Pare-feu : filtrage de paquets ou nouvelle génération

Un pare-feu est un dispositif de sécurité réseau (matériel ou logiciel) qui surveille et contrôle le trafic entrant et sortant selon des règles prédéfinies. Les pare-feu se trouvent entre les réseaux internes de confiance et les réseaux externes non fiables, où ils jouent le rôle de gardien. Ils constituent un contrôle fondamental du périmètre, mais les attaques modernes qui utilisent des canaux chiffrés ou des déplacements latéraux au sein de zones de confiance montrent pourquoi les pare-feu seuls sont insuffisants et doivent être associés à d’autres niveaux de défense.

Les pare-feu à filtrage de paquets (également appelés pare-feu sans état) inspectent chaque paquet isolément à partir des champs d’en-tête : IP source, IP de destination, port source, port de destination et protocole. Ils appliquent de simples règles d’autorisation ou de refus appelées ACLs (listes de contrôle d’accès). Comme ils examinent chaque paquet indépendamment, ils ne peuvent pas déterminer si un paquet fait partie d’une session établie, ce qui les rend vulnérables aux attaques qui falsifient des valeurs d’en-tête attendues ou exploitent des vulnérabilités impliquant plusieurs paquets.

Les pare-feu à inspection avec état maintiennent une table d’état qui suit les connexions actives. Lorsqu’un paquet arrive, le pare-feu vérifie s’il appartient à une session déjà établie. Le trafic de retour peut ainsi passer automatiquement sans règles explicites. Les pare-feu avec état sont bien plus sécurisés que les filtres de paquets, car ils peuvent détecter les paquets qui n’appartiennent pas à une session valide — comme les paquets ACK non sollicités utilisés lors de balayages furtifs — et appliquer des politiques au niveau des connexions.

Les pare-feu de nouvelle génération (NGFW) ajoutent l’inspection approfondie des paquets et la connaissance des applications au suivi avec état. Un NGFW peut identifier l’application qui génère le trafic — et pas seulement le port — grâce à la dissection des protocoles et à l’apprentissage automatique. Les principales fonctionnalités des NGFW comprennent le contrôle des applications (bloquer Dropbox quel que soit le port), l’intégration de l’identité des utilisateurs (règles liées aux groupes AD), l’IPS intégré et l’inspection SSL/TLS. Les fournisseurs comprennent Palo Alto Networks, Fortinet, Check Point et Cisco Firepower.

Les règles de pare-feu sont évaluées de haut en bas : la première règle correspondante est appliquée. Les règles les plus spécifiques doivent donc apparaître avant les règles plus générales. Une règle implicite deny all située en bas bloque tout trafic qui n’est pas explicitement autorisé. Les erreurs courantes consistent notamment à placer une règle générale d’autorisation avant un refus spécifique, à créer une règle masquée (une règle qui ne correspond jamais parce qu’une règle précédente correspond toujours en premier) et à oublier d’autoriser le trafic de retour ou les messages d’erreur ICMP dont dépendent les applications.

Un WAF (pare-feu d’applications web) fonctionne au niveau de la Layer 7 et est spécialement conçu pour protéger les applications web contre des attaques comme l’injection SQL, XSS et CSRF. Contrairement aux NGFW, qui protègent globalement le trafic réseau, un WAF comprend la sémantique HTTP et HTTPS : il inspecte les URL, les en-têtes, les cookies et le corps des requêtes. Les WAF peuvent fonctionner en mode détection (enregistrer sans bloquer) ou en mode prévention (bloquer les requêtes malveillantes). AWS WAF, Cloudflare et Imperva sont des solutions commerciales courantes.

Comme la majeure partie du trafic est désormais chiffrée avec HTTPS, les menaces peuvent se dissimuler dans les sessions TLS. L’inspection SSL/TLS (également appelée interception SSL ou déchiffrement) permet aux NGFW d’agir comme un proxy de l’homme du milieu : le pare-feu termine la connexion TLS du client, inspecte le texte en clair, puis le chiffre de nouveau vers la destination. Cela permet d’analyser les logiciels malveillants et d’appliquer la prévention contre la perte de données (DLP) dans les tunnels chiffrés. Le certificat du pare-feu doit être approuvé par les clients, généralement distribué au moyen de la stratégie de groupe sur les appareils de l’entreprise.

Les pare-feu sont les plus efficaces lorsqu’ils sont positionnés au niveau des frontières de confiance. Une conception courante place un pare-feu de périmètre entre Internet et la DMZ, ainsi qu’un pare-feu interne entre la DMZ et le réseau interne. Cela crée un sous-réseau filtré où les serveurs accessibles au public (web, messagerie) sont isolés ; s’ils sont compromis, l’attaquant ne peut pas atteindre directement les systèmes internes. Les conceptions modernes placent également des pare-feu entre les segments internes afin de limiter les déplacements latéraux.

Un IDS (système de détection des intrusions) surveille le trafic et génère des alertes lorsqu’il identifie des schémas suspects, mais il ne bloque pas le trafic. Un IPS (système de prévention des intrusions) est placé en ligne et peut supprimer activement les paquets malveillants ou réinitialiser les connexions en temps réel. La plupart des NGFW modernes comprennent un IPS intégré. Les méthodes de détection comprennent la détection par signatures (correspondance avec des schémas d’attaque connus) et la détection par anomalies (détection des écarts par rapport à une référence apprise).

Une appliance UTM (gestion unifiée des menaces) regroupe plusieurs fonctions de sécurité dans un seul appareil : pare-feu, IPS, antivirus, VPN, filtrage web et parfois sécurité de la messagerie. Les UTM sont populaires dans les petites et moyennes entreprises, car ils simplifient la gestion et réduisent les coûts. En contrepartie, un appareil unique constitue un point de défaillance unique et peut ne pas offrir les performances ou la profondeur de solutions spécialisées. Dans les environnements d’entreprise, le terme UTM est largement remplacé par NGFW.

L’examen Security+ évalue votre capacité à sélectionner le type de pare-feu adapté à un scénario donné. Le filtrage de paquets est rapide, mais sans état et facile à contourner. L’inspection avec état suit les sessions et constitue la base des réseaux modernes. Le NGFW ajoute la connaissance des applications, l’identité des utilisateurs et un IPS intégré : c’est le bon choix pour les périmètres d’entreprise. Le WAF protège spécifiquement les applications web HTTP au niveau de la Layer 7. Faites toujours correspondre le contrôle à la menace : un WAF n’arrêtera pas un balayage de ports et un filtre de paquets n’arrêtera pas une injection SQL.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que les pare-feu à filtrage de paquets sont sans état et évaluent chaque paquet uniquement à partir de ses champs d’en-tête, que les pare-feu avec état suivent l’état des connexions pour autoriser le trafic de retour et détecter les paquets anormaux, et que les pare-feu de nouvelle génération ajoutent la connaissance des applications, l’identité des utilisateurs et un IPS intégré pour une inspection plus approfondie. Nous allons maintenant étudier la segmentation réseau et les VLANs.