![\"Les](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-1126813316-1024x683.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
Acheter un firewall, c\u2019est bien. Le d\u00e9ployer parfaitement, c\u2019est mieux. Reste qu\u2019une erreur dans sa mise en place est vite arriv\u00e9e et peut mettre en p\u00e9ril toute votre politique de s\u00e9curit\u00e9. Cr\u00e9ation de la politique de s\u00e9curit\u00e9, politique de nommage, mises \u00e0 jour et coh\u00e9rence des r\u00e8gles\u2026 Retour sur les erreurs les plus courantes et comment les \u00e9viter.<\/strong><\/p>\n Piliers de la s\u00e9curit\u00e9 informatique, les firewalls sont au c\u0153ur de la s\u00e9curisation des r\u00e9seaux IT face aux menaces cyber. Mais ces outils n\u00e9cessitent d\u2019\u00eatre install\u00e9s avec pr\u00e9caution. Retour sur les six erreurs \u00e0 \u00e9viter dans leur d\u00e9ploiement.<\/p>\n <\/p>\n \u00ab\u00a0Dans un contexte o\u00f9 un responsable informatique peut \u00eatre amen\u00e9 \u00e0 g\u00e9rer une multitude de t\u00e2ches, m\u00eame le plus aguerri peut \u00eatre distrait et faire une erreur dans la mise en place d\u2019un firewall<\/em>\u00a0\u00bb, expose d\u2019embl\u00e9e Quentin Tieghem<\/strong>, ing\u00e9nieur avant-vente chez Stormshield.<\/strong> La cl\u00e9 pour y faire face\u00a0? \u00ab\u00a0Planifier, pour ne rien oublier, mais aussi faciliter la gestion \u00e0 plus long terme du firewall<\/em>\u00a0\u00bb. Concr\u00e8tement, cartographier le trafic r\u00e9seau \u00e0 l'aide d'une matrice de flux est le point de d\u00e9part pour penser les futures r\u00e8gles du firewall. \u00ab\u00a0Identifier les flux du r\u00e9seau est un travail important mais n\u00e9cessaire. Il faut ensuite se demander comment positionner son firewall, quels \u00e9l\u00e9ments prot\u00e9ger ou non, s\u2019interroger sur le niveau de segmentation n\u00e9cessaire.<\/em>\u00bb Pour f\u00a0aciliter la mise en place du firewall, il faut donc penser les usages propres \u00e0 l\u2019entreprise, par exemple les besoins des salari\u00e9s en t\u00e9l\u00e9travail, mais aussi savoir qui pourrait \u00eatre amen\u00e9 \u00e0 administrer le r\u00e9seau. \u00ab\u00a0La logique<\/em>, pr\u00e9cise Guillaume Boisseau<\/strong>, Manager Professional Services chez Stormshield, c\u2019est de configurer d\u2019abord de mani\u00e8re th\u00e9orique puis de v\u00e9rifier par la pratique la pertinence des r\u00e8gles mises en place<\/em>\u00a0\u00bb. Les r\u00e8gles d\u2019un firewall \u00e9tant amen\u00e9es \u00e0 \u00e9voluer en m\u00eame temps que le r\u00e9seau qu\u2019il prot\u00e8ge, Quentin Tieghem conseille d'anticiper les proc\u00e9dures de mise \u00e0 jour avant m\u00eame la mise en place du firewall. \u00ab\u00a0Il faut d\u00e8s le d\u00e9but \u00e9crire une proc\u00e9dure expliquant la mise en place du firewall, mais aussi comment le maintenir dans des conditions de fonctionnement optimal<\/em>.\u00a0\u00bb<\/p>\n <\/p>\n \u00ab L\u2019une des erreurs les plus communes reste de ne pas configurer enti\u00e8rement son firewall d\u00e8s l\u2019installation<\/em>\u00a0\u00bb, poursuit Guillaume Boisseau. L\u2019\u00e9tape incontournable est de passer en revue les services configur\u00e9s par d\u00e9faut \u2013 ou d\u00e9sactiver ceux qui sont inutiles \u2013 et opter pour de nouveaux mots de passe<\/a> les plus s\u00e9curis\u00e9s possibles. \u00ab\u00a0Une attention toute particuli\u00e8re doit \u00eatre port\u00e9e aux comptes administrateurs par d\u00e9faut<\/em>\u00a0\u00bb, insiste Quentin Tieghem, qui recommande de les configurer pour limiter les privil\u00e8ges aux besoins sp\u00e9cifiques de chaque utilisateur. Autre erreur\u00a0: laisser une r\u00e8gle active en pensant s\u2019en occuper plus tard\u2026 et finalement la laisser de c\u00f4t\u00e9. \u00ab\u00a0C\u2019est courant et assez logique dans un m\u00e9tier o\u00f9 le rythme est souvent intense<\/em>, reprend l\u2019ing\u00e9nieur. Face \u00e0 cette situation, deux options\u00a0: s\u2019astreindre \u00e0 aller imm\u00e9diatement au bout de la d\u00e9marche ou mettre en place d\u00e8s la cr\u00e9ation un objet temps avec une date de fin de validit\u00e9 sur les r\u00e8gles ayant une dur\u00e9e de vie limit\u00e9e<\/em>\u00a0\u00bb. Pensez aussi \u00e0 d\u00e9sactiver ou configurer le protocole SNMP en fonction de vos besoins\u00a0: il permet aux administrateurs r\u00e9seau de g\u00e9rer les \u00e9quipements.<\/p>\n <\/p>\n Autre \u00e9l\u00e9ment central pour Guillaume Boisseau : le nommage des r\u00e9seaux et p\u00e9riph\u00e9riques raccord\u00e9s au firewall. \u00ab\u00a0C\u2019est une probl\u00e9matique qui revient tr\u00e8s souvent. Mon conseil est toujours de coller aux r\u00e8gles d\u00e9j\u00e0 existantes. Si vous avez fait le travail de nommer vos serveurs avec un serveur DNS, utilisez le m\u00eame nommage pour \u00e9viter les probl\u00e8mes.<\/em>\u00a0\u00bb Il faut aussi \u00eatre particuli\u00e8rement attentif aux \u00e9volutions des activit\u00e9s au sein de l\u2019entreprise. \u00ab\u00a0L\u2019exemple typique<\/em>, explique-t-il, c\u2019est celui d\u2019un serveur qui a chang\u00e9 d\u2019usage dans une entreprise, mais toujours identifi\u00e9 sur le r\u00e9seau avec la m\u00eame adresse IP. Le serveur a donc chang\u00e9 mais les r\u00e8gles du pare-feu n\u2019ont pas \u00e9volu\u00e9 et ce serveur se retrouve avec des droits qu\u2019il ne devrait pas avoir.<\/em>\u00a0\u00bb<\/p>\n <\/p>\n M\u00eame l'infrastructure la plus solide peut subir une panne mat\u00e9rielle ou \u00e9lectrique. L\u2019enjeu est alors de limiter les d\u00e9g\u00e2ts et de maintenir, du mieux possible, les services op\u00e9rationnels. \u00ab\u00a0Les firewalls sont souvent les n\u0153uds de communication principaux dans le r\u00e9seau IT d\u2019une entreprise<\/em>, reprend Quentin Tieghem. Il est capital de les int\u00e9grer dans le cadre du plan de reprise d'activit\u00e9 (PRA) et de continuit\u00e9 d'activit\u00e9 (PCA) et de calibrer cette int\u00e9gration<\/em>\u00a0\u00bb. Le probl\u00e8me n\u2019est \u00e9videmment pas le m\u00eame si le firewall occupe une place centrale dans l\u2019architecture de l\u2019entreprise ou si son crash emp\u00eache uniquement quelques salari\u00e9s d\u2019avoir acc\u00e8s aux emails. \u00ab\u00a0Il faut tester la mise en place des PRA et des PCA, en allant plus loin que la simple partie logiciel<\/em>\u00a0\u00bb, pr\u00e9cise Guillaume Boisseau avant de poursuivre\u00a0: \u00ab\u00a0Si on a un haut de niveau de disponibilit\u00e9 sur les \u00e9quipements, c\u2019est de s\u2019assurer qu\u2019il y a toujours un moyen de faire le relais. Il faut donc faire des sauvegardes r\u00e9guli\u00e8res, mais surtout tester la bascule entre l\u2019\u00e9quipement principal et l\u2019\u00e9quipement de secours<\/em>\u00a0\u00bb. De la m\u00eame mani\u00e8re, mettre en place d\u00e8s le d\u00e9but un puits de log pourrait vous \u00e9viter plus tard bien des d\u00e9convenues.<\/p>\n <\/p>\n Changement dans le processus de production, d\u00e9veloppement du t\u00e9l\u00e9travail, lancement d\u2019une activit\u00e9 nouvelle\u2026 Un firewall, sorte d'objet vivant, est logiquement amen\u00e9 \u00e0 \u00e9voluer avec l\u2019activit\u00e9 de l\u2019entreprise. Le maintien en condition de s\u00e9curit\u00e9 (MCS) se pense encore une fois d\u00e8s la mise en place du syst\u00e8me. \u00ab\u00a0Avec les firewalls qui sont de plus en plus souvent au c\u0153ur des r\u00e9seaux, ne pas tenir \u00e0 jour les r\u00e8gles expose logiquement l\u2019infrastructure aux malwares et aux <\/em>ransomwares<\/em><\/a> mais aussi au jeune geek qui se lancera dans une attaque d\u2019opportunit\u00e9 \u00e0 l\u2019aide d\u2019un rootkit<\/em>\u00a0\u00bb, rappelle Quentin Tieghem. Un risque face auquel l\u2019ing\u00e9nieur propose une strat\u00e9gie simple\u00a0: \u00ab\u00a0consigner, tout consigner<\/em>\u00a0\u00bb. \u00ab\u00a0Il faut avoir un historique clair des r\u00e8gles et de l\u2019\u00e9volution de l'infrastructure<\/em>, pr\u00e9cise-t-il, pour ne pas se retrouver dans la situation d\u2019un grand nombre de r\u00e8gles d\u00e9ploy\u00e9es sans aucun commentaire et donc sans qu\u2019on sache \u00e0 quoi elles servent<\/em>\u00a0\u00bb. L\u2019utilisation d\u2019outils d\u2019audits va permettre de conna\u00eetre pr\u00e9cis\u00e9ment, de v\u00e9rifier l\u2019utilisation des r\u00e8gles et des objets et mettre en avant les proc\u00e9dures inutiles, mais ne suffira pas pour comprendre en d\u00e9tail le fonctionnement de l\u2019infrastructure. \u00ab\u00a0On peut tout \u00e0 fait cr\u00e9er manuellement un fichier de suivi avec les r\u00e8gles ajout\u00e9es et conserver un historique m\u00e9thodique de l\u2019\u00e9volution du firewall<\/em>\u00a0\u00bb, pr\u00e9cise Guillaume Boisseau. Tenir ses r\u00e8gles \u00e0 jour et \u00eatre attentif au filtrage des IP<\/a> et des URL devient beaucoup plus simple avec un tel travail d\u2019archivage. \u00ab\u00a0Il est tr\u00e8s important, si l\u2019entreprise fait appel \u00e0 un prestataire, de demander des livrables permettant la tra\u00e7abilit\u00e9<\/em>, encha\u00eene-t-il. Cette documentation, interne ou produite par une entreprise ext\u00e9rieure, facilite aussi la transmission en \u00e9vitant que tout le savoir repose sur le m\u00eame salari\u00e9.<\/em>\u00a0\u00bb<\/p>\n <\/p>\n Enfin, qui dit MCS dit aussi Maintien en Condition Op\u00e9rationnelle (MCO). \u00ab\u00a0Il faut mettre \u00e0 jour les signatures le plus souvent possible pour ne pas \u00eatre vuln\u00e9rable \u00e0 de nouvelles attaques et penser \u00e0 mettre \u00e0 jour l\u2019\u00e9quipement en lui-m\u00eame, qu\u2019il soit toujours \u00e0 jour des derniers patchs de maintenance et des plus r\u00e9cents \u00e9l\u00e9ments de s\u00e9curit\u00e9<\/em>\u00a0\u00bb, synth\u00e9tise Quentin Tieghem. Les experts le r\u00e9p\u00e8tent\u00a0: anticiper est la clef pour \u00e9viter les manquements et all\u00e9ger \u00e0 long terme sa charge de travail. \u00ab\u00a0Il faut penser, d\u00e8s la mise en place, \u00e0 s\u2019abonner aux flux RSS et autres outils d\u2019informations relatifs aux solutions qu\u2019on utilise<\/em>, rel\u00e8ve Guillaume Boisseau. C\u2019est la meilleure mani\u00e8re d\u2019\u00eatre averti au plus t\u00f4t des vuln\u00e9rabilit\u00e9s rep\u00e9r\u00e9es sur les briques logicielles qui composent le firewall et de rapidement installer les correctifs de bugs et des failles de s\u00e9curit\u00e9 qui en d\u00e9coulent<\/em>\u00a0\u00bb.<\/p>\n Une MCO qui s\u2019accompagne aussi d\u2019un travail de maintenance r\u00e9gulier de l'infrastructure, un sujet essentiel qui pourrait \u00e0 lui seul faire l\u2019objet d\u2019un (autre) article.<\/p>\n","protected":false},"excerpt":{"rendered":" Acheter un firewall, c\u2019est bien. Le d\u00e9ployer parfaitement, c\u2019est mieux. Reste qu\u2019une erreur dans sa mise en place est vite arriv\u00e9e et peut mettre en p\u00e9ril toute votre politique de s\u00e9curit\u00e9. Cr\u00e9ation de la politique de s\u00e9curit\u00e9, politique de nommage, mises \u00e0 jour et coh\u00e9rence…<\/p>\n","protected":false},"author":37,"featured_media":267179,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1608],"tags":[4363],"business_size":[],"industry":[],"help_mefind":[],"features":[],"type_security":[],"maintenance":[],"offer":[],"administration_tools":[],"cloud_offers":[],"listing_product":[1556,1530],"class_list":["post-267178","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-paroles-experts","tag-la-cybersecurite-premiers-pas","listing_product-smc-fr","listing_product-sns-fr"],"acf":[],"yoast_head":"\nOublier de planifier<\/h2>\n
Laisser la configuration par d\u00e9faut<\/h2>\n
N\u00e9gliger le nommage<\/h2>\n
Oublier que le pire peut arriver<\/h2>\n
N\u00e9gliger le suivi des r\u00e8gles de filtrage<\/h2>\n
Mal organiser ses canaux d\u2019informations<\/h2>\n