Pare-feu en PME : familles d'équipements, dimensionnement, politique de filtrage recommandée par l'ANSSI, segmentation, VPN, journaux et mises à jour.
Un pare-feu filtre les échanges entre le réseau de l’entreprise et l’extérieur, et entre ses propres zones, selon des règles écrites à l’avance : tout flux qui n’est pas explicitement autorisé est refusé. En PME, le matériel compte moins que trois disciplines qui l’entourent : une politique de filtrage tenue, des journaux relus, des mises à jour appliquées.
Ce qu’un pare-feu contrôle réellement
Placé au point de passage entre deux réseaux, le pare-feu examine chaque connexion : origine, destination, service demandé. Il la compare à sa liste de règles, puis autorise, refuse ou enregistre. L’Agence nationale de la sécurité des systèmes d’information (ANSSI), dans sa note technique de 2013 sur la politique de filtrage, le présente comme le premier rempart d’une défense en profondeur.
Premier rempart ne veut pas dire rempart unique. Un courriel piégé arrive par une messagerie autorisée, un mot de passe volé ouvre une session conforme aux règles. Le filtrage complète les sauvegardes et l’authentification forte sans les remplacer, comme le rappelle notre article sur la cybersécurité des PME.
Deux niveaux coexistent : le pare-feu périmétrique, placé entre le réseau interne et internet, et le pare-feu local de chaque poste. Le second fait l’objet de la mesure 17 du guide d’hygiène informatique de l’ANSSI (version de 2017) : les flux de poste à poste sont rares en bureautique, et les bloquer freine un attaquant. Le guide cite les ports d’administration à fermer par défaut, TCP 135, 445 et 3389 sous Windows, TCP 22 sous Unix.
Quatre familles de pare-feu
Ce qui les sépare : la profondeur à laquelle elles lisent le trafic.
Le filtrage de paquets sans état
Chaque paquet est jugé isolément, sur ses adresses et ses ports, sans savoir s’il appartient à une conversation légitime. La méthode subsiste surtout dans les routeurs.
Le pare-feu à états
Un pare-feu à états mémorise les connexions ouvertes et n’accepte une réponse que si elle correspond à une demande partie de l’intérieur. C’est la définition retenue par la note de l’ANSSI, et le socle de tous les produits actuels.
Le pare-feu de nouvelle génération
Cette famille (next generation firewall) ajoute l’identification des applications quel que soit le port, le rattachement des flux aux utilisateurs de l’annuaire et un système de prévention d’intrusion (IPS) fondé sur des signatures. Certains modèles déchiffrent aussi les flux, ce qui soulève des questions de confidentialité.
Le boîtier de gestion unifiée des menaces
Le boîtier UTM (unified threat management) réunit le pare-feu, la passerelle de réseau privé virtuel (VPN), l’antivirus de passerelle et le filtrage web. Une seule console administre l’ensemble ; en contrepartie, tout repose sur un appareil dont chaque fonction consomme de la puissance.
Ces deux dernières familles vivent d’abonnements : sans signatures à jour, leur filtrage avancé perd son objet.
Boîtier, logiciel ou service en nuage
Trois formes coexistent, à choisir selon l’emplacement des données et des utilisateurs.
- Le boîtier dédié se pose dans la baie, entre l’arrivée internet et le commutateur principal : la formule naturelle d’un site unique.
- Le pare-feu logiciel tourne en machine virtuelle, mais partage le sort de l’hyperviseur qui l’héberge. Le guide de l’ANSSI de 2018 sur les pare-feux en zone exposée à internet consacre une question à leur virtualisation.
- Le service en nuage filtre le trafic des sites comme celui des postes nomades, au prix d’une dépendance au fournisseur et à la liaison internet.
Le critère décisif reste la maîtrise : qui administre, qui reçoit les alertes, qui détient la sauvegarde de la configuration.
Dimensionner l’équipement sur le trafic réel
Le débit vanté par les fiches techniques correspond le plus souvent au seul filtrage à états. Il baisse nettement une fois l’inspection applicative, l’antivirus et la prévention d’intrusion activés. Exigez le débit mesuré avec les fonctions que vous utiliserez, comparé à votre liaison internet.
Autres points à vérifier :
- les sessions simultanées supportées, qui saturent parfois avant le débit ;
- les tunnels VPN simultanés, rapportés à l’effectif en télétravail le même jour ;
- les interfaces physiques, une par zone du réseau ou au minimum un réseau local virtuel (VLAN) distinct ;
- la durée garantie des correctifs et le coût de renouvellement des abonnements ;
- la haute disponibilité, si l’activité ne supporte aucune coupure d’internet.
La mesure 42 du guide d’hygiène recommande de privilégier les produits qualifiés par l’ANSSI. Le guide de 2018 cite trois références acceptables : la qualification de l’ANSSI, la certification Critères communs et la certification de sécurité de premier niveau (CSPN).
La politique de filtrage d’un pare-feu : tout refuser, puis ouvrir
La note technique de l’ANSSI sur la politique de filtrage, forte de quinze recommandations, repose sur un modèle de sécurité positif : tout ce qui n’est pas explicitement autorisé est interdit. Elle range les règles en six sections ordonnées :
- les flux à destination du pare-feu, limités à l’administration et à la supervision ;
- les flux émis par le pare-feu : journaux, alertes, sauvegardes ;
- une règle de protection qui interdit tout autre accès à l’équipement ;
- les flux métiers, l’essentiel de la politique ;
- des règles facultatives dites antiparasites, qui écartent sans trace des flux bruyants ;
- une règle d’interdiction finale, explicite et journalisée.
L’ordre compte, car le pare-feu lit ses règles de haut en bas et applique la première qui correspond. Une autorisation trop large placée en tête annule les interdictions suivantes. La règle finale existe souvent de façon implicite, mais sans journalisation : l’ANSSI demande de l’écrire pour que chaque refus laisse une trace.
Construire la matrice des flux
Avant toute règle, listez qui doit parler à qui : tel groupe de postes vers tel serveur, sur tel service, pour tel besoin. Chaque ligne devient une autorisation précise. Une règle « tout vers tout, en attendant » reste le défaut classique. La logique est celle des habilitations et de la revue des droits, appliquée aux flux.
Deux habitudes complètent la méthode : désactiver les flux implicites que certains produits ouvrent d’office, puis redéfinir à la main ceux qui servent ; commenter chaque règle avec son objet, sa date, la demande d’origine et l’intervenant. L’administration passe par une interface dédiée, joignable depuis les seuls postes d’administration, et les refus suppriment le trafic sans répondre, pour ne pas signaler la passerelle.
Le sens sortant compte aussi : la mesure 22 du guide d’hygiène veut que les postes sortent vers internet par une passerelle associant au minimum un pare-feu et un serveur mandataire (proxy).
Segmenter le réseau : zones, DMZ et réseaux séparés
Dans un réseau « à plat », un poste compromis sert de tremplin vers les serveurs. La mesure 19 du guide d’hygiène demande des zones aux besoins de sécurité homogènes, chacune sur son réseau local virtuel, filtrées entre elles par le pare-feu. Pour une PME :
- les postes de travail ;
- les serveurs internes ;
- l’administration du système ;
- la téléphonie sur IP, les imprimantes et les objets connectés, souvent vite privés de mises à jour ;
- les visiteurs, sur un réseau wifi invité isolé ;
- la zone démilitarisée (DMZ), pour les services joignables depuis internet.
Selon la mesure 23, un serveur web ou de messagerie hébergé sur place reste cloisonné du système d’information, ses flux entrants passant par un serveur mandataire inverse. Pour un réseau existant, l’ANSSI conseille de segmenter à chaque extension ou renouvellement d’équipement : le changement de pare-feu en offre l’occasion.
Télétravail et accès distant : le pare-feu en porte d’entrée
Le pare-feu héberge souvent la passerelle VPN des salariés itinérants, ce qui en fait la porte la plus visible depuis internet. La mesure 32 du guide d’hygiène recommande un tunnel chiffré selon le protocole IPsec, établi automatiquement et non débrayable par l’utilisateur. S’y ajoutent une authentification forte à chaque connexion, des droits ouverts par profil, et aucune publication directe du bureau à distance ou d’un stockage réseau par simple redirection de port.
Cybermalveillance.gouv.fr, dans ses dix mesures essentielles, déconseille les réseaux wifi publics ou inconnus. Le poste lui-même relève de notre article sur le télétravail et le poste nomade.
Journaux et alertes : faire parler le pare-feu
La mesure 36 du guide d’hygiène range les paquets bloqués par le pare-feu parmi les événements à journaliser. Les plus critiques se conservent au moins un an, avec une source d’heure commune (protocole NTP) pour que les journaux du pare-feu se recoupent avec ceux des autres équipements.
Conserver ne suffit pas. Quelques événements méritent une alerte immédiate, envoyée vers une adresse réellement relevée :
- une connexion à l’interface d’administration, réussie ou refusée ;
- toute modification de la configuration ;
- un tunnel VPN ouvert à une heure inhabituelle ;
- l’expiration prochaine d’un abonnement de signatures.
Les règles antiparasites gardent les journaux lisibles. Le guide prévoit, au niveau renforcé, leur centralisation sur un serveur dédié, qui empêche un intrus d’effacer ses traces.
Mises à jour et revue des règles
Exposé à internet, le pare-feu est lui-même une cible. La mesure 34 du guide d’hygiène demande d’appliquer les correctifs de sécurité dans le mois qui suit leur publication, en suivant les alertes du CERT-FR, le centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques. Cybermalveillance.gouv.fr conseille aux professionnels de fixer des règles de mise à jour, de tester avant de déployer et de sauvegarder au préalable, ici la configuration de l’équipement.
La note de l’ANSSI ajoute un point méconnu : pendant son démarrage, un pare-feu peut, dans le pire des cas, router les paquets sans les filtrer. Tester un redémarrage avant toute maintenance lève le doute.
La revue des règles a lieu deux fois par an ou, au minimum, une fois par an. Elle supprime les règles temporaires obsolètes, corrige les écarts aux conventions en vigueur et vérifie l’utilité des ajouts. Un modèle privé de correctifs devient une faiblesse : sa date de fin de support se suit dans l’inventaire de gestion de parc informatique.
Les erreurs qui reviennent dans les PME
Ces erreurs se corrigent pour la plupart sans achat :
- le mot de passe d’administration d’origine, jamais changé ;
- l’interface d’administration ouverte sur internet pour dépanner ;
- une règle posée pour un prestataire ou un test, restée en place des années ;
- l’abonnement de signatures expiré ;
- des alertes envoyées vers une boîte que personne ne lit.
Prochaine étape : exporter la liste des règles actuelles de votre pare-feu, repérer celles qui n’ont ni commentaire ni date, et demander pour chacune qui en a besoin. Les orphelines partent à la prochaine revue.
