Français
Menu

Qu'est-ce que Pare-feu ?

Mécanisme (équipement ou logiciel), généralement placé à la frontière d'un réseau, qui ne laisse passer que le trafic autorisé par des règles prédéfinies et bloque tout le reste. Il décide d'après les adresses IP source et destination, les numéros de port, le protocole, le sens du trafic, etc. Son rôle principal est de protéger un réseau interne contre les connexions non autorisées venant d'Internet.

Nom japonais: ファイアウォール

« Pare-feu » apparaît dans 6 questions d'entraînement réparties sur 4 thèmes, dont Cyberattaques et défense en pratique, Bases du cloud et des conteneurs, Bases des réseaux informatiques.

Domaine: Bases de la sécurité de l'information

Filtrage de paquets et inspection avec état

Le filtrage de paquets élémentaire compare l'en-tête de chaque paquet à une liste de règles, de haut en bas, et laisse passer ou rejette le paquet selon la première règle qui correspond. Le trafic auquel aucune règle ne correspond est rejeté par principe (refus par défaut). L'inspection avec état (stateful inspection) mémorise l'état de chaque connexion, y compris le côté qui l'a ouverte : elle laisse passer automatiquement le trafic de retour des connexions ouvertes depuis l'intérieur et rejette le trafic non sollicité venant de l'extérieur. Les produits qui identifient en outre les applications d'après le contenu du trafic ou intègrent la prévention d'intrusion sont appelés pare-feux de nouvelle génération.

Emplacement et DMZ

Un pare-feu se place normalement là où Internet rejoint le réseau interne. Les serveurs que l'extérieur doit pouvoir joindre, comme les serveurs web et de messagerie, sont placés dans une zone distincte appelée DMZ (zone démilitarisée). On n'ouvre que les ports nécessaires d'Internet vers la DMZ, on n'autorise rien d'Internet vers le réseau interne, et l'on restreint le trafic de la DMZ vers le réseau interne. Ainsi, même si un serveur public est pris en main par un attaquant, les dégâts ont moins de chances de s'étendre à l'intérieur. Outre les équipements de frontière, il existe des pare-feux d'hôte qui fonctionnent sur chaque PC et chaque serveur.

Ce qu'un pare-feu seul ne peut pas arrêter

Si le port 443 est ouvert pour un site web, une injection SQL ou un cross-site scripting cachés dans ce trafic passent : il faut donc un WAF qui inspecte le contenu. Un pare-feu ne peut pas non plus arrêter un appareil interne infecté par une pièce jointe ou par hameçonnage, ni un intrus qui se connecte par le VPN avec des identifiants valides. La défense combine donc la détection et la prévention d'intrusion (IDS/IPS), l'EDR pour surveiller les terminaux et l'approche zero trust, qui vérifie chaque accès.

S'entraîner : questions sur Pare-feu

Quelle description de la fonction de base d'un pare-feu (à filtrage de paquets) est correcte ?

  1. AIl chiffre la communication pour empêcher l'écoute clandestine en chemin
  2. BIl ne laisse passer que le trafic autorisé et bloque le reste, selon des règles fondées sur les adresses IP source et destination, les numéros de port, etc.
  3. CIl répartit les paquets entrants entre plusieurs serveurs pour distribuer la charge de traitement
Afficher la réponse et l'explication

Réponse : B. Il ne laisse passer que le trafic autorisé et bloque le reste, selon des règles fondées sur les adresses IP source et destination, les numéros de port, etc.

Un pare-feu est placé par exemple à la frontière entre un réseau interne et Internet, et autorise ou refuse le trafic selon des règles définies à l'avance. Un réglage typique est : « depuis l'extérieur, n'autoriser que le trafic vers le port 443 du serveur web public et refuser toutes les autres connexions entrantes ». La plupart des pare-feux actuels pratiquent l'inspection avec état (stateful inspection) : ils suivent l'état des connexions et laissent passer automatiquement les paquets de retour des connexions ouvertes depuis l'intérieur. Ils ne chiffrent pas ; on les combine donc avec TLS ou un VPN pour protéger le trafic. Ils ne peuvent pas non plus arrêter les attaques qui passent par un port autorisé (comme celles qui exploitent les vulnérabilités des applications web) ; on utilise donc aussi d'autres mesures, comme un WAF.

Un hôte communique avec un serveur web lointain à travers un tunnel VPN site à site. Les connexions TCP s'établissent et les petites pages s'affichent, mais les téléchargements de gros fichiers se bloquent en cours de route. La MTU dans le tunnel est de 1400 octets, et le serveur envoie des paquets de 1500 octets dont la fragmentation est interdite (bit DF à 1). Le pare-feu placé devant le serveur est en outre configuré pour détruire tout l'ICMP. Quelle est la cause la plus probable ?

  1. ALa résolution de noms DNS échoue
  2. BLa fenêtre de réception TCP est trop petite, si bien qu'on ne peut pas envoyer assez de données à la fois
  3. CLes messages ICMP indiquant qu'une fragmentation est nécessaire, envoyés par le routeur qui détruit les paquets trop grands, n'atteignent pas le serveur, qui ne peut donc pas réduire la taille de ses paquets
Afficher la réponse et l'explication

Réponse : C. Les messages ICMP indiquant qu'une fragmentation est nécessaire, envoyés par le routeur qui détruit les paquets trop grands, n'atteignent pas le serveur, qui ne peut donc pas réduire la taille de ses paquets

Dans la découverte de la MTU du chemin, la source envoie les paquets avec le bit DF à 1, et un routeur qui détruit un paquet plus grand que sa MTU indique dans un message ICMP (Fragmentation Needed en IPv4, Packet Too Big en IPv6) la taille qui peut passer. Si le pare-feu détruit ces messages, le serveur continue d'envoyer de gros paquets qui sont détruits à chaque fois, si bien que seuls les gros transferts de données se bloquent (trou noir de la MTU du chemin). L'établissement de la connexion et les petites réponses utilisent des paquets de moins de 1400 octets, et passent donc sans problème. Les remèdes consistent à ne plus détruire ces messages ICMP, ou à faire réécrire le MSS de TCP à une valeur plus petite par le routeur situé à l'entrée du tunnel. En comptant 20 octets chacun pour les en-têtes IPv4 et TCP, une MTU de 1400 octets appelle un MSS de 1400 − 20 − 20 = 1360 octets.

Questions fréquentes

Quelle est la différence entre un pare-feu et un WAF ?

Un pare-feu décide quel trafic laisser passer principalement d'après les adresses IP et les numéros de port. Un WAF (pare-feu applicatif web) inspecte le contenu du trafic web autorisé, c'est-à-dire les requêtes HTTP, et bloque des attaques comme l'injection SQL. Ils protègent des couches différentes et s'utilisent donc ensemble.

Un antivirus est-il encore nécessaire si l'on a un pare-feu ?

Oui. Un pare-feu laisse passer le trafic qu'il autorise : il ne peut donc pas arrêter un logiciel malveillant qui arrive par la navigation web ou par le courrier électronique. Il faut le combiner avec une protection contre les logiciels malveillants sur les terminaux ou un EDR, et avec les mises à jour logicielles.

« Pare-feu » dans les explications

Questions mentionnant « Pare-feu » (6)

  1. Un conteneur est démarré par la commande ci-dessus à partir de l'image nginx, un serveur web qui écoute sur le port 80. L'adresse IP de l'hôte est 192.0.2.10, et il n'y a aucune restriction comme un pare-feu. Quelle est l'URL correcte pour joindre ce serveur web depuis un navigateur sur un autre PC du même réseau ?
  2. Quelle description de la fonction de base d'un pare-feu (à filtrage de paquets) est correcte ?
  3. Un hôte communique avec un serveur web lointain à travers un tunnel VPN site à site. Les connexions TCP s'établissent et les petites pages s'affichent, mais les téléchargements de gros fichiers se bloquent en cours de route. La MTU dans le tunnel est de 1400 octets, et le serveur envoie des paquets de 1500 octets dont la fragmentation est interdite (bit DF à 1). Le pare-feu placé devant le serveur est en outre configuré pour détruire tout l'ICMP. Quelle est la cause la plus probable ?
  4. Quelle mesure est la plus appropriée pour rendre difficile le « mouvement latéral », c'est-à-dire l'extension d'une compromission depuis un PC d'employé détourné vers d'autres PC et serveurs de l'entreprise ?
  5. Quelle association entre SIEM, SOAR et SOC et leur rôle dans la surveillance de la sécurité est correcte ?
  6. Quelle description d'un WAF (pare-feu applicatif web) est correcte ?

Comparatifs incluant ce terme

Termes associés

Adresse IP URL (Uniform Resource Locator) Paquet (packet) VPN (réseau privé virtuel) WAF (pare-feu applicatif web) Conteneur TLS (Transport Layer Security) TCP (Transmission Control Protocol) MTU (unité de transmission maximale) ICMP (Internet Control Message Protocol)

Retour au glossaire