Pare-feu : filtrage réseau et politiques de sécurité

Un pare-feu est un dispositif de filtrage réseau qui contrôle les flux entrants et sortants selon des règles de politique de sécurité définies par l'administrateur. Le pare-feu analyse les paquets en fonction de critères précis : adresse IP source et destination, port, protocole, et état de la connexion. Les pare-feux de première génération opèrent en filtrage stateless, examinant chaque paquet indépendamment. Les pare-feux stateful inspection maintiennent une table d'état des connexions TCP/UDP actives, ce qui permet de détecter des paquets hors séquence ou malformés. Les pare-feux de nouvelle génération (NGFW) intègrent une inspection applicative en couche 7, une identification des utilisateurs et des flux chiffrés via le déchiffrement TLS. Les WAF (Web Application Firewalls) ciblent spécifiquement les flux HTTP/HTTPS pour bloquer les injections SQL, les XSS ou les tentatives de traversée de répertoires. Le positionnement du pare-feu dans l'architecture réseau, périmètre, DMZ ou est-ouest entre segments internes, détermine directement la surface de protection effective.

Côté Blue Team et SOC, la supervision des pare-feux repose avant tout sur l'analyse des logs de flux réseau. Les équipements Cisco ASA, Palo Alto, Fortinet ou pfSense génèrent des événements horodatés contenant la règle appliquée, les adresses IP, les ports et le verdict (permit/deny). L'agrégation de ces logs dans un SIEM (Splunk, Elastic, Microsoft Sentinel) permet de corréler des tentatives de connexion répétées sur des ports inhabituels. Les indicateurs clés à surveiller incluent : un volume anormal de connexions refusées vers un même hôte interne, des tentatives de connexion sur des ports non référencés dans la politique de sécurité, et des flux sortants vers des plages IP géographiques non autorisées. Le monitoring des modifications de règles est critique : tout changement de politique de sécurité doit générer un événement d'audit corrélé à un ticket de changement. Sur les NGFW, les logs d'inspection applicative révèlent des tunnelisations suspectes via DNS ou ICMP. Les alertes sur les flux de longue durée à faible débit (low-and-slow) complètent la supervision standard.

Côté Red Team, le contournement de pare-feu repose sur plusieurs techniques documentées. Le port knocking et la fragmentation de paquets permettent de traverser des filtres stateless mal configurés. Les techniques de tunneling encapsulent du trafic malveillant dans des protocoles autorisés : DNS tunneling via Iodine ou dnscat2, ICMP tunneling via Ptunnel, ou encapsulation HTTP/HTTPS vers un serveur C2. Face aux NGFW avec inspection TLS, l'utilisation de certificats légitimes sur des domaines catégorisés 'trusted' permet d'éviter l'inspection. Le domain fronting exploite des CDN légitimes pour masquer la destination réelle des flux C2. Côté durcissement, les contre-mesures efficaces incluent : l'application du principe de moindre privilège sur chaque règle ACL, la suppression des règles 'any/any', l'activation du logging sur les règles de permissivité large, et le déchiffrement TLS sur les flux sortants critiques. La segmentation réseau par micro-segmentation réduit la propagation latérale même en cas de compromission d'un hôte interne. Un audit régulier des règles avec des outils comme Tufin ou AlgoSec permet d'identifier les règles redondantes ou trop permissives.