1. Pourquoi un firewall
De nos jours, toutes les entreprises possédant un réseau local possèdent aussi un accès à
Internet, afin d'accéder à la manne d'information disponible sur le réseau des réseaux, et de
pouvoir communiquer avec l'extérieur. Cette ouverture vers l'extérieur est indispensable... et
dangereuse en même temps. Ouvrir l'entreprise vers le monde signifie aussi laisser place
ouverte aux étrangers pour essayer de pénétrer le réseau local de l'entreprise, et y accomplir
des actions douteuses, parfois gratuites, de destruction, vol d'informations confidentielles, ...
Les mobiles sont nombreux et dangereux.
Pour parer à ces attaques, une architecture sécurisée est nécessaire. Pour cela, le cœur d'une
telle architecture est basé sur un firewall. Cet outil a pour but de sécuriser au maximum le
réseau local de l'entreprise, de détecter les tentatives d'intrusion et d'y parer au mieux
possible. Cela représente une sécurité supplémentaire rendant le réseau ouvert sur Internet
beaucoup plus sûr. De plus, il peut permettre de restreindre l'accès interne vers l'extérieur. En
effet, des employés peuvent s'adonner à des activités que l'entreprise ne cautionne pas, le
meilleur exemple étant le jeu en ligne. En plaçant un firewall limitant ou interdisant l'accès à
ces services, l'entreprise peut donc avoir un contrôle sur les activités se déroulant dans son
enceinte.
Le firewall propose donc un véritable contrôle sur le trafic réseau de l'entreprise. Il permet
d'analyser, de sécuriser et de gérer le trafic réseau, et ainsi d'utiliser le réseau de la façon pour
laquelle il a été prévu et sans l'encombrer avec des activités inutiles, et d'empêcher une
personne sans autorisation d'accéder à ce réseau de données.
2. Les différents types de filtrages
2.1. Le filtrage simple de paquet (Stateless)
2.1.1. Le principe
C'est la méthode de filtrage la plus simple, elle opère au niveau de la couche réseau et
transport du modèle OSI. La plupart des routeurs d'aujourd'hui permettent d'effectuer du
filtrage simple de paquet. Cela consiste à accorder ou refuser le passage de paquet d'un réseau
à un autre en se basant sur :
- L'adresse IP Source/Destination.
- Le numéro de port Source/Destination.
- Et bien sur le protocole de niveaux 3 ou 4.
Cela nécessite de configurer le Firewall ou le routeur par des règles de filtrages, généralement
appelées des ACL (Access Control Lists).
2.1.2. Les limites
Le premier problème vient du fait que l'administrateur réseau est rapidement contraint à
autoriser un trop grand nombre d'accès, pour que le Firewall offre une réelle protection. Par
exemple, pour autoriser les connexions à Internet à partir du réseau privé, l'administrateur
devra accepter toutes les connexions TCP provenant de l'Internet avec un port supérieur à
1024. Ce qui laisse beaucoup de choix à un éventuel pirate.
Il est à noter que de définir des ACL sur des routeurs haut de gamme - c'est à dire,
supportant un débit important - n'est pas sans répercussion sur le débit lui-même. Enfin, ce
type de filtrage ne résiste pas à certaines attaques de type IP Spoofing / IP Flooding, la
mutilation de paquet, ou encore certaines attaques de type DoS. Ceci est vrai sauf dans le
cadre des routeurs fonctionnant en mode distribué. Ceci permettant de gérer les Acl
directement sur les interfaces sans remonter à la carte de traitement central. Les performances
impactées par les ACL sont alors quasi nulles.
2.2. Le filtrage de paquet avec état (Stateful)
2.2.1. Le Principe
L'amélioration par rapport au filtrage simple, est la conservation de la trace des
sessions et des connexions dans des tables d'états internes au Firewall. Le Firewall prend alors
ses décisions en fonction des états de connexions, et peut réagir dans le cas de situations
protocolaires anormales. Ce filtrage permet aussi de se protéger face à certains types
d'attaques DoS.
Dans l'exemple précédent sur les connexions Internet, on va autoriser l'établissement
des connexions à la demande, ce qui signifie que l'on aura plus besoin de garder tous les ports
supérieurs à 1024 ouverts. Pour les protocoles UDP et ICMP, il n'y a pas de mode connecté.
La solution consiste à autoriser pendant un certain délai les réponses légitimes aux paquets
envoyés. Les paquets ICMP sont normalement bloqués par le Firewall, qui doit en garder les
traces. Cependant, il n'est pas nécessaire de bloquer les paquets ICMP de type 3 (destination
inaccessible) et 4 (ralentissement de la source) qui ne sont pas utilisables par un attaquant. On
peut donc choisir de les laisser passer, suite à l'échec d'une connexion TCP ou après l'envoi
d'un paquet UDP.
Related Posts
Tambahkan Komentar Sembunyikan