L'ouverture des réseaux locaux sur internet, au départ source de meilleure communication, est devenue une porte ouverte aux dangers nombreux d'un système ouvert à tous :
Pour se protéger de ces dangers, on aura recours à un antivirus en réseau, des spywares et autres outils de protection sur les machines, mais surtout, d'une sécurité dès le point de passage entre le réseau local et le réseau extérieur.
On appelle Firewall, mur pare-feu ou filtre la fonction responsable de limiter les informations et actions réseau autorisées depuis ou vers l'extérieur.
Bien que souvent assimilés, le firewall est différent du proxy Ce dernier sert de mandataire : il agit pour les postes en son propre nom, masquant les adresses des postes vers l'extérieur
.
Le filtrage consiste à déterminer les machines autorisées à communiquer (adresses IP, adresses réseau, plages d'adresse, etc), les services que l'on peut laisser actifs, ce que l'on veut autoriser à entrer ou sortir. Le filtrage est la technique mise en place sous l'appellation Firewall ou Pare-feu.
Il faut bien distinguer :
Le principe de la définition d’une règle de filtrage est le suivant :
Une règle se présente sous la forme
| N° | Interface | IP Source | IP Destinataire | Port Source | Port Destinataire | Etat(1) | Action(2) |
|---|---|---|---|---|---|---|---|
(1) : optionnel : indique si la communication est déjà établie, s'il s'agit d'une demande nouvelle, etc.
(2) : autoriser, ignorer ou interdire
L'application du filtrage pour une trame parvenant sur un filtre se déroule selon les étapes suivantes :
Le filtrage est une démarche fastidieuse pour laquelle des outils pré-configurés ou des listes prêtes à l'emploi sont disponibles. Il peut porter sur tout ou partie des éléments du modèle OSI.
Première sécurité réelle, le filtrage IP repose sur les adresses de niveau 3, en en autorisant l’entrée où la sortie.
Il est ainsi possible :
Cette partie est très fastidieuse à mettre en place. Il faut en effet travailler sur les adresses IP, ce qui demande de bien maîtriser son réseau interne, mais aussi de connaître les IP de l'extérieur. Un administrateur n’aurait pas le temps d’étudier, par le biais des Ping et des fonctions DNS, une stratégie suffisamment permissive et sécurisée sur son firewall. Toutefois, on peut envisager une mise en place progressive, partant d’une restriction maximale et s’ouvrant au fur et à mesure ou, à l’inverse, initialement très ouverte et se fermant progressivement. Il sera donc plus facile de travailler directement sur les fonctions réseau de la couche application.
Cette sécurisation monte au niveau 4. Le protocole TCP (ainsi que son équivalent sans contrôle UDP) associe à chaque service de la couche Application un port d’écoute standardisé (FTP –> 21, HTTP –> 80,…). Il va alors être possible d’autoriser ou d’interdire, pour le réseau ou par machine l’utilisation de ces fonctionnalités. Les Firewall autorisent ce filtrage, ainsi que les options avancées de configuration des cartes réseau sous 2000/XP/2003/Vista/2008 (sécurité).
On pourra :
On trouvera, sous Windows, la liste des ports standards dans le fichier services présent dans winnt\system32\drivers\ et dans ce même fichier quelque part sous Linux.
Il s’agit d’effectuer les restrictions vues ci-avant, non plus à partir des adresses mais directement à partir de l’identification de l’utilisateur (soit définie auprès du Firewall, soit auprès du système d'annuaire de l’entreprise). On pourra limiter les plages horaires d’accès aux différents services.
Cette dernière restriction est sans doute la plus simple d’utilisation, mais pas forcément la plus sécurisée. Il s’agit d’autoriser la circulation des messages contenant tel mot, ou au contraire de les interdire :
Alors que cette technique semble simple, on se rend rapidement compte que faire la liste exhaustive de tous les mots que l’on souhaite interdire devient un travail titanesque, d'autant que les effets peuvent être inattendus lorsque le vocabulaire utilisé peut entraîner des contre-sens.
Des listes publiques permettent de disposer de sites autorisés (listes blanches) ou interdits (listes noires).
La mise en place d'un firewall vise à filtrer le trafic entrant et sortant d'un réseau, et de mettre éventuellement en place une zone intermédiaire (DMZ) accessible de l'extérieur et du réseau interne.
Il est possible d'ouvrir un espace intermédiaire entre l'interne et l'externe, en assurant un filtrage sur chacun des accès possible.
Ce sas de communication offre ainsi des services en direction de l'extérieur (Serveurs Web, accès des employés mobiles et distants, extranet…) et laisse aux utilisateurs du réseau local une possibilité d'accès à la fois aux informations de cet espace (pour l'extranet, pour l'échange avec les clients mobiles…) et à internet.
On parle d'une DeMilitarized Zone (DMZ) ou zone démilitarisée. Il existe différentes mises en œuvre pour réaliser une DMZ, basée sur un unique filtre, ou créant une véritable zone contenue entre deux filtres
Table de filtrage
Les règles de filtrage d'un filtre peuvent être documentées, pour chaque interface du filtre, dans un tableau de la forme suivante (d'autres formes existent) :
| Interface d'arrivée sur le filtre | ||||
|---|---|---|---|---|
| N° | IP Source* | IP Destination(1) | Port Serveur(2) | Action(3) |
(1) : on indiquera une adresse exacte, une plage d'adresses ou l'adresse d'un réseau
(2) : Numéro de port ou nom du protocole
(3) : Autoriser / Interdire
Le paramétrage dans le filtre devra s'adapter aux contraintes de l'interface ou de la syntaxe proposée par l'outil. Notamment, on peut trouver en plus :
Chaque matériel possède sa propre interface pour gérer le filtrage. Le firewall Zyxell fonctionne ainsi :
Les ports par défaut sont enregistrés dans des services connus par le nom du protocole (le port 80 correspond au service HTTP). On peut créer des « services » supplémentaires pour des ports non standards : par exemple, on créera un service MySQL correspondant au port 3306 utilisé par défaut par MySQL. On pourra ensuite définir dans les règles de trafic des autorisations ou interdictions pour ce service.