Tape les ACL et commandes sans regarder, puis compare. Pour les autres questions, réponds avant d’ouvrir : c’est l’effort de rappel qui fait retenir.
Rappel actif
Restitue de mémoire, sans support.
Donne les cinq étapes de la méthodologie de mise en place d’un firewall logiciel, dans l’ordre.
- Rédiger la politique de sécurité (description textuelle).
- Installer l’application firewall.
- Configurer l’application.
- Traduire la politique en ACL (règles de contrôle d’accès).
- Mettre à jour et relancer pour déployer l’ACL.
Les types de filtrage dépendent des couches OSI. Associe chaque type à sa couche : filtrage de paquets, circuit level gateway, application level (proxy), SMLI.
- Filtrage de paquets : couche réseau (IP, couche 3).
- Circuit level gateway : couche session / transport (TCP, suit le handshake).
- Application level (proxy) : couche application (couche 7).
- SMLI : multicouches, combine réseau, session et applicatif.
Cite trois choses qu’un firewall ne peut pas faire, selon le récapitulatif du cours.
Au choix parmi : ne prévient pas des backdoors, ne protège pas de certaines menaces internes, n’est pas une alternative à l’antivirus, ne prévient pas l’ingénierie sociale, ni la mauvaise utilisation des mots de passe.
Écris-le
Rédige la requête, la configuration ou le code, puis compare avec la réponse.
Traduis cette politique en ACL ordonnée : (1) bloquer toute connexion du réseau interne
193.1.1.0vers10.1.1.1; (2) n’autoriser que le HTTP (TCP 80) depuis193.1.1.0; (3) accepter de l’extérieur seulement le trafic web en réponse à une connexion déjà initiée ; (4) interdiction par défaut. Pourquoi l’ordre compte-t-il ?1. deny src 193.1.1.0/24 dst 10.1.1.1 any 2. allow src 193.1.1.0/24 dst any tcp/80 3. allow src any dst 193.1.1.0/24 tcp established (réponses web) 4. deny any any any (défaut)L’ordre compte car un firewall applique la première règle qui correspond. La règle 1 (bloquer vers
10.1.1.1) doit passer avant la règle 2, sinon un HTTP vers10.1.1.1serait autorisé par la règle 2.Décris en trois règles la configuration d’accès d’une DMZ (interne, externe, DMZ).
- Internes et externes peuvent se connecter à la DMZ.
- Les hôtes de la DMZ peuvent se connecter aux réseaux externes.
- Les hôtes de la DMZ ne peuvent pas se connecter aux réseaux internes.
Ainsi, si un serveur public de la DMZ est compromis, l’attaquant ne rebondit pas vers le LAN.
Distingue
Deux notions proches : dis ce qui les sépare vraiment.
Politique « interdire tout par défaut » et « autoriser tout par défaut » : principe de chacune, et laquelle le cours recommande-t-il ?
- Interdire par défaut : tout ce qui n’est pas explicitement autorisé est interdit. On liste les services à ouvrir.
- Autoriser par défaut : tout ce qui n’est pas explicitement interdit est autorisé. On liste les risques à bloquer.
Recommandée : interdire par défaut, plus sûre (un service oublié reste fermé, pas ouvert).
denyetdrop: qu’est-ce qui change pour l’émetteur ?deny(reject) bloque et avertit l’émetteur (par exemple un paquet de refus).dropjette le paquet sans rien renvoyer : l’émetteur ne sait pas si l’hôte existe, ce qui gêne la reconnaissance.Filtrage de paquets sans état et inspection avec état (SMLI) : lequel suit les sessions, et pourquoi est-ce plus sûr ?
Le filtrage sans état juge chaque paquet isolément (IP, port, protocole). Le SMLI garde l’état des sessions : il sait qu’un paquet entrant répond bien à une connexion initiée de l’intérieur. Plus sûr, car un paquet forgé qui ne correspond à aucune session connue est rejeté, ce que le sans-état laisserait passer s’il respecte les critères.
WAF host-based et cloud-based : avantage et inconvénient de chacun.
- Host-based (intégré au serveur) : moins coûteux, mais consomme les ressources du serveur protégé.
- Cloud-based (service tiers) : facile à déployer, sans matériel, mais latence supplémentaire et les données transitent par le fournisseur.
Pare-feu traditionnel et NGFW : qu’ajoute le second ?
Le NGFW combine le pare-feu classique avec de l’inspection approfondie des paquets (DPI), un IPS, l’inspection du trafic chiffré TLS/SSL, le filtrage web, la QoS, l’anti-malware et l’intégration de l’identité (LDAP, RADIUS, Active Directory). Il voit la couche applicative et l’utilisateur, pas seulement l’adresse et le port.
Explique pourquoi
Le mécanisme derrière la règle.
Pourquoi place-t-on les serveurs web, mail et DNS publics dans une DMZ plutôt que sur le LAN ?
Ils doivent être accessibles depuis Internet, donc exposés. En DMZ, isolés par le firewall, ils restent joignables de l’extérieur sans donner accès au LAN : un serveur public compromis ne permet pas d’atteindre les ressources internes, car la DMZ ne peut pas se connecter au réseau interne.
Pourquoi un proxy applicatif protège-t-il mieux le poste utilisateur qu’un simple filtrage de paquets ?
Le proxy s’interpose au niveau applicatif : c’est lui qui fait la requête vers Internet, le poste n’est jamais en contact direct. Une attaque viserait donc le proxy, pas le poste. Il peut aussi filtrer des commandes précises (HTTP-GET, HTTP-POST), journaliser par utilisateur et servir d’IDS, ce que le filtrage de paquets (qui ne voit qu’IP/port) ne fait pas.
Pourquoi un firewall ne remplace-t-il ni l’antivirus ni la formation des utilisateurs ?
Le firewall filtre le trafic réseau entre zones. Il ne voit pas un malware déjà présent sur un poste (antivirus), ni une backdoor, ni surtout l’ingénierie sociale et les mauvais usages de mots de passe, qui passent par l’humain. La sécurité est en couches : le firewall n’en est qu’une.
Cas pratique
Choisis et justifie avec les critères du cours.
Une PME a un site web public, une messagerie publique et un réseau interne de postes de travail. Propose une architecture firewall, en disant ce qui va en DMZ et ce qui reste en LAN.
Un firewall (idéalement multi-homed, trois interfaces : WAN, DMZ, LAN).
- DMZ : serveur web et serveur mail (accessibles d’Internet).
- LAN : postes de travail, serveurs de fichiers internes (aucun accès direct depuis Internet).
Règles : Internet → DMZ autorisé sur les ports des services ; DMZ → LAN interdit ; LAN → Internet autorisé (via le firewall en NAT).
L’administrateur configure un firewall « autoriser tout par défaut » et bloque seulement Telnet et NFS. Quels sont les risques, et que recommandes-tu ?
Tout service non listé reste ouvert : un service installé par erreur, un port de debug, une nouvelle application exposée passent sans contrôle. C’est la politique la moins sûre.
Recommandation : passer en interdire tout par défaut, puis ouvrir explicitement les seuls services nécessaires (web, mail…). Un oubli ferme un service au lieu de l’exposer.
Classe
Range chaque élément et explique les cas limites.
Range chaque topologie : bastion host, screened subnet (DMZ), multi-homed firewall. (a) trois interfaces pour subdiviser selon des objectifs de sécurité ; (b) une interface publique sur Internet et une privée sur l’Intranet, passerelle applicative ; (c) une zone d’hôtes offrant des services publics, isolée du privé.
(a) multi-homed firewall ; (b) bastion host ; (c) screened subnet (DMZ).
Pour chaque fonction, dis si elle relève du filtrage/sécurité ou d’un service réseau complémentaire : NA(P)T, journalisation, segmentation en VLAN, filtrage par port, VPN IPSec, authentification des utilisateurs.
- Sécurité / filtrage : filtrage par port, authentification, journalisation.
- Service réseau complémentaire : NA(P)T (traduction d’adresses), segmentation VLAN, VPN IPSec.
Les firewalls modernes assurent souvent les deux.
Et si...
Prévois la conséquence.
Et si, dans l’ACL de l’exemple, on plaçait la règle « autoriser HTTP depuis 193.1.1.0 » avant la règle « bloquer vers 10.1.1.1 » ?
Un paquet HTTP du réseau interne vers
10.1.1.1correspondrait d’abord à la règle d’autorisation et serait laissé passer : la règle de blocage, placée après, ne serait jamais atteinte pour ce cas. L’interdiction spécifique doit précéder l’autorisation générale.Et si un attaquant obtient un compte sur un serveur de la DMZ bien configurée ? Peut-il atteindre le LAN ?
Non, pas directement : la règle « DMZ ne peut pas se connecter au réseau interne » le bloque. Il peut agir sur la DMZ et vers Internet, mais le LAN reste hors d’atteinte tant que la segmentation tient. C’est tout l’intérêt de la DMZ : contenir la compromission.