Une adresse publique telle que 203.0.113.10 suscite des tentatives de connexion, que le petit bureau ait ou non l’intention de publier un service. En l’absence de politique de pare-feu, il suffit à un attaquant sur Internet de connaître l’adresse et de disposer d’un chemin d’accès ouvert pour atteindre les services exposés, rechercher des failles de configuration ou envoyer du trafic vers les réseaux internes. Un pare-feu est le dispositif de périmètre qui compare chaque tentative de connexion à un ensemble de règles pour autoriser ou bloquer le trafic. Dans notre laboratoire, la première mesure de sécurité est simple : autoriser uniquement la connexion web publique destinée au serveur Web (à l’adresse 192.168.40.10) et refuser tout autre trafic Internet non sollicité. Dressons la cartographie des réseaux que cette décision doit protéger :
Ce schéma définit les adresses et les rôles pour toutes les tables de règles ultérieures. Le pare-feu utilise l’adresse se terminant par « .1 » sur chaque réseau interne, tandis que 203.0.113.10 est son adresse côté Internet. PC1 appartient au réseau des utilisateurs, Guest1 à un réseau invités isolé, et AdminPC est la seule station de travail autorisée à administrer le pare-feu. Le serveur web est situé dans la DMZ, un réseau distinct destiné aux services qui doivent accepter un trafic Internet limité sans pour autant offrir aux clients Internet un accès au réseau des serveurs.
Un attaquant atteignant l’interface WAN ne doit jamais pouvoir accéder à File (à l’adresse 192.168.20.20) ni au serveur d’annuaire et DNS (à l’adresse 192.168.20.10). La séparation de ces systèmes en VLAN crée des frontières, mais les VLAN ne déterminent pas à eux seuls quels paquets peuvent les traverser. C’est le pare-feu qui prend cette décision grâce à des règles explicites entre les réseaux.
Règle de délimitation Un segment réseau ne protège un système que si le pare-feu rejette le trafic ne répondant à aucun besoin métier défini.
Les cinq flux de trafic récurrents du laboratoire nous fournissent des tests concrets pour chaque type de pare-feu et chaque ensemble de règles. Guest1 a besoin de la résolution DNS pour accéder à Internet, mais un appareil invité n’a aucune raison métier d’ouvrir une connexion de partage de fichiers Windows vers File sur le port TCP 445. À l’inverse, PC1 peut avoir besoin de cette connexion de partage de fichiers. Internet peut accéder au serveur web de la DMZ sur le port TCP 443, alors que seul AdminPC doit pouvoir accéder à la page d’administration du pare-feu sur le port TCP 443.
Un pare-feu à filtrage de paquets prend ses décisions en fonction des champs visibles dans un paquet, tels que l’adresse source, l’adresse de destination, le protocole et le port. Une règle peut autoriser le port UDP 53 depuis Guest1 vers 8.8.8.8, ou interdire le port TCP 445 depuis le réseau invités vers le réseau des serveurs. Le filtrage de paquets est rapide et utile, mais un paquet pris isolément ne permet pas de savoir s’il appartient à une connexion légitime établie précédemment.
Un pare-feu à inspection dynamique (stateful) enregistre les connexions actives dans une table d’état. Lorsque PC1 initie une connexion de partage de fichiers autorisée vers File, le pare-feu à inspection dynamique autorise les paquets de retour car ils correspondent à cette connexion enregistrée. Un paquet non sollicité provenant d’Internet ne correspond à aucun état existant ; le pare-feu peut donc le rejeter, à moins qu’une règle n’autorise spécifiquement cette nouvelle connexion. Ce comportement évite d’avoir recours à une règle trop large et dangereuse qui autoriserait tout trafic semblant correspondre à une réponse, quelle que soit sa provenance.
Un pare-feu sensible aux applications peut examiner des informations situées au-delà des simples ports et adresses, comme une requête HTTP ou une demande DNS. Un pare-feu de nouvelle génération associe généralement l’inspection avec suivi d’état (stateful inspection) à l’inspection applicative et à la détection des menaces. Une inspection plus approfondie ne dispense pas pour autant de définir des limites claires. Le pare-feu doit d’abord déterminer que la zone « Internet » est autorisée à contacter la zone « Web » via HTTPS ; l’inspection permet ensuite d’identifier le trafic qui s’écarte de l’usage prévu pour ce canal autorisé.
Parmi les cinq flux, lesquels doivent franchir une limite et lesquels doivent être arrêtés par le pare-feu ? Le tableau ci-dessous récapitule la décision attendue ainsi que les motifs du rejet :