Le firewall tient compte de la séquence de paquets déjà échangés
Stateless
Le firewall autorise chaque paquet indépendamment des paquets précédents
FWNG - Fonctionnalités Avancées
DPI (Inspection Approfondie des Paquets)
IPS (Système de Prévention d’Intrusions)
IDS (Intrusion Detection System)
Filtrage d’applications
Contrôle d’accès basé sur l’identité
Nomenclature
NGFW (Next-Generation Firewall): Pare-feu avancé qui offre des fonctionnalités au-delà de la filtration traditionnelle, telles que l'inspection approfondie des paquets (DPI), la prévention des intrusions (IPS), et l'intégration avec d'autres systèmes de sécurité.
DPI (Deep Packet Inspection): Technologie qui examine en détail le contenu des paquets de données qui traversent le pare-feu pour identifier, classer ou bloquer le trafic spécifique.
IPS (Intrusion Prevention System): Dispositif de sécurité réseau qui surveille le trafic pour détecter et prévenir les attaques.
IDS (Intrusion Detection System): Système qui détecte les activités malveillantes sur le réseau, mais contrairement à l'IPS, il ne bloque pas le trafic.
VPN (Virtual Private Network): Réseau privé virtuel qui crée une connexion sécurisée sur Internet.
ACL (Access Control List): Liste de règles utilisée par les pare-feu pour déterminer le trafic à autoriser ou bloquer à travers une interface réseau.
NAT (Network Address Translation): Mécanisme qui modifie les adresses réseau IP dans les en-têtes de paquets IP lorsqu'ils traversent un dispositif de routage ou de pare-feu.
SD-WAN (Software-Defined Wide Area Network): Technologie qui utilise des méthodes logicielles pour gérer la connectivité sur un réseau étendu.
SIEM (Security Information and Event Management): Système qui offre une vue en temps réel de l'infrastructure de sécurité d'une organisation à travers la collecte et l'analyse des événements de sécurité.
UTM (Unified Threat Management) : Solution tout-en-un pour la sécurité réseau. Exemples de fournisseurs : Fortinet, Sophos, Check Point.
SOC (Security Operations Center) : Service de surveillance et de réponse aux incidents de sécurité. Exemples de plateformes SOC : AlienVault (AT&T Cybersecurity), SecureWorks, IBM Security Services.
SIEM (Security Information and Event Management) : Outils d'analyse de logs pour la sécurité. Solutions populaires : Splunk, IBM QRadar, LogRhythm.
EDR (Endpoint Detection and Response) : Sécurité des terminaux avec détection et réponse aux incidents. Solutions leaders : CrowdStrike Falcon, SentinelOne, Carbon Black (VMware).
NDR (Network Detection and Response) : Surveillance des menaces réseau. Exemples de produits : Darktrace, Vectra, Cisco Stealthwatch.
XDR (Extended Detection and Response) : Protection étendue contre les menaces. Exemples de fournisseurs : Palo Alto Networks Cortex XDR, Microsoft 365 Defender, Trend Micro XDR.
MDR (Managed Detection and Response) : Service de sécurité géré pour la détection et la réponse. Exemples de services : FireEye Managed Defense, Secureworks Taegis ManagedXDR, Arctic Wolf MDR.
SOAR (Security Orchestration, Automation, and Response): Technologie qui permet aux entreprises de collecter des données sur les menaces de sécurité et de répondre à celles-ci de manière automatisée. Exemples de services : Splunk Phantom, FortiSOAR, IBM Resilient, Cisco SecureX, Siemplify
`access-list [numéro] [deny|permit] [source]` : Pour les ACL standard.
`access-list [numéro] [deny|permit] [protocole] [source] [destination] [opérateur ports] [ports]` : Pour les ACL étendues.
Exemples simples :
Bloquer tout le trafic provenant d'une adresse IP spécifique avec une ACL standard :
`access-list 1 deny 192.168.1.100`
Autoriser le trafic HTTP vers un serveur spécifique avec une ACL étendue :
`access-list 101 permit tcp any host 192.168.1.10 eq 80`
Refuser le trafic ICMP (ping) pour tout le réseau :
`access-list 101 deny icmp any any`
Après avoir créé vos ACL, vous devez les appliquer à une interface avec :
`interface [type] [numéro]`
`ip access-group [numéro de l'ACL] in|out`
Exemple :
`interface GigabitEthernet0/0`
`ip access-group 101 in`
Cela applique l'ACL numéro 101 aux paquets entrants sur l'interface GigabitEthernet0/0.
Linux
IpTables
# Bloquer NetBIOS / SMB (ports 137-139, 445)
iptables -A INPUT -p tcp --match multiport --dports 137:139,445 -j DROP
iptables -A INPUT -p udp --match multiport --dports 137:139 -j DROP
# Bloquer Telnet (port 23)
iptables -A INPUT -p tcp --dport 23 -j DROP
# Bloquer Rsh/Rlogin/Rexec (ports 514, 513, 512)
iptables -A INPUT -p tcp --match multiport --dports 512:514 -j DROP
# Bloquer TFTP (port 69)
iptables -A INPUT -p udp --dport 69 -j DROP
# Bloquer LLMNR (port 5355)
iptables -A INPUT -p udp --dport 5355 -j DROP
# Bloquer mDNS (port 5353)
iptables -A INPUT -p udp --dport 5353 -j DROP
Nftables
Syntaxe de base de nftables :
`nft add table ip ma_table` : Crée une nouvelle table appelée 'ma_table' dans l'espace de noms IPv4.
`nft add chain ip ma_table ma_chaine { type filter hook input priority 0 \; }` : Ajoute une nouvelle chaîne à 'ma_table' pour filtrer les paquets entrants.
`nft add rule ip ma_table ma_chaine ip saddr 192.168.1.1 drop` : Ajoute une règle pour rejeter les paquets provenant de l'adresse IP 192.168.1.1.
Exemples simples :
Bloquer une adresse IP spécifique :
`nft add rule ip ma_table ma_chaine ip saddr 192.168.1.100 drop`
Autoriser le trafic HTTP :
`nft add rule ip ma_table ma_chaine tcp dport 80 accept`
Enregistrer les paquets rejetés dans les logs :
`nft add rule ip ma_table ma_chaine ip saddr 192.168.1.100 counter log drop`
Pour sauvegarder et charger la configuration de nftables, utilisez :
`nft list ruleset > /etc/nftables.conf` pour sauvegarder
`nft -f /etc/nftables.conf` pour charger la configuration au démarrage du système.
Firewall Audit Checklist
Collecte d'informations pré-audit :
Assurez-vous d'avoir des copies des politiques de sécurité
Vérifiez que vous avez accès à tous les journaux du pare-feu
Obtenez un schéma du réseau actuel
Révisez la documentation des audits précédents
Identifiez tous les FAI et VPN pertinents
Obtenez toutes les informations sur le fournisseur du pare-feu
Comprenez la configuration de tous les serveurs clés
Révisez le processus de gestion des changements :
Examinez les procédures de maintenance de la base de règles
Analysez le processus de changements du pare-feu
Déterminez si tous les changements précédents ont été autorisés
Audit de la sécurité physique et du système d'exploitation du pare-feu :
Assurez-vous que vos serveurs de gestion sont physiquement sécurisés
Vérifiez les procédures d'accès à ces emplacements restreints
Vérifiez que toutes les mises à jour du fournisseur ont été appliquées
Assurez-vous que le système d'exploitation passe les contrôles de durcissement communs
Évaluez les procédures d'administration de l'appareil
Optimisez votre base de règles :
Supprimez les règles redondantes
Supprimez ou désactivez les objets inutilisés
Évaluez l'ordre des règles du pare-feu pour la performance
Retirez les connexions inutilisées
Documentez les règles et les changements pour référence future
Conduisez une évaluation des risques :
Examinez les meilleures pratiques de l'industrie pour la méthodologie
Posez une série de questions approfondies
Documentez votre évaluation et sauvegardez-la sous forme de rapport
Améliorez les processus du pare-feu :
Remplacez les tâches manuelles sujettes à l'erreur par des automatisations