Un pare-feu dans un système informatique

50 0 0 0

Le terme «pare-feu» évoque l'image d'un mur solide dans un bâtiment, qui empêche un incendie de se propager d'une partie du bâtiment à une autre. Parfois, il est compris comme un "mur de feu" bloquant l'entrée.


Imaginez un réseau local comme un bâtiment dont la taille est proportionnelle à la taille et à la capacité du réseau informatique. Le bâtiment a ses bureaux - postes de travail, magasins et salles d’archives - serveurs, couloirs reliant divers segments du bâtiment - routeurs, la guérite - la zone démilitarisée (DMZ). Lors de la mise en œuvre d'un système défensif pour la sécurité des bâtiments, le concepteur doit planifier à l'avance l'emplacement des pare-feu afin qu'ils puissent bloquer un incendie et protéger autant que possible la structure du bâtiment. Il est évident que tous les murs du bâtiment pourraient être construits avec une technologie pare-feu, mais les coûts engendrés seraient amplifiés de manière disproportionnée. Par conséquent, lorsqu’il envisage de déployer un pare-feu, le concepteur doit bien répondre à la question suivante: «D’où proviendrait une menace pour mon système et pour quelles raisons?» Une fois que les lieux d’origine potentielle de l’incendie ont été déterminés, le concepteur peut essayer de faire une mise en page de pare-feu. Les similitudes s'arrêtent là cependant. Le concepteur d'un bâtiment peut s'affranchir de la crainte qu'un employé mécontent ne déclenche un incendie dans le bureau en utilisant les meubles, tandis que le concepteur de pare-feu devra prendre en compte de tels événements.


De nombreux utilisateurs bénéficiant de la protection d'un pare-feu peuvent penser que leurs systèmes sont sûrs, car le pare-feu se situe entre le réseau local et le réseau public. C'est une pensée risquée; parce que les pare-feu ne concernent que la sécurité de périmètre (même ceux dotés de «vraies» fonctionnalités de pare-feu) et qu’une fois contournés, ils offrent peu ou pas de sécurité. Un pare-feu basé sur une philosophie «mieux que rien» comporte un risque considérable qui peut donner un faux sentiment de sécurité. Si vous envisagez de mettre en place un «véritable» pare-feu, n'oubliez pas qu'une politique de sécurité cohérente doit être définie à l'avance - et que cela ne concerne pas la méthodologie d'élaboration, mais son essence. La stratégie de sécurité doit déterminer comment les communications de base se dérouleront au niveau du pare-feu, à quel endroit le pare-feu doit être installé et comment le configurer. La politique de sécurité doit également définir si plus d'un pare-feu est requis (ou peut-être même si un pare-feu serait inutile) et quel devrait être le schéma de connectivité. Une fois installé, un pare-feu est un processus continu qui nécessite une vigilance, une maintenance, une vérification des journaux et une réponse constantes aux événements. L’incapacité de satisfaire à ces exigences, et parfois même aggravée par une administration inadéquate ou médiocre qui affaiblirait toute protection fournie par le meilleur pare-feu, le transformerait en une simple boîte électronique murmurant et clignotante, tout en ajoutant le danger de fournir l'illusion de sécurité qui peut éroder davantage le réseau privé lui-même.


Les pare-feu sont généralement mis en œuvre selon deux approches. La documentation sur les pare-feu regorge de théories qui catégorisent les pare-feu en tant que matériels et logiciels, mais rien dans une telle classification ne suggère de manière raisonnable un point de vue hiérarchique. Je pense au contraire qu’une classification moins discutable et plus appropriée consistera à utiliser les notions de plate-forme matérielle et système de pare-feu dédiée et non dédiée. Une telle approche de mise en œuvre peut devenir un facteur important dans le choix d’une solution de pare-feu, bien que la décision même soit prise directement par un administrateur système expérimenté et compétent ou par une personne qui installe le pare-feu. Un élément essentiel pour tout système d'application de pare-feu non dédié est une installation correcte du système d'exploitation sur lequel le pare-feu sera placé. Une «installation correcte» signifie que le système d’exploitation doit être «renforcé» de manière appropriée (c’est-à-dire configuré pour la sécurité) et, pour cette raison, aucun service dépassant le minimum requis ne peut être exécuté sur le système d’exploitation. Avec les plates-formes matérielles et logicielles de pare-feu dédiées, il est très probable qu'elles soient vendues avec leur protection minimale (sans frais généraux inutiles) intégrées par le fabricant et prêtes à être mises sous tension et configurées. Cela ne signifie toutefois pas que les solutions clés en main sont toujours meilleures que les applications propres non dédiées, car les produits commerciaux risquent de ne pas être exempts d’erreurs du fabricant et, en tant que tels, d’être plus difficiles à déboguer pour les outils non dédiés. Ainsi, dans ce cas, la gestion du pare-feu est également un problème critique, car l’administrateur du pare-feu doit non seulement savoir comment gérer un pare-feu, mais également comment le maintenir et le mettre à niveau pour des raisons de sécurité. Un autre facteur important à prendre en compte lors de la mise en place d'un pare-feu est la capacité réduite des nœuds de réseau clés. Une fois en place, c’est-à-dire dans un réseau privé, un pare-feu apparaît comme une source de problèmes et de préoccupations constants quant à son bon fonctionnement. Et ce serait effectivement le cas si un pare-feu a été acheté et mis en place pour de mauvaises raisons, sans comprendre son rôle dans l'infrastructure d'un réseau privé. Une mise en garde importante à retenir: vous ne pouvez pas utiliser n'importe quel pare-feu.


Avantages et risques


Un pare-feu est principalement utilisé pour protéger la limite du réseau interne d’une organisation alors qu’il est connecté à d’autres réseaux (par exemple, à Internet). Comme je l’ai déjà mentionné, l’idée fausse habituelle est d’utiliser des routeurs de périmètre pour jouer ce rôle. Au minimum, les routeurs de périmètre peuvent être utilisés de deux manières: soit sans règles de filtrage de paquets impliquées, soit en utilisant une solution de routeur de filtrage IP (le plus souvent avec un NAT dynamique) en passant ou en bloquant de manière sélective les paquets de données en fonction d'informations de port ou d'adresses acceptables par la politique de sécurité. Bien entendu, un pare-feu doit toujours être situé à côté du routeur. Certaines solutions pratiques à cela sont illustrées aux figures 1 et 2 ci-dessous.


http://www.windowsecurity.com/uplarticle/Miejsce_firewalla_rys1.gif


http://www.windowsecurity.com/uplarticle/Miejsce_firewalla_rys2.gif


Dans ces exemples, un routeur de périmètre contrôle le trafic au niveau IP. Je pense que cet appareil devrait être considéré comme la première (mais pas la seule) ligne de défense protégeant un réseau privé. Lors de la mise en œuvre du mécanisme de filtrage des paquets, il est judicieux d'exécuter ce service sur des routeurs de périmètre placés dans des réseaux privés (séparant deux réseaux), principalement pour bloquer les paquets indésirables accédant à d'autres réseaux locaux. Les critères utilisés dans les règles de filtrage pour déterminer la disposition des paquets (accepter ou rejeter) doivent être cohérents avec la stratégie de sécurité spécifique et ne pas être établis à la discrétion de l'administrateur système. Dans chacune des figures, il existe une zone isolée appelée zone démilitarisée (DMZ) qui désigne une zone démilitarisée. Une DMZ au sens informatique est une interface qui permet au concepteur de réseau d’établir différentes règles d’accès pour les deux réseaux, séparées par une DMZ, pour une meilleure sécurité. Deuxièmement, l’implication d’une zone démilitarisée est claire; Un compromis acceptable, c’est qu’il serait préférable d’avoir une machine plus "attrayante" comme une cible piratée, pour emple, le serveur Web, qui peut être ré-assemblé en quelques minutes, au lieu d’avoir les postes de travail ou les serveurs locaux qui contiennent souvent les informations stratégiques d'une entreprise piratée. Il existe toutefois un inconvénient: avec une telle solution, car elle présente un défaut essentiel, à savoir le manque de séparation entre les serveurs et les stations de travail sur un réseau privé, les attaques internes sont plus susceptibles de se produire ou un intrus peut utiliser un système interne comme point de départ pour une attaque, par exemple, par courrier électronique. Pour éviter cela, les serveurs internes doivent être isolés par des zones internes supplémentaires protégées par un pare-feu (ou plusieurs pare-feu si nécessaire).


http://www.windowsecurity.com/uplarticle/Miejsce_firewalla_rys3.gif


Toutefois, ces solutions sont rarement utilisées en raison d'un faible ratio coûts / avantages. Pour que les serveurs des réseaux privés fonctionnent efficacement, ils doivent être correctement protégés, tandis qu'une politique de sécurité cohérente devrait rendre impossible l'accès aux zones protégées par des utilisateurs non autorisés. En outre, toute tentative d'intrusion dans un réseau privé pourrait être simplement détectée et restreinte par des mesures administratives et juridiques. L'approche décrite ci-dessus semble être un moyen raisonnable de séparer et d'isoler les différents services internes d'une grande organisation afin de permettre à emple «d'isoler» un centre de recherche afin d'éviter que les résultats de la recherche ne soient capturés par des concurrents. ou dans les grands réseaux privés tels que les réseaux universitaires et d'entreprise. Ici, l'approche est basée sur la séparation physique des limites du réseau. La figure 4 ci-dessous illustre un exemple de ce type de réseau.


http://www.windowsecurity.com/uplarticle/Miejsce_firewalla_rys4.gif


Les R1 et R2 sont des routeurs de périmètre d'un réseau privé. J'estime que l'objectif ici devrait être de répartir les tâches entre différents périphériques (selon la philosophie: "moins de composants, moins de risques de dommages"), disons, le filtre de paquets initial peut être créé uniquement sur le routeur de périmètre. , que d'autres dispositions de protection aient déjà été mises en œuvre ou non. En outre, un NAT dynamique peut être jugé nécessaire pour s'asseoir sur cet appareil (bien que cela ne soit pas toujours réalisable). F1 - un pare-feu, qui établit les règles d'accès DMZ où les serveurs publics sont assis. F3 et F4 sont fournis à double usage. Tout d'abord, ils définissent un ensemble de règles qui contrôlent le trafic entre un réseau privé et un réseau public évoluant dans les deux sens. Ces pare-feu fournissent un support VPN pour les connexions interministérielles. Physiquement, il peut s'agir d'une paire de fils de cuivre, loués à un fournisseur de services Internet, d'une connexion sans fil ou de tout autre moyen. De plus, les frontières physiques entre les réseaux privés sont définies par ces pare-feu. Les pare-feu F2 et F5 remplissent des fonctions similaires au sein des réseaux locaux où ils ont été installés - ils établissent des règles d'accès au serveur interne devant être suivies par les sous-réseaux privés. De plus, le F2 doit éliminer le trafic inutile entre les sous-réseaux 1 et 2. Ces employés ne prétendent pas être des modèles à suivre pour la construction d'un réseau privé. Ce ne sont que quelques critères permettant d’évaluer le choix d’un pare-feu. La réalité est qu’il s’agit d’abord d’une décision de politique de sécurité, puis d’une implémentation de pare-feu (le cas échéant). Les solutions ci-dessus ne définissent toujours pas les types de pare-feu à installer sur un réseau. La sélection du type et des emplacements du pare-feu doit également être compatible avec une politique de sécurité complète. Enfin, l'avantage d'un pare-feu dépend d'un problème critique, commun à toutes les applications, qui peut compromettre la fiabilité du réseau dans son ensemble. En règle générale, ces solutions sont suffisantes mais pas toujours parfaites: si un réseau public ou un sous-réseau spécialement protégé cesse d'être accessible, même pendant un certain temps, l'application de pare-feu échoue. Pour éviter cela, les systèmes redondants sont utilisés en configurant ces systèmes de manière à ce qu'ils contrôlent tous simultanément le trafic entrant et le trafic sortant simultanément ou qu'ils reprennent leur activité après avoir reçu un message signalant une défaillance du système principal.


Solutions non conventionnelles - comment installer un piège de pare-feu simple


Une autre application spécialisée des pare-feu existe, qui est souvent présentée dans les médias mais avec peu de directives pratiques sur cette question. De nombreuses approches sont possibles. Le dessin ci-dessous n'est donc qu'un aperçu préliminaire d'une idée d'un tel système. Cela implique la construction d'un réseau de pièges protégé par un pare-feu. La théorie est qu'un pare-feu, pour être efficace, doit surveiller très attentivement tout le trafic entrant et sortant et reconfigurer les règles de la politique d'accès en temps réel.


http://www.windowsecurity.com/uplarticle/Miejsce_firewalla_rys5.gif


Supposons qu'un utilisateur tente d'accéder au site Web de l'entreprise. Comme aucune intention malveillante n'est détectée, une connexion est établie. Si un intrus essayait d'accéder à une connexion similaire, il pourrait commencer par analyser l'espace d'adressage de la société. Un pare-feu en place détecte la tentative du pirate et redirige les paquets d’attaque vers un réseau de pièges, qui peut être construit, par exemple, en isolant une classe d’adresse séparée (privée) sur une interface de pare-feu libre, de sorte que le trafic dangereux transféré sur une autre interface réseau. Ainsi, l'intrus entre dans un serveur qui agit pour le compte du serveur Web de l'entreprise. Si l'intrus néglige de mener une attaque destructive pendant un certain temps, il reprendra probablement une attaque après un certain temps en essayant d'accéder au «vrai» serveur. toute opération de piratage aurait pour conséquence de le rediriger vers le serveur imitateur, mais les conséquences (empreintes de nombreux intrus) de son attaque ne seraient visibles que par lui et par l’administrateur système. La capacité du système de piège de pare-feu à rejouer les attaques stockées serait utilisée pour des analyses post mortem et médico-légales. Naturellement, c'était un exemple d'un piège très simple. Dans la figure, un périphérique désigné par IDS (Intrusion Detection System) peut, dans certaines circonstances, fonctionner de manière autonome et reconfigurer un pare-feu avec lequel il fonctionne conjointement. Et que se passe-t-il si un intrus commence immédiatement son attaque sans aucune tentative d'analyse, mais directement, en utilisant une technique d'exploitation (la plupart des pseudo-pirates l'utilisent, en fait)? Bien sûr, une telle attaque passerait par la passerelle réseau, car ici le trafic n’est pas émis au niveau de la couche application. Avec les pare-feu basés sur les couches inférieures, seul un outil IDS peut fournir une solution efficace qui pourra automatiquement reconfigurer la passerelle réseau, redirigeant ainsi le trafic vers le réseau de pièges.


Quelques conseils - réagir aux événements est une préoccupation vitale


Pas de réponse à un événement - inutile d'installer un pare-feu. Le dernier sujet que je voudrais aborder est une contre-mesure adéquate contre tout événement suspect. Je pense que ce problème implique directement le besoin d’administrateurs de systèmes informatiques compétents et expérimentés. Lorsque votre système de sécurité identifie une attaque, un peu de bon sens et de panique n'est pas recommandé. Un attaquant, une fois effrayé, est susceptible de pénétrer dans vos actifs la prochaine fois. Si les actions d’un intrus ne constituent pas une menace directe (par exemple, une analyse du réseau), ne les bloquez pas, mais essayez soigneusement de rassembler des informations sur l’attaquant et l’attaque (à d’autres fins). Une personne plus expérimentée peut préparer un segment de réseau isolé afin de mettre en place un piège pour l'analyse médico-légale et pour entreprendre des démarches juridiques contre l'intrus. Je pense que de nombreux administrateurs réagissent trop rapidement aux incidents, tandis que d'autres les ignorent, avec des conséquences peut-être encore pires.


Résumé - quel est le type de pare-feu recommandé ?


Lorsqu’il s’agit d’acquérir un pare-feu, il existe de nombreux choix sur le marché qui proposent des pare-feu tels que ceux qui garantissent une sécurité réseau maximale de 100% et qui sont en mesure de résoudre tout problème de sécurité que ses utilisateurs potentiels pourraient rencontrer. Il s’agit d’un produit de base typique du marketing «ringard», dans lequel les forces sont accentuées et les faiblesses supprimées. Lorsque vous souhaitez acheter la solution de pare-feu, déterminez si et comment le pare-feu prend en charge les services de sécurité dont vous pourriez avoir besoin. Le document de politique de sécurité répondra à ces questions. par conséquent, l'examen des questions de politique de sécurité est d'une importance capitale. En outre, le rôle de la politique de sécurité est d’indiquer si votre réseau a besoin d’un pare-feu et quel serait le rapport coût / bénéfice attendu lors de l’achat et / ou de l’installation d’un pare-feu. Une fois que vous avez sélectionné une solution clé en main ou un pare-feu basé sur une plate-forme matérielle et logicielle non dédiée, prévoyez un peu de temps pour déterminer qui configurera et renforcera votre système de manière appropriée pour la sécurité. Lorsque vous examinez les pare-feu, vous devez prendre en compte l’expérience de l’administrateur avec ces outils de sécurité. Un pare-feu est conçu pour être le seul point de trafic entrant et sortant du réseau qu’il protège, et devient ainsi un seul point de défaillance. Donc, il serait peut-être plus sûr de choisir un pare-feu qui représente votre idée intuitive de configuration, bien que moins adaptable, mais aussi avec moins de risque que des défauts soient exposés dans votre pare-feu du fait d’une expérience insuffisante dans ce domaine. Une bonne pratique consiste à configurer complètement votre produit avant de l'acheter - en utilisant même un morceau de papier - et à analyser tous les scénarios possibles. Si vous faites tout votre travail et posez les bonnes questions à l'avance, la mise en œuvre de votre pare-feu se déroulera de manière beaucoup plus sécurisée et fiable.



  • x
  • Standard:

Responder

envoyer
Connectez-vous pour répondre. Se connecter | Enregistrer

Remarque : Afin de protéger vos droits et intérêts légitimes, ceux de la communauté et des tiers, ne divulguez aucun contenu qui pourrait présenter des risques juridiques pour toutes les parties. Le contenu interdit comprend, sans toutefois s'y limiter, le contenu politiquement sensible, le contenu lié à la pornographie, aux jeux d'argent, à l'abus et au trafic de drogues, le contenu qui peut divulguer ou enfreindre la propriété intellectuelle d'autrui, y compris les secrets professionnels, les marques commerciales, les droits d'auteur et les brevets, ainsi que la vie privée personnelle. Ne partagez pas votre nom d'utilisateur ou votre mot de passe avec d'autres personnes. Toutes les opérations effectuées à partir de votre compte seront considérées comme vos propres actions, et toutes les conséquences en découlant vous seront imputées. Pour plus de détails, voir « Politique de confidentialité ».
Si le bouton de la pièce-jointe n'est pas disponible, mettez à jour Adobe Flash Player à la dernière version.

Connectez-vous pour participer à la communication et au partage

S'identifier
Réponse rapide Accéder au haut de page