Les Firewalls

1. Les Firewalls Patrick PROY Sébastien MATHON DESS Réseaux - promotion 1999/2000

2. Plan de la présentation • Besoins • Qu’est-ce qu’un firewall ? • Techniques de filtrage • Stratégies • Marché

3. Besoins - Risques de l’Internet • le réseau interne • les serveurs Internet • la transmission de données • la disponibilité Menacescontre CERT: Computer Emergency Response Team

4. Besoins - Protection • Confiance entre réseaux ? • Points de contrôle • au sein de l ’entreprise • connexion Internet

5. Besoins - Limitations • « Social Engineering » • Défense de périmètre Un firewall n ’est pas suffisant !

6. Qu’est-ce qu’un Firewall ? • Ensemble de composants ou système placé entre deux réseaux et possédant les propriétés suivantes: • Tout trafic de l'intérieur vers l'extérieur, et vice-versa, doit passer par lui; • Seul le trafic autorisé, défini par la politique de sécurité, est autorisé à passer à travers lui; • Le système lui-même est hautement résistant à toute pénétration.

7. Techniques Firewall : le filtre • Examen des datagrammes • d’après des règles précises portant sur • l ’@ source • l ’@ destination • le protocole utilisé • Niveau 3 de l’ OSI

8. Techniques Firewall : le filtre (2) • Avantages • Le gain de temps en terme de mise en place du routeur • Le coût généralement faible d ’un routeur filtrant • Les performances de ces routeurs sont généralement bonnes • Les routeurs filtrants sont transparents aux utilisateurs et aux applications

9. Techniques Firewall : le filtre (3) • Inconvénients • L'élaboration de règles de filtrage peut être une opération pénible. • Le routeur filtre de paquets ne protège pas contre les applications du type Cheval de Troie. • Choix parfois crucial entre performance et sécurité. • Il n ’y a pas d’analyse des services.

10. machine.ici.dom gateway.ici.dom x.ailleurs.com Techniques Firewall : la passerelle • Système relayant des services entre 2 réseaux (connexions TCP) 1891 1525 2045 7411

11. machine sur Internet 2 1 proxy 3 1. Demande du service TELNET 2. Vérification de l ’identité via une machine interne 3. Connexion TELNET créée Techniques Firewall : la PNA passerelle de niveau application • Service logiciel (service proxy)

12. Techniques Firewall : la PNA (2) passerelle de niveau application • Le Bastion Host : armé et protégé • mise en œuvre • version sécurisée de l ’OS. • un ensemble limité de services proxy. • un système d'authentification de haut niveau. • accès à un sous-ensemble des commandes standards de l'application. • accès à un système hôte spécifique. • programmes de petite taille • détection des bugs et des faiblesses • mail UNIX: 20000 lignes de code / proxy:1000

13. Techniques Firewall : la PNA(3) passerelle de niveau application • Avantages • contrôle complet sur chaque service. • authentification extrêmement poussées. • audit des détails des connexions. • règles de filtrage faciles à configurer et à tester. • Inconvénients • augmentation considérable du coût du firewall. • réduction de la qualité du service offert aux utilisateurs. • diminution de la transparence du système. • installation de logiciels spécialisés sur chaque système accédant à des services proxy.

14. Techniques Firewall : la PNC passerelle de niveau circuit • Relais de connexions TCP • agit comme un fil • Les connexions semblent être originaires du Firewall • connexions sortantes • utilisation facile d’emploi

15. Techniques Firewall : V.P.N. Virtual Private Network • Firewall à firewall • Souvent des protocoles propriétaires • Cryptage et décryptage

16. Stratégie : Décision • Ce qui n'est pas explicitement permis est interdit; • Ce qui n'est pas explicitement interdit est permis.

17. Stratégie : Craintes • Failles de sécurité : • Destruction • Zones de risques : centraliser sur le firewall

18. Stratégie : Architectures Firewall Filtrage de paquets par routeur • simple routeur filtre entre Internet et le réseau privé • règles de filtrage simples • accès facile à Internet (de l ’intérieur) • accès limité au réseau (de l ’extérieur)

19. hôtes Trafic bloqué Réseau privé Internet Trafic permis Bastion Stratégie : Architectures Firewall Screened Host Firewall • Single-Homed Bastion Host

20. Réseau privé Internet Bastion Stratégie : Architectures Firewall Screened Host Firewall • Dual-Homed Bastion Host

21. Stratégie : Architectures Firewall La Zone Démilitarisée (DMZ) Web FTP Réseau privé Internet filtre filtre Bastion

22. Stratégie : D.M.Z. Demilitarized Zone • Avantages • 3 systèmes de protection à franchir. • Seule la D.M.Z. est visible de l ’extérieure. • Translations d ’adresses. • Inconvénients • Coûteuse. • Compliquée. • Manque de transparence.

23. Firewall : Matériel ou logiciel • Matériel • En général niveau 3 ou 4. • Coûteux mais rapide et simple à administrer. • Manque de transparence, bugs. • Logiciel • En général bastion host. • Plus d ’administration mais plus de transparence. • Mise à jour simple.

24. Axent Check Point Cyberguard Fore Lucent Netscreen Network Associates Novell Secure Computing Les acteurs du marché

25. Performances

26. Références • http://www.icsa.net • Marcus J. Ranum, « Thinking about Firewalls »

27. Bon stage à toutes et à tous !!!