Patrick PROY Sébastien MATHON DESS Réseaux - promotion 1999/2000 Les Firewalls Patrick PROY Sébastien MATHON DESS Réseaux - promotion 1999/2000

Plan de la présentation Besoins Qu’est-ce qu’un firewall ? Techniques de filtrage Stratégies Marché

Besoins - Risques de l’Internet Menaces contre le réseau interne les serveurs Internet la transmission de données la disponibilité CERT: Computer Emergency Response Team

Besoins - Protection Confiance entre réseaux ? Points de contrôle au sein de l ’entreprise connexion Internet

Besoins - Limitations Un firewall n ’est pas suffisant ! « Social Engineering » Défense de périmètre

Qu’est-ce qu’un Firewall ? Ensemble de composants ou système placé entre deux réseaux et possédant les propriétés suivantes: Tout trafic de l'intérieur vers l'extérieur, et vice-versa, doit passer par lui; Seul le trafic autorisé, défini par la politique de sécurité, est autorisé à passer à travers lui; Le système lui-même est hautement résistant à toute pénétration.

Techniques Firewall : le filtre Examen des datagrammes d’après des règles précises portant sur l ’@ source l ’@ destination le protocole utilisé Niveau 3 de l’ OSI

Techniques Firewall : le filtre (2) Avantages Le gain de temps en terme de mise en place du routeur Le coût généralement faible d ’un routeur filtrant Les performances de ces routeurs sont généralement bonnes Les routeurs filtrants sont transparents aux utilisateurs et aux applications

Techniques Firewall : le filtre (3) Inconvénients L'élaboration de règles de filtrage peut être une opération pénible. Le routeur filtre de paquets ne protège pas contre les applications du type Cheval de Troie. Choix parfois crucial entre performance et sécurité. Il n ’y a pas d’analyse des services.

Techniques Firewall : la passerelle Système relayant des services entre 2 réseaux (connexions TCP) 1891 machine.ici.dom gateway.ici.dom x.ailleurs.com 1525 2045 7411

Techniques Firewall : la PNA passerelle de niveau application Service logiciel (service proxy ) proxy machine sur Internet 1 1. Demande du service TELNET 2 2. Vérification de l ’identité via une machine interne 3 3. Connexion TELNET créée

Techniques Firewall : la PNA (2) passerelle de niveau application Le Bastion Host : armé et protégé mise en œuvre version sécurisée de l ’OS. un ensemble limité de services proxy. un système d'authentification de haut niveau. accès à un sous-ensemble des commandes standards de l'application. accès à un système hôte spécifique. programmes de petite taille détection des bugs et des faiblesses mail UNIX: 20000 lignes de code / proxy:1000

Techniques Firewall : la PNA(3) passerelle de niveau application Avantages contrôle complet sur chaque service. authentification extrêmement poussées. audit des détails des connexions. règles de filtrage faciles à configurer et à tester. Inconvénients augmentation considérable du coût du firewall. réduction de la qualité du service offert aux utilisateurs. diminution de la transparence du système. installation de logiciels spécialisés sur chaque système accédant à des services proxy.

Techniques Firewall : la PNC passerelle de niveau circuit Relais de connexions TCP agit comme un fil Les connexions semblent être originaires du Firewall connexions sortantes utilisation facile d’emploi

Techniques Firewall : V.P.N. Virtual Private Network Firewall à firewall Souvent des protocoles propriétaires Cryptage et décryptage

Stratégie : Décision Ce qui n'est pas explicitement permis est interdit; Ce qui n'est pas explicitement interdit est permis.

Stratégie : Craintes Failles de sécurité : Destruction Zones de risques : centraliser sur le firewall

Stratégie : Architectures Firewall Filtrage de paquets par routeur simple routeur filtre entre Internet et le réseau privé règles de filtrage simples accès facile à Internet (de l ’intérieur) accès limité au réseau (de l ’extérieur)

Stratégie : Architectures Firewall Screened Host Firewall Internet Réseau privé hôtes Bastion Single-Homed Bastion Host Trafic bloqué Trafic permis

Stratégie : Architectures Firewall Screened Host Firewall Dual-Homed Bastion Host Internet Réseau privé Bastion

Stratégie : Architectures Firewall La Zone Démilitarisée (DMZ) Web FTP Réseau privé Internet filtre filtre Bastion

Stratégie : D.M.Z. Avantages Inconvénients Demilitarized Zone 3 systèmes de protection à franchir. Seule la D.M.Z. est visible de l ’extérieure. Translations d ’adresses. Inconvénients Coûteuse. Compliquée. Manque de transparence.

Firewall : Matériel ou logiciel En général niveau 3 ou 4. Coûteux mais rapide et simple à administrer. Manque de transparence, bugs. Logiciel En général bastion host. Plus d ’administration mais plus de transparence. Mise à jour simple.

Les acteurs du marché Axent Check Point Cyberguard Fore Lucent Netscreen Network Associates Novell Secure Computing

Performances

Références http://www.icsa.net Marcus J. Ranum, « Thinking about Firewalls »

Bon stage à toutes et à tous !!!