10 fonctions utiles dont devrait disposer votre pare-feu Un pare-feu servant seulement à bloquer les menaces n en est qu au tout début
Table des matières Les pare-feu évoluent 1 Le pare-feu applicatif 2 1ère fonction utile : gérer les flux vidéo 3 2ème fonction utile : gérer la bande passante par groupe 4 3ème fonction utile : contrôler le courrier Web sortant 5 4ème fonction utile : imposer l utilisation d applications 6 5ème fonction utile : interdire les téléchargements FTP 7 6ème fonction utile : contrôler des applications poste à poste 8 7ème fonction utile : gérer les flux musicaux 9 8ème fonction utile : allouer la bande passante selon des priorités 10 9ème fonction utile : bloquer l envoi de documents confidentiels 11 10ème fonction utile : bloquer les fichiers interdits et notifier 12 En fin de compte 13
Les pare-feu évoluent Les pare-feu traditionnels se contentent généralement de bloquer les simples menaces et intrusions. Les pare-feu professionnels, en revanche, se sont enrichis de services dits de gestion unifiée des menaces (UTM) antivirus, anti-spyware, prévention des intrusions, filtrage de contenu, et même anti-spam en vue d optimiser la protection. La plus grande part du trafic qui passe par un pare-feu ne se compose pas de menaces, mais d applications et de données. C est sur ce constat qu a été développé le pare-feu applicatif, capable de gérer et de contrôler les données et applications qui passent à travers un pare-feu....mais bloquer les menaces ne constitue qu un début 1
Le pare-feu applicatif A quoi sert-il? Un pare-feu applicatif permet de gérer et de contrôler la bande passante, ainsi que de surveiller les accès au niveau applicatif. A cela s ajoutent des fonctionnalités de contrôle des fuites de données, de restriction du transfert de fichiers ou de documents spécifiques, et bien plus encore. Comment fonctionne-t-il? Un pare-feu applicatif permet de personnaliser le contrôle des accès à différents niveaux : utilisateur, application, horaire ou sous-réseau IP. Ainsi, les administrateurs sont en mesure de créer des règles qui concernent l ensemble des applications disponibles à l accès, et d opérer pour la première fois une véritable gestion. Menaces Dangereuses Indésirables Données et applications Trafic sain Protégé Productif Permet de classifier, contrôler et gérer les applications et les données passant à travers votre pare-feu. 2
1ère fonction utile : gérer les flux vidéo Utile dans certains cas, la consultation de sites de diffusion vidéo, comme youtube.com, est souvent abusive. Bloquer leur accès peut constituer une solution, mais le mieux est sans doute de limiter simplement la bande passante accordée à ce type de sites. Créer une règle pour limiter les flux vidéo Utiliser le moteur de filtrage applicatif (DPI) pour rechercher l hôte HTTP www.youtube.com dans l en-tête HTTP Appliquer des restrictions de bande passante pour le trafic contenant cet en-tête Flux vidéo : bande passante désirée Flux vidéo : bande passante accordée Vous pouvez limiter la bande passante pour certaines applications à des plages horaires spécifiques par ex. de 9h00 à 17h00 3
2ème fonction utile : gérer la bande passante par groupe Au premier point, il s agissait d appliquer des restrictions de bande passante à des sites de diffusion vidéo tels que youtube.com. Mais à présent, les dirigeants se plaignent de la lenteur des «flashs d infos économiques» qu ils regardent chaque jour. Une solution serait d assouplir les restrictions de bande pour tous les utilisateurs. Mieux encore : gérer la bande passante en fonction de groupes. Créer une règle pour garantir un flux vidéo illimité au personnel dirigeant Appliquer cette règle au groupe «Dirigeants» importé de votre serveur LDAP Utiliser le moteur de filtrage applicatif (DPI) pour rechercher l hôte HTTP www.youtube.com dans l en-tête HTTP Appliquer une garantie de bande passante pour le trafic contenant cet en-tête Flux vidéo : bande passante désirée Flux vidéo : bande passante accordée au personnel dirigeant Flux vidéo : bande passante accordée au reste du personnel 4
3ème fonction utile : contrôler le courrier Web sortant Supposons que votre protection anti-spam actuelle est capable de détecter et de bloquer l envoi d un e-mail normal contenant des informations confidentielles de la société? Mais que faire dans le cas où un employé utilise un service de courrier électronique tel Yahoo ou Gmail pour envoyer ces informations confidentielles? Créer une règle pour bloquer les e-mails comprenant des informations confidentielles Le moteur de filtrage applicatif (DPI) recherche «Confidentiel» dans le corps des messages Bloquer le message concerné et informer l expéditeur que ce message est confidentiel OK De : bon_utilisateur@société.com A : bon_utilisateur@partenaire.com Objet : Carte de pointage approuvée Marc, J approuve les heures de votre carte de pointage de cette semaine. Jules De : mauvais_utilisateur@société.com A : mauvais_utilisateur@concurrent.com Objet : Conception feuille de route Voici la feuille de route Jan 09 version 7.0 Ce document est confidentiel STOP 5
4ème fonction utile : imposer l utilisation d applications Votre patron : veut qu Internet Explorer (IE) 7.0 soit utilisé comme navigateur standard. Votre mission : assurer que tous les systèmes de l entreprise utilisent IE 7.0 et rien d autre! Solutions possibles 1. Traquer physiquement la présence de navigateurs «étrangers», sur chaque ordinateur et chaque jour 2. Exécuter un script vérifiant quotidiennement le navigateur utilisé sur chaque ordinateur 3. Etablir une règle dans le pare-feu applicatif et ne plus y penser Créer une règle du type «J ai mieux à faire» Le moteur de filtrage applicatif (DPI) recherche l agent utilisateur MSIE 7.0 dans l en-tête HTTP Autorise IE 7.0 et bloque les autres navigateurs 6
5ème fonction utile : interdire les téléchargements FTP Vous avez configuré un site FTP pour échanger des fichiers d une certaine taille avec l un de vos partenaires commerciaux, et vous voulez vous assurer que, du côté de votre partenaire, seule la personne responsable du projet est en mesure de télécharger des fichiers vers le serveur FTP. Créer une règle pour permettre, à certaines personnes seulement, les téléchargements vers le serveur FTP Le moteur de filtrage applicatif (DPI) recherche la commande FTP «PUT» Le moteur DPI recherche le nom d utilisateur authentifié «partenaire_rp» Si les deux paramètres sont corrects, autoriser le téléchargement FTP partenaire_ventes : put file partenaire_marketing : put file partenaire_ventes : put file partenaire_rp : put file Pour un serveur FTP donné, vous pouvez également bloquer les commandes FTP que vous jugez inutiles 7
6ème fonction utile : contrôler des applications poste à poste Problème 1 : les applications poste à poste (P2P), telles que BitTorrent, dérobent de la bande passante et sont porteuses de toutes sortes de fichiers douteux. Problème 2 : la création de nouvelles applications P2P ou de simples modifications des applications P2P existantes, du numéro de version par exemple, sont extrêmement fréquentes. Créer une règle pour détecter les applications P2P Le moteur de filtrage applicatif (DPI) recherche une signature d application P2P dans la liste de signatures IPS Liste de signatures IPS BitTorrent-6.1 BitTorrent-6.0.3 BitTorrent-6.0.2 BitTorrent-6.0.1 et des centaines d autres Liste de signatures IPS + = Réception et application des mises à jour de SonicWALL Liste de signatures IPS BitTorrent-6.1.1 BitTorrent-6.1 BitTorrent-6.0.3 BitTorrent-6.0.2 et des centaines d autres Résultats Vous pouvez contrôler et gérer les applications P2P Vous ne perdez pas de temps à mettre à jour les règles de signatures IPS Les applications P2P peuvent être bloquées ou seulement limitées à l aide de restrictions de bande passante, appliquées éventuellement à des horaires spécifiques 8
7ème fonction utile : gérer les flux musicaux Les sites de diffusion audio et les radios en ligne consomment une part précieuse de la bande passante, mais il est parfois légitime de faire appel à de tels sites pour des raisons professionnelles. Voici deux manières de gérer ce défi. Contrôle par site Web Créer une liste des sites de diffusion audio dont vous souhaitez gérer l accès Créer une règle pour détecter les sites de diffusion audio Utiliser le moteur de filtrage applicatif (DPI) pour rechercher les hôtes HTTP de la liste des sites de diffusion audio à bloquer dans l en-tête HTTP Contrôle par extension de fichier Créer une liste des extensions de fichiers audio dont vous souhaitez gérer l accès Créer une règle pour détecter les contenus audio diffusés Utiliser le moteur de filtrage applicatif (DPI) pour rechercher les extensions de fichiers contenues dans la liste des extensions de fichiers audio à bloquer dans l en-tête HTTP Une fois les flux audio repérés, vous pouvez les bloquer ou simplement gérer la bande passante qui leur est accordée. 9
8ème fonction utile : allouer la bande passante selon des priorités Aujourd hui, nombre d applications vitales, comme SAP, Salesforce.com et SharePoint, sont basées sur l Internet ou fonctionnent à travers des réseaux géographiquement dispersés. Assurer que ces applications sont prioritaires sur la bande passante du réseau peut accroître la productivité de l entreprise. Créer une règle pour donner aux applications SAP la priorité sur la bande passante Le moteur de filtrage applicatif (DPI) recherche la signature ou le nom de l application Attribuer à l application SAP une priorité d accès à la bande passante SAP Salesforce.com SharePoint Autres La priorité peut être accordée en fonction de la date (par ex. en fin de trimestre pour les applications de vente) 10
9ème fonction utile : bloquer l envoi de documents confidentiels Dans certaines entreprises, les e-mails sortants ne passent pas par le système de sécurisation de messagerie, ou bien ce système ne contrôle pas le contenu des pièces jointes. Dans un cas comme dans l autre, les pièces jointes «confidentielles» peuvent facilement sortir de l entreprise. Mais comme le trafic réseau sortant passe par votre pare-feu, vous pouvez détecter et bloquer ces «données en partance». Créer une règle pour bloquer les pièces jointes aux e-mails pourvues du tatouage numérique «Confidentiel» Le moteur de filtrage applicatif (DPI) recherche le contenu d e-mail = «Confidentiel» ainsi que le contenu d e-mail = «Propriété de l entreprise» ainsi que le contenu d e-mail = «Propriété privée» et Vous pouvez de la même manière contrôler le contenu transmis par FTP! 11
10ème fonction utile : bloquer les fichiers interdits et notifier Email Danger.pif FTP FTP Danger.vbs Site Web TÉLÉCHARGER Danger.exe Votre pare-feu est-il en mesure d empêcher l une des actions suivantes Le téléchargement d un fichier EXE à partir d une page Web L attachement d un fichier EXE en pièce jointe à un e-mail Le transfert d un fichier EXE via FTP Qu en est-il des fichiers PIF, SRC ou VBS? NSA SonicWALL avec pare-feu applicatif Risque pour la sécurité Activité : vous essayez de télécharger ou de recevoir un fichier contenant une extension interdite (.exe,.pif,.src ou.vbs). Action : ce fichier a été bloqué par une règle de l entreprise. Plus d informations : veuillez consulter la section Sécurité de l intranet de l entreprise afin d obtenir la liste complète des fichiers interdits. Créer une liste d extensions de fichier interdites Créer une règle pour bloquer les extensions de fichier interdites Le moteur de filtrage applicatif (DPI) recherche les extensions de fichier interdites dans HTTP, les pièces jointes aux e-mails ou le serveur FTP Si un fichier est bloqué, envoyer une notification 12
En fin de compte Pare-feu hautes performances + Gestion unifiée des menaces + Pare-feu applicatif Appliance de sécurité réseau SonicWALL Performance, protection et contrôle ultra-précis 13
Comment en savoir plus Pour comparer les modèles d appliances de sécurité réseau SonicWALL NSA qui comprennent un pare-feu applicatif : http://www.sonicwall.com/us/products/nsa_series.html Pour télécharger la fiche technique : http://www.sonicwall.com/downloads/nsa_series_ds_us.pdf Exemples concrets d utilisations du pare-feu applicatif avec exemples de produits : http://www.sonicwall.com/downloads/sonicos_application_firewall_practical_examples_guide_technote.pdf Guide d utilisation du pare-feu applicatif : http://www.sonicwall.com/downloads/application_firewall_5.1e_feature_module.pdf Pour nous faire part de vos commentaires sur cet e-book, un autre e-book ou un livre blanc SonicWALL, envoyez-nous un e-mail à feedback@sonicwall.com. A propos de SonicWALL SonicWALL est un leader reconnu dans le développement de solutions complètes de sécurité des informations. Les solutions SonicWALL intègrent des services, logiciels et matériels intelligents et dynamiques qui éliminent les risques, les coûts et la complexité liés à l exploitation de réseaux professionnels hautes performances. Pour plus d informations, consultez notre site : www.sonicwall.com. 2008 SonicWALL, le logo SonicWALL et Protection at the Speed of Business sont des marques déposées de SonicWALL, Inc. Tous les autres noms de produits mentionnés dans ce document peuvent être des marques commerciales, déposées ou non, propriété de leurs sociétés respectives. Les spécifications et descriptions sont susceptibles d être modifiées sans préavis. 10/08 SW 466