Les pare-feu, gardiens du trafic

Un pare-feu est un appareil ou un logiciel qui contrôle le trafic autorisé à entrer dans un réseau ou à en sortir, en jouant le rôle de gardien de sécurité. Il inspecte les paquets en fonction d’un ensemble de règles et les autorise ou les bloque en conséquence. Les pare-feu constituent un élément essentiel de la défense réseau. Ils sont placés aux frontières, notamment entre votre réseau interne et Internet, afin d’empêcher le trafic indésirable d’entrer.

Un pare-feu applique un ensemble de règles, également appelé liste de contrôle d’accès. Chaque règle indique s’il faut autoriser ou refuser le trafic selon des critères tels que l’adresse IP source et de destination, le numéro de port et le protocole. Le pare-feu compare le trafic aux règles dans l’ordre et applique la première correspondance. Les administrateurs peuvent ainsi définir précisément les communications autorisées.

Un principe fondamental des pare-feu est le refus implicite : tout ce qui n’est pas explicitement autorisé est bloqué par défaut. Ainsi, si aucune règle n’autorise un type particulier de trafic, le pare-feu le refuse. Cette approche du refus par défaut est bien plus sûre que d’autoriser tout le trafic et de bloquer les exceptions, car un oubli de règle entraîne un échec sécurisé plutôt qu’une ouverture exposée.

Les pare-feu les plus simples effectuent un filtrage de paquets sans état : ils évaluent chaque paquet séparément à partir de champs d’en-tête tels que l’IP et le port, sans conserver de mémoire du trafic précédent. Le filtrage sans état est rapide, mais limité, car il ne peut pas déterminer si un paquet appartient à une conversation existante et légitime ou s’il s’agit d’une tentative non sollicitée d’intrusion.

Les pare-feu plus performants utilisent une inspection avec état et suivent l’état des connexions actives dans une table. Lorsque votre ordinateur commence une conversation, le pare-feu la mémorise et autorise automatiquement les réponses correspondantes, tout en bloquant le trafic entrant non sollicité qui ne fait pas partie d’une session connue. Les pare-feu avec état sont aujourd’hui la norme, car ils sont à la fois plus intelligents et plus sécurisés que les pare-feu sans état.

Un pare-feu de nouvelle génération (NGFW) va plus loin en inspectant le trafic au niveau de l’application. Il peut identifier des applications précises, filtrer selon l’utilisateur, bloquer les logiciels malveillants et inclure des fonctions de prévention des intrusions. Les NGFW ne voient pas seulement les ports et les adresses IP, mais aussi la nature réelle du trafic, ce qui permet un contrôle précis : autoriser la navigation sur le Web tout en bloquant une application à risque utilisant le même port.

Les pare-feu peuvent être déployés de deux façons :

• Pare-feu réseau — protège un réseau entier à sa frontière, souvent au moyen d’une appliance dédiée.
• Pare-feu hôte — logiciel installé sur un seul appareil, comme le pare-feu intégré à Windows ou Linux.

Utiliser les deux fournit une protection en profondeur : le pare-feu réseau protège le périmètre, tandis que les pare-feu hôtes protègent chaque appareil individuellement.

Les pare-feu sont placés aux frontières de confiance, notamment entre le réseau interne et Internet. Une conception courante utilise une DMZ (zone démilitarisée), un réseau tampon destiné aux serveurs accessibles au public, comme les serveurs Web ou de messagerie, séparé du LAN interne par des règles de pare-feu. Ainsi, même si un serveur public est compromis, le réseau interne reste protégé par une couche supplémentaire.

Les pare-feu assurent de nombreuses fonctions de sécurité :

• Bloquer les connexions entrantes non sollicitées depuis Internet.
• Restreindre le trafic sortant aux services approuvés.
• Segmenter les zones internes les unes des autres.
• Journaliser le trafic à des fins de surveillance et de réponse aux incidents.

Ensemble, ces fonctions font du pare-feu un élément central de l’application de la politique de sécurité d’une organisation.

Les pare-feu sont souvent associés à des systèmes de détection. Un IDS (système de détection des intrusions) surveille le trafic et signale les activités suspectes, mais ne les bloque pas. Un IPS (système de prévention des intrusions) est placé en ligne et peut bloquer activement les menaces détectées. Un pare-feu applique des règles d’autorisation et de refus, tandis que les IDS/IPS recherchent des schémas d’attaque dans le trafic autorisé. Les NGFW modernes intègrent souvent une fonction IPS, combinant le contrôle d’accès et le blocage des menaces.

Pour l’examen, sachez qu’un pare-feu autorise ou refuse le trafic selon des règles fondées sur l’IP, le port et le protocole, applique le refus implicite et peut être sans état ou avec état, les NGFW ajoutant la connaissance des applications. Comprenez la différence entre les pare-feu réseau et hôte, ainsi que le rôle d’une DMZ pour les serveurs publics. Le pare-feu est le gardien qui contrôle le trafic pouvant franchir une frontière réseau.

Vérifiez vos connaissances sur les pare-feu.

Vous avez appris qu’un pare-feu autorise ou refuse le trafic selon un ensemble de règles fondées sur l’IP, le port et le protocole, le refus implicite bloquant tout ce qui n’est pas autorisé. Les filtres sans état évaluent chaque paquet séparément ; les pare-feu avec état suivent les connexions et autorisent les réponses légitimes, ce qui en fait la norme. Les NGFW ajoutent la connaissance de la couche application et la prévention des intrusions. Les pare-feu se présentent sous forme d’appliances réseau ou de logiciels hôtes, sont placés aux frontières de confiance et utilisent une DMZ pour isoler les serveurs accessibles au public.