![\"Firewall](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-1794802207-300x169.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
L\u2019importance de l\u2019utilisation d\u2019un firewall en entreprise n\u2019est aujourd\u2019hui plus \u00e0 d\u00e9montrer. Mais pour faire face \u00e0 la sophistication des menaces actuelles, le firewall de bordure ne suffit plus. Dans un contexte en perp\u00e9tuelle \u00e9volution, comment int\u00e9grer un firewall dans une architecture r\u00e9seau\u00a0? Comment l\u2019utiliser au mieux\u00a0?<\/strong><\/p>\n Emplacement d\u2019un firewall, segmentation r\u00e9seau, approche Zero Trust<\/em>, gestion centralis\u00e9e et supervision\u00a0; pour tout savoir de l\u2019utilisation optimale d\u2019un firewall dans votre architecture r\u00e9seau.<\/p>\n <\/p>\n Le firewall est un des piliers de la s\u00e9curit\u00e9 p\u00e9rim\u00e9trique dans les entreprises. Historiquement pens\u00e9e comme une muraille imp\u00e9n\u00e9trable en bordure de r\u00e9seau, sa fonction a depuis largement \u00e9volu\u00e9. Pour r\u00e9pondre \u00e0 l\u2019\u00e9volution des menaces et bloquer toutes les tentatives de d\u00e9placement lat\u00e9ral pris\u00e9 par les malwares<\/a>, les administrateurs syst\u00e8mes ont d\u00fb revoir leur utilisation des firewalls, en ajoutant de nouvelles couches de protection.<\/p>\n Car l\u2019emplacement ad\u00e9quat d\u2019un firewall dans une architecture r\u00e9seau d\u00e9pend du besoin de s\u00e9curisation<\/strong>. Et le traditionnel firewall en bordure de r\u00e9seau, m\u00eame s'il est toujours un indispensable de l\u2019arsenal de s\u00e9curit\u00e9, ne suffit plus pour r\u00e9pondre \u00e0 un bon niveau de protection. En effet, l\u2019\u00e9volution des modes de travail (nomadisme, t\u00e9l\u00e9travail, SaaS et autres infrastructures cloud) coupl\u00e9e \u00e0 la sophistication des cyber-menaces a oblig\u00e9 les entreprises \u00e0 \u00e9tendre l\u2019usage des firewalls. Il est d\u00e9sormais n\u00e9cessaire d\u2019aller plus loin et de d\u00e9ployer des firewalls \u00e0 diff\u00e9rents endroits du p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 de l\u2019entreprise. Mais ce p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 \u00e9volue et est compos\u00e9 d\u2019\u00e9l\u00e9ments h\u00e9t\u00e9rog\u00e8nes, internes comme externes.<\/p>\n Mais alors, quels sont les emplacements strat\u00e9giques pour un firewall\u00a0?<\/strong> En coupure d\u2019internet, en bordure ou au c\u0153ur de r\u00e9seau, dans le cloud\u2026 les possibilit\u00e9s sont multiples et d\u00e9pendront de vos objectifs de s\u00e9curit\u00e9 et capacit\u00e9s de vos firewalls. \u00c0 noter que, suivant le principe de d\u00e9fense en profondeur<\/a>, il est conseill\u00e9 de positionner au moins deux firewalls pour cr\u00e9er une zone de confiance (DMZ, demilitarized zone<\/em>). Une double barri\u00e8re<\/a> qui permet une \u00e9tanch\u00e9it\u00e9 suppl\u00e9mentaire au niveau des flux (potentiellement malveillants). L\u2019objectif est de mettre en place plusieurs niveaux de confiance, depuis Internet jusqu\u2019au LAN, voire aux datacenters et autres environnements cloud.<\/p>\n Et les firewalls de nouvelle g\u00e9n\u00e9ration (NGFW) permettent d\u2019aller encore plus loin dans la s\u00e9curit\u00e9 des architectures r\u00e9seaux, notamment avec la segmentation r\u00e9seau et l\u2019approche Zero Trust<\/em>. Explications.<\/p>\n <\/p>\n Pourquoi segmenter les r\u00e9seaux est si important\u00a0?<\/strong> Parce que le mode op\u00e9ratoire des cyber-criminels int\u00e8gre une phase de reconnaissance. Apr\u00e8s avoir compromis et infiltr\u00e9 une machine, ces derniers scannent les \u00e9quipements connect\u00e9s sur le r\u00e9seau dans le but de pr\u00e9parer un \u00e9ventuel rebond. Pour \u00e9viter toute progression, une segmentation stricte doit \u00eatre appliqu\u00e9e sur le r\u00e9seau principal et dans les sous-r\u00e9seaux. En divisant cet ensemble en zones distinctes, l\u2019administrateur peut alors appliquer un contr\u00f4le strict au niveau des acc\u00e8s et des flux.<\/p>\n La mise en place d'une DMZ, dont il \u00e9tait question plus haut, est un \u00ab\u00a0cas particulier de la segmentation<\/em>, selon Simon Dansette<\/strong>, Product Manager chez Stormshield. Elle pr\u00e9sente l\u2019int\u00e9r\u00eat de pouvoir compartimenter le r\u00e9seau pour un besoin sp\u00e9cifique en bloquant toutes possibilit\u00e9s de d\u00e9placement lat\u00e9ral<\/em>\u00a0\u00bb. Et comme le rappelle S\u00e9bastien Viou<\/strong>, Directeur Cybers\u00e9curit\u00e9 et Management Produits chez Stormshield, \u00ab\u00a0la rupture protocolaire est un principe visant \u00e0 rompre tous les flux r\u00e9seau, transport et applicatif par leur interpr\u00e9tation et leur r\u00e9\u00e9criture. En substance, il doit \u00eatre impossible de r\u00e9aliser du routage direct entre les deux firewalls<\/em>\u00a0\u00bb. Le principe de double barri\u00e8re n\u2019a donc pas pour principe d\u2019empiler plusieurs firewalls \u00ab\u00a0en pensant que le premier bloque les vuln\u00e9rabilit\u00e9s de l\u2019autre<\/em> \u00bb, mais bien \u00ab de cr\u00e9er des zones de confiances et d\u2019appliquer des r\u00e8gles de s\u00e9curit\u00e9 coh\u00e9rentes tout en y ma\u00eetrisant les \u00e9changes<\/em>\u00a0\u00bb. Dans les environnements industriels sensibles<\/a>, cette segmentation r\u00e9seau permet plusieurs actions. D\u2019une part, elle isole les environnements IT et OT et stoppe ainsi le d\u00e9placement lat\u00e9ral d\u2019un ransomware qui aurait infect\u00e9 une infrastructure IT et qui chercherait \u00e0 se propager dans les environnements de production. D\u2019autre part, cette segmentation peut aller jusqu\u2019au c\u0153ur de l\u2019OT, au plus pr\u00e8s des machines et automates, avec l\u2019application d\u2019un filtrage granulaire des flux, pouvant aller jusqu\u2019\u00e0 la commande envoy\u00e9e.<\/p>\n Le principe de double barri\u00e8re n\u2019a donc pas pour principe d\u2019empiler plusieurs firewalls en pensant que le premier bloque les vuln\u00e9rabilit\u00e9s de l\u2019autre, mais bien de cr\u00e9er des zones de confiances et d\u2019appliquer des r\u00e8gles de s\u00e9curit\u00e9 coh\u00e9rentes tout en y ma\u00eetrisant les \u00e9changes.<\/em><\/p><\/blockquote>\n Pour s\u2019assurer de la l\u00e9gitimit\u00e9 des utilisateurs et machines se connectant sur les r\u00e9seaux, les entreprises peuvent appliquer en compl\u00e9ment le concept dit de Zero Trust<\/em>. Cette philosophie Zero Trust<\/em> repose sur le principe que les utilisateurs et les composants du r\u00e9seau ne doivent pas \u00eatre pr\u00e9sum\u00e9s de confiance par d\u00e9faut, mais doivent prouver leur identit\u00e9 et leur l\u00e9gitimit\u00e9 \u00e0 chaque demande d'acc\u00e8s aux ressources. <\/strong>Ainsi, l\u2019architecture Zero Trust Network Access<\/em> (ZTNA) inclut aussi bien les utilisateurs que les appareils dans l\u2019authentification et l\u2019autorisation d\u2019acc\u00e8s au r\u00e9seau. L\u2019acc\u00e8s est alors granulaire et sp\u00e9cifique au besoin de l\u2019utilisateur. \u00ab\u00a0Dans une architecture Zero Trust, le firewall doit d\u2019abord s\u2019int\u00e9grer avec des technologies d\u2019authentification forte, pour identifier l\u2019utilisateur. Mais il doit \u00e9galement v\u00e9rifier que le poste de travail \u00e0 authentifier est sain<\/em>\u00a0\u00bb explique Simon Dansette. C\u2019est au travers de cette philosophie que les derniers mod\u00e8les de firewalls permettent d\u2019appliquer un contr\u00f4le d\u2019acc\u00e8s utilisateur plut\u00f4t que de filtrer seulement en fonction de l\u2019IP (comme le faisaient les firewalls traditionnels). Les r\u00e8gles de filtrage de trafic permettent alors de mettre en place des politiques de s\u00e9curit\u00e9 granulaires et en temps r\u00e9el. Pour Simon Dansette, \u00ab\u00a0il existe aujourd\u2019hui des interactions entre les solutions de type <\/em>EDR<\/em><\/a> et les firewalls pour autoriser un utilisateur \u00e0 se connecter. Ces m\u00e9canismes permettent d\u2019aller plus loin dans le processus d\u2019authentification<\/em>\u00a0\u00bb. Le firewall<\/a> de nouvelle g\u00e9n\u00e9ration devient alors un \u00e9l\u00e9ment-cl\u00e9 de l'architecture Zero Trust<\/em>.<\/p>\n Application de r\u00e8gles sp\u00e9cifiques ou communes, mise \u00e0 jour des \u00e9quipements, monitoring et supervision, qu\u2019ils soient physiques ou virtualis\u00e9s, la multiplication des firewalls dans les entreprises oblige les administrateurs syst\u00e8mes \u00e0 repenser leur gestion passant d\u2019une gestion unitaire \u00e0 une gestion centralis\u00e9e. Un outil devenu aujourd\u2019hui n\u00e9cessaire.<\/p>\n <\/p>\n Qu\u2019ils soient en bordure ou en c\u0153ur de r\u00e9seau, au plus pr\u00e8s d\u2019un \u00e9quipement industriel ou h\u00e9berg\u00e9 dans le cloud, le nombre de firewalls et leurs emplacements se sont d\u00e9multipli\u00e9s \u00e0 tel point que leur gestion peut vite s\u2019av\u00e9rer complexe. D\u00e9ploiement, configuration, maintenance, gestion des correctifs\u2026 Selon Simon Dansette, la gestion centralis\u00e9e<\/a> permet de \u00ab\u00a0r\u00e9duire la complexit\u00e9 de gestion des diff\u00e9rentes connexions aux firewalls et de r\u00e9duire le temps d\u2019administration r\u00e9seau, et donc les co\u00fbts inh\u00e9rents<\/em>\u00a0\u00bb.<\/p>\n La gestion centralis\u00e9e permet \u00e9galement de simplifier le processus de conformit\u00e9 aux normes de s\u00e9curit\u00e9, en garantissant que toutes les politiques de s\u00e9curit\u00e9 soient appliqu\u00e9es uniform\u00e9ment \u00e0 tous les firewalls du r\u00e9seau. Pour les MSSP et revendeurs informatiques, elle s\u2019av\u00e8re \u00eatre un atout. Car la gestion centralis\u00e9e permet de g\u00e9rer la configuration de plusieurs firewalls en un unique outil et de pouvoir, \u00e0 partir d'une m\u00eame plateforme, tous les administrer<\/strong>. Les modifications seront facilement et rapidement effectu\u00e9es, apportant s\u00e9curit\u00e9 pour leurs clients et gain de productivit\u00e9 pour leurs \u00e9quipes.<\/p>\nLa compr\u00e9hension du besoin et du p\u00e9rim\u00e8tre \u00e0 prot\u00e9ger<\/h2>\n
L\u2019importance de la segmentation r\u00e9seau et du Zero Trust<\/em><\/h2>\n
La n\u00e9cessaire gestion centralis\u00e9e des firewalls<\/h2>\n