Monter un lab cybersécurité avec 0 budget : guide matériel, logiciels et limites légales

Un lab cybersécurité ne sert pas qu'à apprendre le pentest. Blue team, forensic, analyse réseau, supervision SOC, sécurité web : autant de domaines qui nécessitent un environnement pratique, et autant de raisons pour lesquelles un enseignant peut se retrouver à construire une infrastructure sans ligne budgétaire dédiée.

Ce guide part d'un principe simple : le coût en euros peut être nul, le coût en temps ne l'est pas. L'objectif est de vous donner une méthode réplicable — matériel, logiciels, réseau, sauvegardes, cadre légal — pour qu'un lab généraliste soit opérationnel dès la première séance, sans dépenser un centime en licences.

Matériel minimal et virtualisation

Ce que vous avez probablement déjà

La première question n'est pas "quel serveur acheter" mais "qu'est-ce qui dort dans les réserves de l'établissement". Les services informatiques des universités et des grandes écoles renouvellent régulièrement leur parc bureautique et mettent de côté des machines jugées insuffisantes pour les usages courants — tableurs, navigateur, outils Office. Ces mêmes machines sont souvent parfaitement adaptées pour héberger deux ou trois VMs dédiées à un lab pédagogique.

Configuration minimale viable pour un poste étudiant :

• Processeur dual-core avec virtualisation matérielle activée (génération 2015 ou postérieure — vérifiez VT-x ou AMD-V dans le BIOS)
• 16 Go de RAM (8 Go fonctionnent, mais limitent à une ou deux VMs légères)
• 120 Go de stockage SSD (les disques mécaniques fonctionnent au prix d'une latence pénalisante, surtout lors des snapshots)

Pour un lab mutualisé servi à une classe, un serveur de seconde main avec 64 Go de RAM et deux processeurs récents suffit pour 20 à 25 étudiants simultanés. Ces configurations se trouvent fréquemment auprès des entreprises partenaires des établissements qui renouvellent leurs datacenters — il suffit souvent de demander.

Choisir son hyperviseur : comparatif des options gratuites

Le choix de l'hyperviseur conditionne l'ensemble du lab. Les quatre options gratuites principales ont des profils très différents :

Pour la grande majorité des setups pédagogiques, le choix se résume à deux scénarios. VirtualBox sur les postes étudiants quand chaque apprenant fait tourner ses propres VMs. Proxmox VE sur un serveur central quand les ressources sont mutualisées. Proxmox est la solution de référence pour les labs de classe : templates, clones en quelques secondes, restauration de snapshot sans toucher à la console physique.

Dimensionner selon les cas d'usage

Un lab blue team consomme plus de ressources qu'un lab purement offensif. La pile de supervision — SIEM, agents de collecte, tableaux de bord — est exigeante : prévoyez 8 Go de RAM dédiés à la supervision (Wazuh + Kibana, ou Security Onion) en plus des VMs d'entraînement.

Un lab forensic requiert davantage de stockage : images disque, captures mémoire et artefacts d'analyse occupent rapidement plusieurs dizaines de gigaoctets. Prévoyez un NAS de récupération pour stocker les acquisitions.

Un lab orienté sécurité réseau nécessite de nombreuses VMs légères (routeurs, pare-feux, commutateurs virtuels) — la contrainte est sur le nombre de VMs simultanées, pas sur la RAM individuelle.

Images communautaires et licences étudiantes

Les distributions gratuites à installer par domaine

L'écosystème open source fournit des distributions et des images préconfigurées pour pratiquement chaque domaine :

Blue team et SOC

• Security Onion : distribution complète intégrant Zeek, Suricata, Elasticsearch, Kibana et Wazuh. Une seule VM suffit pour simuler un mini-SOC. Les étudiants y configurent des règles de détection et analysent du trafic réseau réaliste.
• Wazuh (en VM standalone) : SIEM open source capable de collecter les événements de l'ensemble des VMs du lab. Couplé à Kibana, il devient le support des exercices d'analyse de logs et de corrélation d'alertes.

Forensic et analyse de malware

• SIFT Workstation (SANS Institute) : distribution Linux préconfigurée avec l'ensemble des outils d'investigation numérique open source. Autopsy, Volatility, The Sleuth Kit, log2timeline — tout est préinstallé et documenté. Téléchargement gratuit sur le site du SANS.
• REMnux : distribution dédiée à l'analyse de malware. Outils d'analyse statique et dynamique, sandbox légère, décodeurs de scripts obfusqués. Parfaite pour les TP d'analyse de fichiers suspects dans un environnement contrôlé.

Sécurité réseau

• pfSense / OPNsense : pare-feux open source qui servent à la fois d'infrastructure d'isolation du lab et de cibles pédagogiques. Les étudiants configurent les règles, analysent les logs, comprennent la segmentation par la pratique.
• Metasploitable 2 et 3 : serveurs Linux volontairement vulnérables, avec des services mal configurés couvrant un large spectre de failles réseau et système.
• GNS3 / Eve-NG Community : émulateurs réseau permettant de faire tourner des images IOS, Juniper ou Arista dans des topologies virtuelles complexes — indispensables pour les TP de routage et de sécurité périmétrique.

Sécurité web

• DVWA (Damn Vulnerable Web Application) : application PHP/MySQL avec des vulnérabilités OWASP réglables par niveau de difficulté. Idéale pour les premières séances.
• OWASP Juice Shop : application Node.js moderne avec plus d'une centaine de défis progressifs. Plus réaliste et engageante que DVWA pour des niveaux M1.

Postes attaquants (pour les TP offensifs encadrés)

• Kali Linux et Parrot OS Security : les images VirtualBox et VMware sont disponibles directement sur les sites officiels, prêtes à l'emploi avec des centaines d'outils préinstallés.
• VulnHub : catalogue de centaines de VMs vulnérables téléchargeables librement, classées par difficulté et par thématique.

Les programmes académiques : une ressource souvent ignorée

Avant d'acheter la moindre licence, vérifiez systématiquement les programmes auxquels votre établissement est éligible. La plupart des universités et grandes écoles françaises sont déjà référencées dans plusieurs d'entre eux.

Microsoft Azure Dev Tools for Teaching donne accès aux licences Windows Server, Windows 10/11 Éducation et Visual Studio aux établissements partenaires. Indispensable pour les labs Active Directory sans licence commerciale.

GitHub Education offre un accès Pro, des crédits cloud (AWS, Azure, DigitalOcean) et des licences d'outils de développement aux étudiants. Utile pour les TP DevSecOps ou gestion de code sécurisé.

Cisco Networking Academy donne accès à Packet Tracer sans frais pour les établissements partenaires. Incontournable pour les modules de configuration réseau et d'analyse de trafic.

VMware Academic Program réduit significativement le coût des hyperviseurs VMware — voire les offre gratuitement. Vérifiez avant de choisir Proxmox par défaut si vos besoins le justifient.

La démarche est simple : contactez votre DSI pour connaître les partenariats actifs. Dans la plupart des cas, les licences académiques existent mais personne ne les a encore activées.

Réseau isolé et sauvegardes

L'isolation : une règle non négociable

Un lab de cybersécurité héberge par définition des machines vulnérables, des outils d'attaque et des payloads d'analyse. Aucune de ces machines ne doit disposer d'une route vers le réseau de production de l'établissement ou vers Internet. Ce n'est pas une recommandation parmi d'autres : c'est une condition sine qua non.

Un exploit lancé dans un TP sur Metasploitable qui trouve une route vers le LAN scolaire peut provoquer des dégâts réels. Les conséquences — alerte au RSSI, enquête interne, voire signalement à l'ANSSI — sont disproportionnées par rapport à l'incident à l'origine : une simple règle de routage oubliée.

Sur Proxmox, créez des bridges internes dédiés (vmbr1, vmbr2...) sans rattachement à une interface physique externe. Ajoutez un pfSense ou OPNsense comme seul point de sortie contrôlé.

Sur VirtualBox (postes individuels), les modes Host-Only et Internal Network assurent l'isolation logique : Host-Only autorise la communication entre la VM et le poste hôte uniquement ; Internal Network isole complètement.

Si vous disposez d'un switch manageable, configurez un VLAN dédié (802.1Q). Des switches Cisco Catalyst ou HP Procurve avec support VLAN se trouvent sur les marchés de seconde main pour 30 à 60 euros — parfois le seul achat inévitable dans un setup "zéro budget" strict.

Segmentation par zones pour un lab généraliste

Un lab qui couvre plusieurs domaines bénéficie d'une organisation en zones fonctionnelles :

• Zone attaquants : postes Kali/Parrot des étudiants en mode offensif, sans accès à la zone administration
• Zone cibles : machines vulnérables (Metasploitable, DVWA, VMs Windows non patchées), réinitialisables via snapshot
• Zone défense : SIEM, Security Onion, outils de supervision et collecte de logs
• Zone administration : console Proxmox, bastion SSH, accessible à l'instructeur uniquement

Un pare-feu pfSense ou OPNsense entre ces zones filtre les flux, journalise les connexions inter-segments et constitue lui-même un support pédagogique concret pour les TP réseau.

Testez systématiquement l'isolation avant le premier TP : depuis chaque VM du lab, lancez un ping vers une adresse publique et vers une adresse du réseau de l'école. Ces deux pings doivent échouer. Si l'un d'eux aboutit, l'isolation est insuffisante.

Snapshots et sauvegardes sans budget

Les snapshots sont la fonctionnalité la plus précieuse d'un hyperviseur en contexte pédagogique. Avec Proxmox, prenez un snapshot de l'état "propre" de chaque VM avant chaque TP. La restauration se fait en quelques secondes après la séance — un TP se termine toujours sur un environnement dans un état inconnu.

Stratégie minimale en trois niveaux :

1. Snapshot "post-installation" à conserver indéfiniment (état de référence absolu)
2. Snapshot "pré-TP" avant chaque session (restauration rapide après la séance)
3. Export OVA ou backup hebdomadaire vers un stockage externe contre les défaillances matérielles

Sous VirtualBox, les exports OVA (5 à 20 Go par VM) permettent de reconstruire l'environnement complet en moins d'une heure. Documentez et testez cette procédure avant d'en avoir besoin.

Ce qu'il ne faut pas faire

Les usages strictement interdits

La contrainte "zéro budget" ne change rien au cadre légal. Un lab construit avec des logiciels gratuits et du matériel récupéré est soumis aux mêmes obligations qu'un cyber range commercial.

Ne jamais scanner ou attaquer des systèmes hors du périmètre lab. L'article 323-1 du Code pénal français punit l'accès frauduleux à un système de traitement automatisé de données, même sans intention malveillante et même si l'accès ne provoque aucun dommage visible. Un étudiant qui lance Nmap sur le réseau de l'établissement ou sur une plage d'adresses publiques depuis le lab commet potentiellement une infraction. L'enseignant qui anime le TP engage sa responsabilité — et celle de l'établissement.

Ne jamais générer de trafic agressif vers des infrastructures tiers. Scans massifs de ports sur des plages IP publiques, tentatives d'exploitation de services en ligne réels, tests volumétriques : tous illégaux sans autorisation écrite du propriétaire du système cible. L'intention pédagogique n'est pas une circonstance atténuante reconnue par le Code pénal.

Ne pas utiliser les plateformes cloud (AWS, GCP, Azure) pour des exercices offensifs. Les conditions d'utilisation de ces fournisseurs interdisent explicitement les tests d'intrusion et les activités offensives en dehors de programmes spécifiquement autorisés. Les comptes qui violent ces CGU sont suspendus sans préavis, et l'établissement peut être tenu pour responsable des usages réalisés depuis ses crédits éducatifs. Réservez les environnements cloud pour les labs défensifs : supervision, blue team, réponse à incident — jamais pour des exercices offensifs.

Ne pas exécuter de malware en dehors d'une sandbox strictement isolée. L'analyse de malware est un excellent exercice pédagogique — à condition d'être réalisée dans une VM sans accès réseau, sur un poste dédié, avec un snapshot pour revenir à un état propre. REMnux est conçu pour ce type d'usage : utilisez-la dans un réseau Internal Network, sans aucune passerelle configurée.

Erreurs courantes à éviter

Partager un compte administrateur entre tous les étudiants. C'est la tentation la plus courante quand le temps manque. C'est aussi la manière la plus sûre de perdre toute traçabilité en cas d'incident. Un compte par personne, droits minimaux, sans exception.

Laisser des machines cibles accessibles depuis le réseau de l'école. Un DVWA ou un Metasploitable exposé sur le LAN scolaire est une vulnérabilité ouverte tant que la machine est allumée — pas uniquement pendant le TP. Vérifiez l'isolation avant et après chaque session.

Réutiliser les VMs sans restaurer les snapshots. Une VM cible en état altéré (portes dérobées installées, logs supprimés) fausse les exercices du TP suivant et crée un risque non contrôlé. La restauration systématique est non négociable.

Faire confiance au "réseau interne" sans vérification. Une erreur de configuration dans un bridge Proxmox peut créer une route non prévue vers le réseau de l'école. Testez l'isolation après chaque modification, pas uniquement lors de la mise en place initiale.

Feuille de route pour passer à un budget lab

Le lab zéro budget est un point de départ, pas une solution permanente. Ses limites — pannes imprévisibles, maintenance chronophage, impossibilité de monter à l'échelle au-delà de 15 à 20 postes — deviennent plus contraignantes au fil des semestres.

Documentez les coûts cachés dès le premier semestre. Un lab non budgété a des coûts réels mais invisibles : temps enseignant absorbé par la maintenance, séances perturbées, heures de préparation supplémentaires. Combien d'heures par semaine la maintenance absorbe-t-elle ? Combien de TP ont été perturbés ? Ces chiffres sont la base d'un argumentaire budgétaire crédible auprès d'une direction qui raisonne en coûts réels.

Identifiez les goulets d'étranglement prioritaires. Après un ou deux semestres, les points de friction sont clairs. Priorisez en fonction de l'impact pédagogique : remplacer les disques mécaniques par des SSD transforme les TP forensic sans coût prohibitif ; ajouter de la RAM débloque des scénarios de supervision plus réalistes.

Paliers d'investissement recommandés

L'approche par paliers est plus efficace qu'une demande globale : chaque étape apporte un résultat visible qui facilite le financement de la suivante. Les directions répondent aux arguments chiffrés : présentez le coût réel de la situation actuelle face au coût d'une infrastructure correcte. Un étudiant formé sur du matériel stable et à jour n'a pas les mêmes réflexes qu'un étudiant formé sur un lab instable — c'est un argument de différenciation concret pour le recrutement et l'accréditation.

Ce qu'il faut retenir

• Le matériel récupéré suffit pour démarrer : un serveur de seconde main avec 64 Go de RAM et Proxmox VE couvre les besoins d'un lab mutualisé pour 20 à 25 étudiants. Commencez par interroger votre service informatique avant tout achat.

• L'open source couvre tous les domaines : Security Onion et Wazuh pour la blue team, SIFT Workstation et REMnux pour le forensic et l'analyse de malware, pfSense et GNS3 pour le réseau, DVWA et Juice Shop pour le web — aucun domaine de la cybersécurité ne nécessite de licence commerciale pour un lab pédagogique de qualité.

• Les programmes académiques sont sous-exploités : Microsoft Azure Dev Tools for Teaching, GitHub Education, Cisco Networking Academy. Vérifiez si votre établissement est déjà référencé avant de chercher des alternatives.

• L'isolation réseau précède tout exercice : bridges internes sur Proxmox, mode Internal Network sur VirtualBox, VLAN dédié sur switch managé. Testez depuis chaque VM avec un ping vers l'extérieur — avant le premier TP et après chaque modification.

• Le cadre légal s'applique sans exception : l'article 323-1 du Code pénal interdit tout accès à un système sans autorisation, y compris dans un cadre pédagogique. Les exercices offensifs sur des tiers sont illégaux ; les plateformes cloud interdisent explicitement les activités offensives.

• Le zéro budget est un point de départ : documentez le coût caché de la maintenance dès le premier semestre. Ces données sont votre meilleur argument pour obtenir un budget progressivement, palier par palier.

Un lab fonctionnel, même construit avec des moyens limités, vaut infiniment plus qu'un cours théorique. L'essentiel est de le construire avec méthode : isolation réseau rigoureuse, snapshots systématiques, cadre légal respecté et documentation à jour.

Pour aller plus loin dans la conception de vos labs et de vos parcours pédagogiques, Cyber Teachers accompagne les établissements qui souhaitent structurer leurs formations en cybersécurité — de la définition du programme jusqu'à la mise en place des environnements pratiques, avec des intervenants experts en labs blue team, forensic, réseau et SOC.