signé par une autorité reconnue.

Pour le chiffrement de bout en bout des messages, deux standards : S/MIME (X.509, intégré aux clients d’entreprise) et OpenPGP (RFC 9580 modernisée en 2024). En entreprise, S/MIME domine grâce à l’intégration native Outlook et Exchange.

Étape 11 — Monitoring réseau et DDoS

Le monitoring réseau s’appuie sur trois sources de télémétrie complémentaires. Les flows (NetFlow, sFlow, IPFIX) agrègent les conversations source-destination-protocole — utile pour la détection comportementale et la cartographie des flux. Les paquets complets (PCAP) sont indispensables pour le forensic ciblé mais volumineux. Les logs des équipements (firewall, proxy, DNS) consolidés dans le SIEM corrèlent les événements de plusieurs sources.

Les attaques par déni de service distribué (DDoS) se classent en trois grandes catégories : volumétriques (saturation de bande passante, type UDP reflection sur DNS, NTP, memcached avec amplification ×50 à ×50 000), protocolaires (épuisement des ressources, type SYN flood), applicatives (couche 7, type HTTP slow loris ou Layer-7 GET flood). La défense moderne combine scrubbing centers en amont (Cloudflare, Akamai, AWS Shield Advanced), rate limiting au pare-feu applicatif et capacités de bascule BGP via communautés.

Étape 12 — IPv6, NAT et sécurité moderne

IPv6 (RFC 8200) est progressivement déployé en parallèle d’IPv4. Le préfixe d’adresse est 128 bits, le NAT n’est plus structurel. Trois implications sécurité à connaître : la découverte de voisins ICMPv6 remplace ARP et est vulnérable à des attaques équivalentes — la parade est SEND (Secure Neighbor Discovery) ou des contrôles de port niveau commutateur. La configuration automatique stateless (SLAAC) peut exposer une adresse MAC dans la partie hôte — préférer les adresses temporaires RFC 8981. L’extension headers peut servir de vecteur d’évasion firewall — exiger une inspection des en-têtes IPv6 sur les NGFW déployés.

Côté IPv4, le NAT (RFC 3022) est encore omniprésent. Il fournit une translation et une isolation indirecte mais ne doit pas être considéré comme un contrôle de sécurité — un pare-feu stateful explicite reste requis. La double NAT (CGN, Carrier Grade NAT) complique la traçabilité forensique en partageant les IP publiques entre des centaines d’abonnés.

Erreurs fréquentes

Erreur	Cause	Solution
Considérer TLS 1.2 comme aussi sûr que TLS 1.3	Méconnaissance des modes AEAD	TLS 1.3 supprime les modes vulnérables
Confondre AH et ESP	Acronymes proches	AH = intégrité seule ; ESP = chiffrement + intégrité
Penser que DNSSEC chiffre	Confusion avec DoT/DoH	DNSSEC authentifie ; DoT/DoH chiffrent
Voir Zero Trust comme un produit	Marketing fournisseurs	Zero Trust est une architecture, pas un boîtier
Recommander WPA2-PSK en 2026	Inertie sur l’existant	WPA3-SAE pour le nouveau déploiement

Tutoriels frères

Retour au guide principal : Décrocher la certification CISSP 2026
Précédent : Domaine 3 — Security Architecture and Engineering
Suite : Domaine 5 — Identity and Access Management

Ressources et références

Foire aux questions

Faut-il connaître la valeur exacte de chaque port TCP ?

Non. L’examen ne teste pas un par cœur exhaustif. Il faut connaître les classiques : 22 SSH, 53 DNS, 80 HTTP, 443 HTTPS, 25 SMTP, 587 SMTP submission, 993 IMAPS, 3389 RDP, 1433 SQL Server, 3306 MySQL.

Zero Trust signifie-t-il qu’on supprime les pare-feu ?

Non. Zero Trust supprime la confiance par défaut accordée aux flux internes. Les pare-feu et la segmentation restent utiles comme contrôles complémentaires, mais ils ne suffisent plus seuls.

WireGuard remplace-t-il IPsec ?

Dans les déploiements modernes, oui pour beaucoup d’usages. IPsec reste la norme pour l’interopérabilité multi-fournisseurs et la conformité réglementaire stricte. WireGuard gagne du terrain pour les VPN d’accès distant et les liaisons cloud.

Lab pratique : pour reproduire les exercices, lab CCNA avec Packet Tracer (Windows/Linux/Mac).