Aller au contenu
TortueTech
RubriquesGlossaire

Pare-feu : Firewall

Sécurité

Dispositif, matériel ou logiciel, qui filtre le trafic réseau entre deux zones de confiance différentes selon un jeu de règles. Il laisse passer, rejette ou ignore chaque flux en fonction de sa source, de sa destination, du port et du protocole.

Diagramme de séquence entre quatre acteurs : client externe, pare-feu, table de règles et serveur interne. 1. Le client externe envoie un paquet entrant au pare-feu, avec IP source, IP destination, port et protocole. 2. Le pare-feu compare le paquet aux règles de la table, dans l'ordre, et la première règle qui correspond l'emporte. Ensuite, trois cas sont possibles. 3. Si la règle dit autoriser, le paquet est transmis au serveur interne et la connexion est inscrite dans la table d'état. 4. Si la règle dit rejeter, un refus est renvoyé au client. 5. Si aucune règle ne correspond, la politique par défaut s'applique : le paquet est ignoré en silence et ne va nulle part. 6. Si la connexion est déjà suivie, la réponse du serveur interne passe par le pare-feu jusqu'au client, sans règle supplémentaire.

Filtrage par règles : Chaque paquet est comparé à une liste ordonnée de règles (adresses, ports, protocole) ; la première qui correspond décide. Sans correspondance, la politique par défaut s'applique, et la seule défendable reste « tout refuser ».

Avec ou sans état : Un pare-feu sans état juge chaque paquet isolément ; un pare-feu à états suit les connexions et laisse passer les réponses sans règle dédiée. Les pare-feu applicatifs descendent plus loin, jusqu'au contenu des requêtes.

Réseau ou hôte : Un pare-feu réseau protège tout un segment, placé en coupure entre deux zones ; un pare-feu local (nftables, pare-feu Windows) ne protège que sa machine. Les groupes de sécurité du cloud reprennent le même principe, pilotés par API.

Ce qu'il ne fait pas : Il filtre des flux, pas des intentions : une attaque qui emprunte un port autorisé passe sans encombre. Quant à la règle « any any accept » posée un vendredi soir à titre provisoire, elle fête d'ordinaire son troisième anniversaire en production, entourée de l'affection de tous.

Lire la page →
Voir aussi :WAFNATDMZIDSIPSnftables

Ce qui arrive si on s'en passe

Sans pare-feu entre deux zones de confiance, tout flux qui atteint l'interface réseau est acheminé sans tri : chaque service en écoute, y compris ceux ouverts par défaut ou oubliés (administration à distance, bases de données, partages de fichiers), devient joignable depuis la zone la moins sûre. Un attaquant peut alors balayer les ports pour inventorier ces services et tenter de les exploiter directement. Les flux sortants ne sont pas davantage contrôlés : un poste compromis peut contacter librement un serveur externe et y transférer des données. La séparation entre zones n'existe plus que sur le schéma réseau, si bien qu'une machine compromise sert de point d'appui vers les autres. Enfin, aucune trace des connexions acceptées ou rejetées n'est journalisée à la frontière, ce qui complique la reconstitution d'un incident.

Explication de la marmotte

Un ordinateur reçoit en permanence des petits messages venus d'Internet, comme un immeuble voit passer des visiteurs toute la journée. Le pare-feu joue le rôle du gardien à l'entrée. Il a une liste écrite à l'avance : tel visiteur peut monter au troisième, tel autre n'a rien à faire ici, et quiconque n'est pas sur la liste reste dehors. Il vérifie d'où vient chaque message et à quelle porte il veut frapper, puis il le laisse passer ou le refoule. Il ne fouille pas toujours les sacs, donc il ne protège pas de tout. Mais sans lui, n'importe qui pourrait essayer toutes les portes de l'immeuble.

Où ce terme est utilisé

← Tout le glossaire