Souvent bien plus que vous ne le pensez. Les règles s'ajoutent au fil des années, pour un dépannage, pour un prestataire, pour une application qui ne fonctionnait pas, et presque aucune n'est retirée ensuite.
La vérification prend une demi-journée et se termine presque toujours par deux constats, des règles dont plus personne ne connaît la raison d'être, et un ou deux services accessibles depuis Internet dont vous ignoriez l'exposition.
Commencer par regarder de l'extérieur
Avant d'ouvrir la configuration du pare-feu, il est plus instructif de regarder ce qui répond depuis Internet. C'est exactement ce que fait un attaquant.
Cet inventaire se réalise en quelques heures et révèle typiquement un accès distant ouvert pour un dépannage ancien, une caméra installée par un prestataire avec son propre accès, une interface d'administration d'équipement accessible, ou un serveur de test resté joignable.
Le meilleur correctif à ce stade n'est pas de sécuriser ces services, c'est de fermer ceux qui n'ont plus de raison d'être ouverts.
Les règles temporaires devenues permanentes
C'est la principale dette technique d'un pare-feu de PME. Une règle large ouverte un vendredi soir pour débloquer une situation, avec l'intention de la préciser plus tard.
Ces règles se repèrent à leur forme, une plage d'adresses très large en source, un ensemble de ports plutôt qu'un port précis, ou une absence totale de commentaire.
C'est d'ailleurs le premier réflexe à installer, commenter chaque règle avec sa raison d'être, la date et le demandeur. Une règle sans commentaire devient en quelques années impossible à supprimer sans crainte, ce qui la rend éternelle.
Filtrer aussi ce qui sort
La plupart des pare-feux de PME sont configurés pour tout autoriser en sortie. C'est confortable et c'est une occasion manquée.
Un code malveillant installé sur un poste doit joindre son serveur de commande pour recevoir ses instructions et ses clés de chiffrement. Un filtrage en sortie, même sommaire, coupe ce dialogue et neutralise parfois une attaque en cours.
Le filtrage complet des flux sortants est difficile à tenir dans une PME. Une approche intermédiaire donne l'essentiel du bénéfice, bloquer les protocoles qui n'ont aucune raison de sortir directement, comme la messagerie ou la résolution de noms depuis un poste, et empêcher les serveurs de naviguer sur Internet.
Les postes de supervision industriels méritent le traitement le plus strict, car ils n'ont presque jamais besoin d'accéder à Internet.
Le pare-feu lui-même, cible de choix
Un pare-feu est exposé par nature, ce qui en fait une cible privilégiée. Les failles touchant les passerelles d'accès distant font régulièrement l'objet d'attaques massives dans les jours suivant leur publication.
Trois vérifications s'imposent. Son logiciel est-il à jour. Son interface d'administration est-elle inaccessible depuis Internet. Et l'équipement est-il encore suivi par son fabricant, un matériel en fin de support ne recevant plus aucun correctif quelle que soit la gravité de ce qui sera découvert.
Ce dernier point surprend souvent, un pare-feu de six ou sept ans qui fonctionne parfaitement peut avoir cessé de recevoir des correctifs depuis longtemps.
Ce que le pare-feu ne fait pas
Il filtre les communications, il ne voit pas ce qui se passe à l'intérieur d'un poste, et il ne protège pas contre un message frauduleux dont le lien mène vers un site légitime compromis.
Il ne protège pas non plus les échanges entre machines d'un même réseau. C'est le rôle de la segmentation, qui relève d'une démarche distincte et complémentaire.
Un pare-feu seul, sans segmentation interne, sans protection des postes et sans authentification renforcée, laisse un réseau où tout communique librement dès qu'un premier poste est compromis.
L'accès distant, à traiter à part
C'est la fonction du pare-feu qui expose le plus. Trois exigences y sont raisonnables et bien acceptées.
L'authentification à deux facteurs, sans exception, y compris pour les prestataires.
Des comptes nominatifs plutôt qu'un compte partagé au nom d'une société.
Une arrivée limitée au périmètre nécessaire plutôt qu'un accès équivalent à un branchement sur le réseau interne.
Ce qui suffit dans une petite structure
Une revue annuelle des règles convient, à condition d'être réellement faite et écrite. Elle consiste à relire chaque règle et à confirmer qu'elle correspond encore à un besoin identifié, en supprimant celles dont personne ne peut justifier l'existence.
Elle se complète d'un relevé de ce qui répond depuis Internet, à faire au même moment. Ces deux exercices tiennent en une demi-journée et constituent le meilleur rapport entre effort et sécurité gagnée dont dispose une PME.
Questions fréquentes
Comment savoir ce qui est exposé depuis Internet ?
En regardant de l'extérieur plutôt que dans la configuration, ce qui reflète la réalité et non l'intention. Un relevé des services qui répondent sur vos adresses publiques prend quelques heures et révèle presque toujours un accès oublié, une caméra installée par un prestataire ou une interface d'administration accessible.
Faut-il filtrer les flux sortants ?
Un filtrage complet est difficile à tenir en PME, mais une approche intermédiaire apporte l'essentiel. Bloquez les protocoles qui n'ont aucune raison de sortir directement depuis un poste, empêchez les serveurs de naviguer sur Internet, et coupez tout accès sortant aux postes de supervision industriels. Cela suffit souvent à neutraliser un code malveillant qui cherche à joindre son serveur de commande.
Comment traiter les règles dont personne ne connaît l'usage ?
Ne les supprimez pas d'un coup. Désactivez-les plutôt, attendez quelques semaines et observez si quelque chose s'arrête. Documentez ensuite celles qui se révèlent nécessaires, avec leur raison d'être et leur demandeur, et supprimez les autres. Prenez l'habitude de commenter toute nouvelle règle, sans quoi elle deviendra à son tour indéboulonnable.
Un pare-feu de plusieurs années est-il encore fiable ?
Vérifiez d'abord s'il est toujours suivi par son fabricant. Un équipement en fin de support ne reçoit plus de correctifs, quelle que soit la gravité des failles découvertes, alors même qu'il continue de fonctionner normalement. Les passerelles d'accès distant étant des cibles massivement attaquées, un pare-feu non suivi est un risque majeur.