Pare-feu entreprise : ce qu’il filtre, et ce qu’il rate

Un pare-feu d’entreprise est presque toujours réglé dans un seul sens : bloquer ce qui vient de l’extérieur. C’est nécessaire, c’est insuffisant, et c’est exactement l’inverse de ce que font les attaques modernes, qui sortent plus qu’elles n’entrent. Voici ce qu’un pare-feu filtre réellement, le contrôle que presque personne n’active, et les deux erreurs de configuration qui neutralisent des règles sans que rien ne le signale.

Ce qu’un pare-feu décide, et à quel niveau

Le mot recouvre plusieurs objets très différents, et les confondre conduit à croire protégé ce qui ne l’est pas.

Type	Sur quoi il décide	Ce qu’il ne voit pas
Filtrage de paquets	Adresses, ports, protocole	Le contenu des échanges
Filtrage à états	En plus, l’appartenance à une connexion déjà établie	Le contenu des échanges
Filtrage applicatif	Le contenu des requêtes web	Ce qui n’est pas du trafic web

La conséquence pratique est celle que les responsables découvrent après un incident : un pare-feu réseau qui autorise le port 443 laisse passer tout ce qui emprunte ce port, y compris une injection de code dans une requête parfaitement légitime. Il n’y a rien d’anormal à filtrer : la requête est autorisée.

Corriger les vulnérabilités applicatives reste donc indispensable, comme nous le détaillons dans notre article sur la sécurité d’un serveur. Le pare-feu réduit la surface, il ne la supprime pas.

Le filtrage sortant, que personne n’active

C’est l’apport le plus important de cet article, et le réglage le plus négligé de tous.

La configuration habituelle interdit tout en entrée et autorise tout en sortie. Or une machine compromise ne subit pas une attaque venue de l’extérieur : elle émet. Elle contacte un serveur de commande pour recevoir ses instructions, puis elle transfère des données vers l’extérieur. Ces deux opérations sortent, donc elles passent.

Un filtrage sortant restrictif change complètement la situation : il transforme une compromission silencieuse en alerte immédiate, parce que la machine tente d’atteindre une destination qui n’est pas autorisée et que le refus est journalisé.

• Un serveur applicatif n’a presque jamais besoin de joindre Internet, sauf pour ses mises à jour et quelques services identifiés.
• Une imprimante, une caméra ou un équipement connecté n’ont aucune raison de sortir vers des destinations quelconques.
• Un poste de travail a besoin de sortir largement, mais pas vers n’importe quel port : restreindre les protocoles non utilisés coûte peu et rapporte beaucoup.

Commencez par les serveurs, où la liste des destinations légitimes est courte et stable. C’est le meilleur rapport entre l’effort et le gain de tout le domaine.

Deux erreurs qui annulent des règles en silence

L’ordre des règles

La plupart des pare-feu appliquent la première règle qui correspond, puis s’arrêtent. Une règle permissive placée au-dessus d’une règle restrictive rend cette dernière totalement inopérante, et l’interface l’affiche pourtant comme active.

C’est le défaut le plus fréquent des configurations qui ont vécu : une règle large ajoutée un jour d’urgence remonte en tête de liste et couvre tout ce qui la suit. Le contrôle est simple et se fait dans le sens inverse : parcourez vos règles de haut en bas et demandez-vous, pour chacune, ce qu’elle rend inutile plus bas.

Les règles qui survivent à leur raison d’être

Une ouverture posée pour un prestataire parti depuis trois ans reste ouverte. Un port autorisé pour un logiciel désinstallé reste autorisé. Personne ne retire jamais une règle, parce que personne ne sait si elle sert encore.

La méthode qui fonctionne consiste à journaliser les correspondances et à relever, une fois par an, les règles qui n’ont rien filtré du tout. Une règle sans aucune correspondance sur douze mois se supprime sans risque, et c’est la seule façon de faire maigrir une configuration.

Segmenter, pour que l’incident reste local

Un réseau plat est un réseau où tout parle à tout. Dans cette configuration, une seule machine compromise donne accès à l’ensemble : postes, serveurs, sauvegardes et équipements divers.

La segmentation consiste à créer des zones et à n’autoriser entre elles que les flux nécessaires. Elle ne demande pas forcément un investissement lourd, et trois séparations suffisent à couvrir l’essentiel.

1. Les serveurs, à part des postes de travail. Un poste n’a besoin d’atteindre qu’un petit nombre de services, pas l’administration des machines.
2. Les équipements connectés, isolés. Imprimantes, caméras, capteurs : rarement mis à jour, souvent vulnérables, et n’ayant besoin de parler qu’à une poignée de destinations.
3. Le réseau des visiteurs, totalement séparé. Il ne doit atteindre que la sortie Internet, jamais une ressource interne.

Cette logique s’applique aussi aux machines exposées : un service public ne doit pas résider sur le même segment qu’une base de données interne, comme nous le rappelons dans notre comparaison entre mutualisé, VPS et dédié.

Le pare-feu de la machine compte aussi

Un point souvent négligé dans les réseaux qui disposent d’un équipement central : le filtrage posé sur chaque machine reste utile, et pour une raison précise.

Le pare-feu de bordure ne voit que ce qui traverse une frontière. Deux machines du même segment échangent sans jamais passer devant lui, et c’est exactement le chemin qu’emprunte une propagation latérale après une première compromission.

Activer un filtrage local sur chaque serveur, avec les seuls ports réellement servis, ferme ce chemin sans coût supplémentaire. C’est une duplication apparente, et c’est en réalité le seul contrôle qui agisse à l’intérieur d’une zone.

Sans journaux, ce n’est qu’un filtre

Un pare-feu qui bloque sans enregistrer vous protège peut-être, mais il ne vous apprend rien. Après un incident, la question est toujours la même : qu’est-ce qui est sorti, vers où, et depuis quand. Seuls les journaux y répondent.

Centralisez-les hors de l’équipement, conservez-les assez longtemps pour couvrir une compromission découverte tardivement, et surveillez surtout les refus en sortie, qui sont le signal le plus utile et le plus ignoré. Ce sont les mêmes principes que ceux exposés dans notre article sur le monitoring des pannes réseau.

Ce qu’il ne fera pas

La réserve est simple à énoncer et rarement entendue. Un pare-feu contrôle des flux réseau. Il ne contrôle ni ce que vos utilisateurs ouvrent dans leur messagerie, ni ce qu’ils saisissent sur une page frauduleuse, ni ce qu’un prestataire emporte sur une clé.

Il ne protège pas davantage contre un accès légitime détourné : celui qui possède les identifiants entre par la porte autorisée. Les mesures qui traitent ce cas sont d’un autre ordre, et le chiffrement du transport n’en fait pas partie non plus, comme nous l’expliquons dans notre article sur ce qu’un VPN protège et ce qu’il ne protège pas.

Questions fréquentes sur les pare-feu en entreprise

À quoi sert un pare-feu dans un réseau d'entreprise ?

À décider quels flux réseau sont autorisés entre des zones, sur la base des adresses, des ports et de l’appartenance à une connexion déjà établie. Il réduit la surface exposée, il ne corrige pas les vulnérabilités des applications.

Faut-il filtrer le trafic sortant ?

Oui, et c’est le réglage le plus négligé. Une machine compromise émet vers l’extérieur pour recevoir ses instructions et transférer des données. Un filtrage sortant restrictif transforme une compromission silencieuse en alerte immédiate.

Pourquoi une règle de pare-feu ne s'applique-t-elle pas ?

Le plus souvent parce qu’une règle plus permissive la précède. La plupart des pare-feu appliquent la première règle correspondante puis s’arrêtent, et l’interface affiche pourtant la règle masquée comme active.

Pourquoi segmenter un réseau d'entreprise ?

Parce qu’un réseau plat laisse une seule machine compromise atteindre tout le reste : postes, serveurs, sauvegardes et équipements. Trois séparations suffisent à couvrir l’essentiel : les serveurs, les équipements connectés et le réseau des visiteurs.

Comment nettoyer une configuration de pare-feu ancienne ?

En journalisant les correspondances de chaque règle et en relevant, une fois par an, celles qui n’ont rien filtré. Une règle sans aucune correspondance sur douze mois se supprime sans risque.