Le Firewall

Découvrez comment sécuriser

votre réseau des attaques
extérieures
À quoi sert un firewall ?

1) Un domaine à protéger : un réseau ‘interne’.

■ Un réseau d’entreprise/personnel que l’on veut protéger

■ Vis à vis d’un réseau “externe” d'où des intrus sont susceptibles de
conduire des attaques.
A quoi sert un firewall ?

2) Un pare-feu

■ Installé en un point de passage obligatoire entre le réseau à protéger

(interne) et un réseau non sécuritaire (externe).

■ C’est un ensemble de différents composants matériels et logiciels qui

contrôlent le trafic intérieur/extérieur selon une politique de sécurité.

■ Le pare-feu comporte assez souvent un seul logiciel, mais on peut avoir

aussi un ensemble complexe comportant plusieurs filtres, plusieurs
passerelles, plusieurs sous réseaux
Comment marche un firewall ?

3) Technique employée : le contrôle d’accès (le filtrage).

■ a) Notion de guichet : restriction de passage en un point précis et contrôle

des requêtes.

■ b) Notion d’éloignement : empêcher un attaquant d’entrer dans un réseau

protégé ou même de s’approcher de trop prés de machines sensibles.

■ c) Notion de confinement : empêcher les utilisateurs internes de sortir du

domaine protégé sauf par un point précis.

■ d) Généralement un pare-feu concerne les couches basses Internet

(IP/TCP/UDP), mais aussi la couche application (HTTP, FTP, SMTP…. ).
 Être un point de contrôle
central
Limite le nombre de contrôle de

Ce que peut faire

sécurité logiciel et matériel

Appliquer une politique de

un firewall contrôle d’accès

Appelé aussi “ACL”

Enregistrer le trafic
Pour analyser ou contrôler
 Protéger contre l’intérieur
Les utilisateurs peuvent
toujours passer outre !

Protéger le réseau d’un

Ce que ne peut trafic qui ne passe pas par

lui

pas faire un
Dans le cas d’un modem annexe
par exemple

firewall
Se configurer tout seul
Une intervention humaine est
nécessaire

Protéger des virus

Modes de configuration
Tout interdire par défaut

● Tout ce qui n’est pas explicitement autorisé est interdit

Comment mettre en oeuvre cette politique ?

1- Analyser des services utilisés (serveur web, mail)

2- Définir les droits à donner

Avantage : Solution sécuritaire la plus recommandée et

utilisée
Tout autoriser par défaut

● Tout ce qui n’est pas explicitement interdit est autorisé

Comment mettre en oeuvre cette politique ?

1- On analyse les différents risques liés aux applications

2- On en déduit les interdictions à appliquer

Cette solution est inconfortable pour les admin système

Outils des firewall
Filtre de paquets et segments

Concerne le trafic échangé aux niveaux IP (Les paquets) et

TCP/UDP (Les segments)

Possibilité de créer des règles autorisant ou refusant un

transfert combinant les infos disponibles : adresses
sources, destination, …

C’est une solution peu coûteuse et simple mais n’agit qu’aux

niveaux 3 et 4 (Transport et Internet/Réseau)
Le screening router
Le filtre proxy

Analyse le trafic échangé au niveau applicatif et applique

une politique de sécurité pour chaque application

Un serveur proxy est nécessaire pour chaque protocole

applicatif, il faut interpréter les messages différemment
pour chaque protocoles

Contrôle les droits de chaque utilisateurs

Solution qui cible de manière chirurgicale mais coûteuse car

on doit définir des droits complexes
Hôte à double réseau

Solution dite “Dual homed host”

L’hôte possède au moins deux interfaces réseaux qui

interconnecte au moins deux réseaux

C’est un proxy incontournable car si un hôte connecte deux

sous réseaux et si le routage est désactivé, un paquet ne
peut pas passer d’un réseau à un autre sans être traité sur
la couche applicatif, il est cependant vulnérable point de
vue gestion de comptes
Le bastion

C’est un hôte dit “exposé”, il constitue un point de contact

entre le réseau externe et interne

C’est un serveur pour un ensemble de services (HTTP, DNS) il

peut relayer les requêtes vers d’autres serveurs après avoir
effectué un contrôle d’accès

Un bastion peut servir d’appât dans la détection d’intrusion

et piéger un attaquant
Le bastion schématisé
La Zone Démilitarisée (DMZ)

Une DMZ est souvent situé sur un sous-réseau entre internet

et les utilisateurs et souvent entre deux routeurs
filtrants. Elle propose le stockage de ressources ou
services qui bénéficient d’un accès limité au LAN,
garantissant leurs visibilité depuis internet mais pas sur
le LAN interne. On peut coupler une DMZ et un bastion, mais
la solution est coûteuse
La Zone Démilitarisée (DMZ) schématisée
 Réalisation

Identifiez les principaux services internet à

contrôler !