Créer un lab cybersécurité pour 30 étudiants : topologie, coûts et exploitation

Enseigner la cybersécurité sans environnement pratique, c'est comme enseigner la natation sans piscine. Les étudiants ont besoin de manipuler, tester, casser et reconstruire pour développer de vraies compétences. Mais monter un lab fonctionnel pour trente étudiants n'est pas trivial : il faut concilier les contraintes budgétaires, les exigences d'isolation, la facilité de gestion et la sécurité de l'établissement.

Cet article détaille les choix architecturaux, les coûts réels et les procédures opérationnelles pour monter et maintenir un lab de sécurité réseau et de pentest à l'échelle d'une promotion.

Besoins fondamentaux : isolation, snapshots et monitoring basique

Avant de choisir une infrastructure, il faut clarifier les besoins réels d'un lab pédagogique. Trois impératifs dominent :

Isolation stricte

Un lab de cybersécurité héberge par définition des machines vulnérables, des outils d'attaque et des scénarios de compromission. L'isolation du lab par rapport au réseau de production de l'établissement n'est pas optionnelle. Un étudiant qui, volontairement ou non, sort du périmètre lab peut impacter le réseau de l'école.

L'isolation doit être assurée à trois niveaux :

• Réseau physique ou VLAN dédié : le trafic lab ne transite pas sur le réseau pédagogique général.
• Sortie internet filtrée ou absente : les machines cibles (serveurs vulnérables) n'ont pas accès à internet, ou uniquement via un proxy contrôlé.
• Isolation inter-étudiants : chaque binôme ou groupe dispose d'un segment réseau cloisonné. Un étudiant ne doit pas pouvoir attaquer les VMs de son voisin.

Politique de snapshots

Les snapshots sont le cœur opérationnel d'un lab pédagogique. Ils permettent de :

• Revenir à un état « propre » entre deux TP en quelques minutes
• Récupérer rapidement si un étudiant casse son environnement
• Créer des checkpoints avant des phases critiques (post-compromission, avant remédiation)

La convention de nommage doit être rigoureuse : <module>-<semaine>-<état> (ex. pentest-s03-initial, pentest-s03-exploite). Un snapshot mal nommé est un snapshot inutilisable le jour J.

Monitoring basique

Le monitoring en contexte pédagogique a deux objectifs distincts :

• Sécurité : détecter si un TP dépasse son périmètre (scan vers l'extérieur, connexion anormale).
• Performance : anticiper les surcharges CPU/RAM lors de phases intensives (scans massifs, brute-force simultané).

Un outil simple comme Netdata ou les dashboards natifs de Proxmox VE suffit en début de programme. L'ajout d'un SIEM comme Wazuh vient naturellement quand les modules de détection entrent dans le cursus.

Options on-prem vs cloud pédagogique

Virtualisation locale sur serveurs dédiés (recommandée en salle)

C'est l'approche référence pour les TP intensifs de pentest, sécurité réseau et forensique.

Configuration type pour 30 étudiants :

Avantages :

• Contrôle total sur les configurations
• Pas de dépendance à une connexion internet (essentiel pour les TP réseau)
• Coûts prévisibles après l'investissement initial
• Latence nulle entre VMs sur le même hôte

Inconvénients :

• Investissement matériel conséquent
• Maintenance à assurer (mises à jour, pannes matérielles)
• Scalabilité limitée à la capacité physique installée

Lab dans le cloud ou Cyber Range as a Service

Des plateformes spécialisées (RangeForce, Cyberbit, ou les services cloud AWS/Azure avec AMIs pédagogiques) permettent de déployer des environnements à la demande.

Avantages :

• Pas d'investissement matériel initial
• Scalabilité immédiate (idéal pour les TP cloud et DevSecOps)
• Accessible à distance pour les travaux en autonomie

Inconvénients :

• Coûts récurrents imprévisibles si la consommation n'est pas cadrée
• Dépendance à la connexion internet (critique en salle)
• Isolation plus complexe à configurer

Approche hybride

Un serveur local couvre les TP de salle (pentest, réponse à incident, forensique) ; le cloud prend en charge les TP de sécurité cloud et les périodes d'autonomie inter-séances. C'est souvent le meilleur compromis pour un établissement de taille moyenne avec 1 à 3 promotions par an.

Concevoir la topologie réseau du lab

La topologie du lab doit être modulaire pour couvrir différents types de TP sans tout reconstruire à chaque module.

Les quatre zones fondamentales

Zone management : réseau de l'hyperviseur et des outils d'administration. Les étudiants n'y ont jamais accès. C'est depuis cette zone que le formateur déploie les VMs, applique les snapshots et supervise les ressources.

Zone étudiants : chaque binôme dispose d'un VLAN ou d'un sous-réseau isolé contenant sa ou ses VM d'attaque (Kali Linux, Parrot). L'isolation inter-groupes est assurée par les règles du switch ou les règles de pare-feu Proxmox.

Zone cibles : réseau partagé (ou dupliqué par groupe selon le TP) contenant les machines vulnérables. Ce réseau est réinitialisable rapidement via les snapshots. Les machines cibles typiques :

• Metasploitable 2/3 (pentest général)
• DVWA, Juice Shop (sécurité web)
• Windows Server + Active Directory vulnérable (attaque AD)
• Ubuntu Server (durcissement, forensique)

Zone services : DNS, DHCP, partage de fichiers, plateforme CTF interne (CTFd). Ce réseau fournit les services support sans dépendance au réseau de l'établissement.

Comptes, resets entre séances et politique d'usage

Gestion des comptes étudiants

Deux approches coexistent :

• Comptes nominatifs : traçabilité, accountability, mais administration lourde à chaque promotion.
• Comptes de groupe (groupe-01, groupe-02...) : gestion simplifiée, mais traçabilité réduite. Acceptable si le monitoring réseau est actif.

Pour les TP sensibles (pentest, forensique), préférez les comptes nominatifs avec journalisation activée. Un étudiant qui sait que ses actions sont tracées adopte automatiquement un comportement plus professionnel.

Procédure de reset entre séances

Le reset doit être scriptable et reproductible. Avec Proxmox :

# Rollback de toutes les VMs d'un groupe vers le snapshot "initial"
for vmid in 101 102 103 104; do
  qm rollback $vmid initial
done

Pour trente étudiants (15 binômes, environ 60 VMs), un script de reset global prend 5 à 10 minutes. L'objectif : repartir d'un état propre sans intervention manuelle.

Règles d'usage à formaliser

Chaque étudiant doit signer (ou valider numériquement) une charte d'utilisation du lab précisant :

• Le périmètre autorisé (uniquement les VMs du lab)
• L'interdiction de tenter une sortie réseau vers internet ou le réseau de l'établissement
• Les conséquences d'un dépassement de périmètre (accès suspendu, signalement disciplinaire)
• La politique sur les captures d'écran et partages externes

Scalabilité et support encadrant

Monter à 45 ou 60 étudiants

Si la formation grossit, deux leviers s'offrent à vous :

1. Ajouter un nœud au cluster Proxmox : la montée en capacité est linéaire si l'architecture cluster est bien conçue dès le départ.
2. Mutualiser les machines cibles : certains TP permettent des cibles partagées (chaque groupe attaque la même machine, sans isolation). Acceptable pour les labs de découverte, pas pour les labs d'évaluation.

Règle pratique : dimensionnez votre infrastructure initiale pour 150 % de la cohorte prévue. Si vous attendez trente étudiants, calculez pour quarante-cinq. L'ajout de RAM est souvent plus simple que l'ajout de serveurs.

Support encadrant

Un formateur seul ne peut pas gérer les incidents techniques de trente étudiants tout en animant le cours. Prévoyez :

• Un guide de dépannage (top 10 des problèmes fréquents avec leur solution) accessible aux étudiants
• Un canal de signalement rapide (salon Discord dédié, chat LMS) pour que les étudiants signalent les pannes sans interrompre le cours
• Un TP pair : au moins deux formateurs pour les premières sessions d'un nouveau TP

Estimer les coûts réels

Option virtualisation locale

Option cloud (estimation semestrielle)

Pour trente étudiants, huit heures de lab par semaine pendant seize semaines :

• Instances VMs de type « t3.medium » ou équivalent : 1 500 à 3 500 €/semestre
• Egress réseau et stockage snapshots : 200 à 600 €/semestre
• Total semestriel estimé : 1 700 à 4 100 €

L'avantage cloud : aucun investissement initial. L'inconvénient : sur cinq promotions (deux ans et demi), le coût cumulé dépasse souvent celui de l'infrastructure locale. Anticipez l'arbitrage.

Plan de maintenance et sauvegarde

Maintenance préventive

• Mensuelle : mise à jour des images de base (OS, outils) et des templates. Ne jamais mettre à jour directement les templates de production — clonez, mettez à jour, testez, puis remplacez.
• Trimestrielle : vérification de l'espace disque (les snapshots s'accumulent), rotation des mots de passe admin, audit des règles pare-feu.
• Annuelle : révision complète des VMs cibles. Certaines vulnérabilités pédagogiques (CVE datées) méritent d'être remplacées par des cas plus récents.

Stratégie de sauvegarde

Les snapshots Proxmox ne remplacent pas les sauvegardes. Distinction fondamentale :

• Snapshot : état rapide, stocké localement, perd sa valeur si le disque du serveur tombe.
• Sauvegarde (backup) : copie complète sur un stockage externe. Proxmox Backup Server ou un simple export vers NAS.

Recommandation minimale : une sauvegarde hebdomadaire des templates de base vers un NAS externe. Le lab peut être reconstruit en quelques heures en cas de panne matérielle grave.

Ce qu'il faut retenir

• L'isolation réseau est le prérequis non négociable : sans elle, le lab est un risque pour tout l'établissement.
• Les snapshots bien nommés permettent un reset en moins de dix minutes — c'est le différenciateur entre un lab utilisable et un lab frustrant.
• Dimensionnez à 150 % de la cohorte prévue dès le départ ; ajouter de la RAM est plus simple que changer de serveur.
• L'approche hybride (local pour les TP de salle, cloud pour l'autonomie) est le meilleur rapport coût/flexibilité pour la plupart des établissements.
• Un plan de maintenance documenté (mensuel, trimestriel, annuel) évite l'accumulation de dette technique qui finit par rendre le lab inutilisable.
• Les certifications comme CompTIA Security+ s'appuient sur des compétences pratiques que seul un lab bien conçu permet d'acquérir.

Vous souhaitez concevoir ou optimiser votre lab cybersécurité pédagogique ? Les intervenants de Cyber Teachers peuvent vous accompagner dans la définition de la topologie, le choix des outils et la mise en place des procédures d'exploitation, avec une approche adaptée à votre cohorte et à votre budget.