Firewall et Règles de Filtrage ACL

69 Pages·2015·2.06 MB·French

Audit et Sécurité Informatique
Chap 2: Firewall et Règles de Filtrage ACL
Rhouma Rhouma
https://sites.google.com/site/rhoouma
Ecolesuperieured’EconomieNumerique
3ème année Licence
1/69
Plan
1 Principedefiltrage
2 PrincipalesArchitecturesavecFirewall
3 TypesdeFiltragesetACL
4 StandardIPaccesslist
5 ExtendedIPaccesslist
6 Listesd’accèscomplexes
7 Exemplesdivers
2/69
Principedefiltrage
Plan
1 Principedefiltrage
2 PrincipalesArchitecturesavecFirewall
3 TypesdeFiltragesetACL
4 StandardIPaccesslist
5 ExtendedIPaccesslist
6 Listesd’accèscomplexes
7 Exemplesdivers
3/69
Principedefiltrage
Firewall
4/69
Principedefiltrage
Principe de filtrage
Le filtrage est un des outils de base de la securite. IL EST
NECESSAIRE!
Filtrage optimiste : PERMIT ALL
Toutestpermisapartquelquesservices(ports)
Facileainstalleretamaintenir:Seulementquelquesreglesagerer
Securitefaible:Netientpascomptedesnouveauxservices
pouvantetreouvert.
Filtrage pessimiste : DENY ALL
Rejetsystematique
Exception:servicesspecifiquessurmachinesspecifiques.Ex:
AutorisationsexplicitespourlesservicesHTTP,SMTP,POP3,..
Plusdifficileainstalleretamaintenir
Securiteforte:Lesnouveauxservicesdoiventetreexmplictement
declarés
Prendre en compte les connexions entrantes et les connexions
sortantes
5/69
Principedefiltrage
Principe du filtrage des paquets
Le filtrage se fait en analysant les entetes IP, TCP et UDP
on définit une règle de filtrage en considérant :
@IPsource
@IPdestination
Portsource
Portdestination
Protocoleencapsulé(ICMP,UDP,TCP,...)
FlagACK(deTCP)
Interfaced’accès
Sensdutraficfiltré
à chaque règle est associé une action :
laisserpasserlepacketOU
bloquer(détruire)lepaquet
Attention à l’ordre des règles : La première qui correspond est
celle sélectionnée (First Matching, First Applied!)
6/69
Principedefiltrage
Difference entre firewall et routeur
Un firewall ne fait pas de "IP FORWARDING"
Un firewall peut faire du routage au niveau applicatif : Existence
de mandataires (proxy) HTTP, POP3, etc ...
Les mandataires peuvent être intelligent : Filtrage par le contenu
(informations)
Implantation du firewall se fait par :
Unmatérielspécialisé(CiscoPIX,...)
Unemachinesimpleavecplusieurscartesréseaux+logiciels
Firewall1(Checkpoint),Raptor,Shorewall(Linux),...
7/69
PrincipalesArchitecturesavecFirewall
Plan
1 Principedefiltrage
2 PrincipalesArchitecturesavecFirewall
3 TypesdeFiltragesetACL
4 StandardIPaccesslist
5 ExtendedIPaccesslist
6 Listesd’accèscomplexes
7 Exemplesdivers
8/69
PrincipalesArchitecturesavecFirewall
Architecture avec Firewall sans routeur
On donne des adresses IP privées aux machines du réseau. ex :
10.1.1.1, 10.1.1.2. Donc les clients ne peuvent pas dialoguer
directement avec l’extérieur
les serveurs ont aussi des adresses publiques
nécessicité de Passage par des mandataires internes (proxy web,
ftp, smtp, pop)
Reste une solution limitée
9/69
PrincipalesArchitecturesavecFirewall
Architecture avec Firewall et routeur
Modele avec Firewall et routage
Le firewall est la seule machine visible de l’exterieur
Lefirewalleffectuelecontroled’acces
Lerouteureffectueleroutage(translationd’adresse)(cid:55)→NAT
10/69