Mots clés :  

  network 

  

  security 

 

Commençons d'abord par quelques petits rappels de base. Un pare-feu logiciel est un programme destiné à filtrer les données envoyées depuis le réseau, des données pouvant provoquer un bogue, un plantage ou pour les hacker plus déterminés à envoyer un vers via un déni de service (distribué ou non). On peut donc comparer ça à une porte qui détermine quelles personnes sont autorisées à entrer.

En entrant un peu plus dans le détails, un pare-feu aussi appelé firewal possède trois fonctions principales:
- Filtrer/examiner les données entrantes
- Filtrer/examiner les données sortantes pour vérifier qu'elles ne proviennent pas d'une application inconnue avec des données privées
- Examiner les applications connues (notamment à l'aide d'un hash)
- Filtrer/examiner les applications inconnues.
- Rejeter tout le traffic suspect :
poisonning : injection de paquet
flood : envoie en masse
spoof : usurpation d'identité
nuke : envoie d'une trop grande quantité de données
...

Les firewall modernes ont tendance à trop en faire et parfois, même trop souvent à prendre le rôle d'un antivirus ou d'un antispyware, ce qui en fait un logiciel plus lourd, c'est à dire occupant plus de mémoire et donc ayant plus de chances de planter.

Voici donc quelques notions de base de ce que l'on appelle le "firewalling".
Le firewalling regroupe un ensemble de règles de sécurité utilisées dans des firewall très souvent matériels mais également pour certain firewall logiciel, dont :
- Look'n'Stop et Jetico sous Windows
- FireHOLE avec IPtables et ARPtables dans les systèmes *NIX (Linux, Unix, ...)
- PacketFilter sous les systèmes *BSD (Free, Open, Desktop, ...)



Quelques définitions rapides

Flag = Le flag défini sur le protocol TCP l'action d'une machine vers une autre : demande de connexion, fin de connexion, ...

Port = Le port est le service, l'application qui va permettre aux données d'être interpretée : smtp : mailing , ftp : transfert de fichiers, ...

Adresse IP = Défini numériquement une machine : mon PC a l'adresse IP 192.168.1.123 et le routeur 192.168.1.1

Data = Les datas sont les données envoyées dans le paquet TCP ou UDP, par exemple l'envoie de donnée en TCP se fait par une action appelée PUSH (pousser, flag PSH)

Broadcast = Paquet d'identification des machines sur un (sous-)réseau, paquet destiné à un ensemble de machines d'oà leur adresse IP destination de type 255.255.255.255 et mettant en oeuvre leur adresse physique, c'est à dire l'adresse MAC (protocole ARP)

Poste 1 envoie un paquet avec le flag SYN actif (=1) au Poste 2

Poste 2 reçois le paquet et confirme (si autorisé) par un accusé de réception et une demande de connexion lui aussi en envoyant donc un paquet avec le flag ACK actif (accusé de réception) et le flag SYN actif (demande de connexion)

Poste 1 reçois le paquet avec les flags SYN et ACK actifs au Poste 2 et accuse réception donc envoie un paquet avec le flag ACK actif


[ Connexion, certains appellent ça le 'three-way handshake' pour poignée de main :
P1 demande la connexion
P2 accepte la connexion et se connecte aussi : si P1 est connecté sur P2, P2 est connecté sur P1, c'est bi-directionnel
P1 confirme la connexion

Une connexion est bi-directionnelle, cependant la connexion à un service se fait sur un port choisi au moment de la demande de connexion : pour se connecter sur le site de Google, on demande une connexion sur le port 80 (HTTP - donc choisi) et Google se connecte sur notre poste pour envoyer les données c'est à dire le contenu de la page sur un port aléatoire et non utilisé par un service. Les services utilisent en standard des ports inférieur à 1024. Les ports locaux utilisés sont souvent compris entre 1025 et 4999.

[ Envoie de données ]
P1 envoie les données et demande un accusé de réception
P2 confirme. Si P2 ne confirme plus ou envoie autre chose que ACK, P1 arrêtera d'envoyer des données

[ Fin de connexion ]
P1 demande une fin de connexion
P2 accepte et met fin à sa connexion
P1 confirme la fin de connexion à P2

[ Refus de connexion : P2 refuse la connexion à P1 ]
P1 demande une connexion à P2
P2 envoie un refus à P1

Nous sommes capables grâce à ces informations d'envoyer de fausses demandes de connexion, afin de renseigner quelques informations sur le service qui est derrière. Cela s'appelle du 'grab de bannière'. Il s'agit en fait de se connecter à un service uniquement pour voir ce qu'il retourne :

Il est également possible de faire de la découverte de système, communément appelé 'os fingerprinting' grâce à l'outil p0f (fait par Michal Zalewski). Nous ne rentrerons pas dans les détails sur cette technique car elle est complexe et aura son article pour elle seule. Nous allons simplement voir comment nous pouvons faire, si il n'y a pas un firewall qui fausse les données de retour sur le système cible.

Le but du firewalling dans ce cas est de ne pas renvoyer de données s'il n'y a pas d'envoie de donnée de la part du client afin que p0f ne recoive pas ou trop peu de données. Nous allons maintenant analyser rapidement quelques types de scan avec Nmap.
Un scanne de ports permet également de voir si un port est ouvert autrement qu'en envoyant une demande de connexion (SYN), il est possible de voir si un port est ouvert en regardant la réponse, le temps de réponse ou bien même le contenu de la réponse :

Il est clair que le firewall doit être capable de détecter et d'arrêter les paquets de ces différents types. Un firewall trop simpliste qui ne bloquerait que les scanne de type SYN ou TCP Connect() ne serait utile qu'en parti.

La valeur correspond à une partie des données que contient le paquet TCP/IP. Ca dépend aussi bien du protocol que du service sur lequel transitent les paquets. Les types ICMP sont donnés à titre indicatifs, ils sont très utiles lors de l'élaboration d'un jeux de règles. Voici donc quelques valeurs utiles pour la configuration de votre pare-feu.

DNS signifie Domain Name Server, et défini un nom à une adresse IP, c'est grâce à eux qu'ont peut naviguer sur internet sans avoir à conna�tre l'adresse IP de Google ou Yahoo, par exemple. Voici une liste de serveurs DNS en fonction des FAI (: Fournisseur d'Accès Internet)). Les serveurs DNS doivent avoir des autorisations spéciales notamment sur le port 53 en UDP (DNS).

La plus part des pare-feux utilisateur ont une base de donnée contenant des définitions d'attaques et de type de scanne. C'est avec cette base de donnée que le parefeu analyse le paquet reçu de l'exterieur et le compare avec sa liste. Les parefeux évolués c'est à dire matériels pour la plus part n'ont pas de mise à jour si ce n'est à cause de faille logiciel.

Un jeu de règles permet à la différence d'une base de donnée est défini par l'utilisateur et non par le firewall lui même, beaucoup de parefeux permettent les deux, cependant les règles paramètrables par l'utilisateur sont souvent génériques car elles permettent d'autoriser ou de bloquer une adresse IP, un port, controler les PING mais pas grand chose de plus.

Sous Windows, on peut se permettre de comparer Look'n'Stop ou Jetico à FireHol avec IPtables sous Linux (en cependant légèrement moins bien) car ils permettent de configurer jusqu'au flag des paquet TCP, et contrôle des protocoles utilisé en dehors de l'internet, dans un réseau d'entreprise par exemple - pour ça je pense au protocol SNMP, IPX, ...

Selon mon avis le rôle d'un parefeu est de proteger l'accès à une machine d'un réseau donné.

Sur un réseau simple, pour minimiser le coût il convient de disposer d'une solution firewall et antivirus sur chaque poste.

En supposant que l'ordinateur portable est dédié à un usager classique alors que le l'ordinateur fixe PC1 est dédié à la personne qui s'y connait le plus. Je propose des solutions simplistes sur PC2 mais testée et approuvée par des sites experts en sécurité (logiciels à trouver, il se peut qu'à la lecture Comodo Firewall et Avast Antivirus soit obsolète). D'abord il convient de bloquer les ports sensibles : 139, 445, 1027, 1028 et le 135. Je propose ci-dessous - en grosse partie grâce au jeu de règles de Look'n'Stop Phant0m`s - une série de tests à réaliser pour mieux filtrer le traffic sur votre ordinateur ou sur votre réseau.

Afin de mieux sécuriser ce genre de réseau il suffit tout simplement d'avoir un Windows officiel et des logiciels de sécurité à jour, car un réseau ou un ordinateur avec une multitude d'outils de sécurité mais qui ne sont pas à jour, laissera les exploits passer, et bloquer un exploit ne fait ni parti du travail d'un antivirus ni du travail du firewall. Pour un tel réseau il faut donc sécuriser le poste le plus important de manière efficace et non de manière forte. J'entend par manière forte, installer un antivirus, antispyware, un firewall, un antirootkits, un HIPS surtout que maintenant le firewall fait antispyware, que l'antivirus fait antispyware. On se retrouve avec plein d'usines à gaz qui ont plus tendance à ralentir un ordinateur même récent que vraiment protéger. Il faut se dire qu'il veut mieux un outil spécialisé plutôt qu'un outil qui fait tout, un outil qui fait tout, s'il plante ne fait plus rien, alors qu'un antivirus qui plante ne cause pas de dégâts au pare-feu. Je me répète certes, mais j'ai de bonnes raisons.

De telles règles assurent une bonne politique de sécurité, elle sont très certainement perfectionnables mais elle me semble déjà bien filtrante et empêche pas mal de type de scanne. La grosse différence avec Linux est le fait que le timing n'est absolument pas géré.