Qu'est-ce qu'un pare-feu ?

Que fait un pare-feu et comment fonctionne-t-il ?

La mission centrale d'un pare-feu est de contrôler le trafic réseau. Il se positionne à une frontière, généralement le périmètre réseau ou un datacenter, et inspecte chaque paquet de données qui tente de le traverser. En utilisant des règles prédéfinies, le pare-feu compare chaque paquet à des critères tels que les adresses IP source et destination, le numéro de port et le type de protocole. Si le paquet correspond à une règle d'autorisation, il passe ; s'il enfreint les règles, le pare-feu le bloque ou le rejette et peut enregistrer un événement de sécurité. Dans les environnements d'entreprise, les règles individuelles sont regroupées en listes de contrôle d'accès (ACL) et évaluées dans l'ordre jusqu'à ce qu'une correspondance soit trouvée.

Les pare-feux plus avancés ne jugent pas chaque paquet de façon isolée. En utilisant l'inspection avec état, ils suivent l'état et le contexte complets d'une connexion, afin de pouvoir déterminer si un paquet fait légitimement partie d'une session établie ou représente quelque chose d'inattendu. L'inspection approfondie des paquets (DPI, Deep Packet Inspection) va encore plus loin, examinant le contenu réel d'un paquet, pas seulement son en-tête, ce qui permet au pare-feu de repérer des malware ou du contenu interdit cachés dans un trafic d'apparence normale. Les pare-feux modernes comparent également le trafic à des feed de renseignement sur les menaces de signatures malveillantes connues, et ils traitent la direction différemment : le trafic nord-sud entrant de l'extérieur est inspecté de près, tandis que le trafic est-ouest se déplaçant entre les systèmes internes est surveillé pour détecter les attaquants en déplacements latéraux.

Générations de pare-feux : une brève histoire

Les pare-feux existent depuis la fin des années 1980 et ont évolué à travers quatre grandes générations, chacune répondant aux menaces de son époque :

• Filtrage de paquets (1989) : La première génération examinait les paquets individuels par en-tête (IP, port, protocole) mais ne pouvait pas voir à l'intérieur pour détecter du code malveillant.
• Inspection avec état (années 1990 au début des années 2000) : La deuxième génération, pionnière commercialement avec FireWall-1 de Check Point en 1993, suivait l'état des connexions actives et utilisait le contexte pour repérer les comportements suspects.
• Proxy / passerelles applicatives (début des années 2000) : La troisième génération agissait comme intermédiaire au niveau de la couche 7 du modèle OSI (Open Systems Interconnection), séparant complètement le client et le serveur et inspectant le trafic au niveau applicatif.
• Pare-feux de nouvelle génération (à partir de 2010 environ) : La quatrième génération combinait le filtrage traditionnel avec l'inspection approfondie des paquets, la prévention des intrusions, la connaissance des applications et le renseignement sur les menaces. Aujourd'hui, cela s'étend aux pare-feux alimentés par l'IA et délivrés dans le cloud.

Les générations antérieures sont toujours utilisées aujourd'hui. De nombreux réseaux combinent plusieurs types, appliquant le bon pare-feu au bon endroit.

Types de pare-feux

Les pare-feux sont généralement catégorisés selon la façon dont ils inspectent le trafic, mais ils peuvent aussi être regroupés selon ce qu'ils protègent (un réseau entier ou un seul hôte), leur facteur de forme (matériel, logiciel ou cloud) et leur position dans le réseau (périmètre, interne, distribué ou hybride). Les principaux types par méthode d'inspection sont :

Pare-feu à filtrage de paquets

Le type le plus simple et le plus rapide. Il vérifie l'en-tête de chaque paquet par rapport aux règles de source et destination IP, port et protocole, puis l'autorise ou le bloque. Économique mais limité, car il ne peut pas voir le contenu des paquets ni le contexte de connexion.

Pare-feux sans état vs. avec état

Un pare-feu sans état inspecte chaque paquet indépendamment au niveau de la couche transport, sans mémoire des paquets précédents, il ne peut donc pas déterminer si un paquet appartient à une connexion existante. Un pare-feu avec état, au contraire, suit l'état et le contexte des connexions actives, prenant des décisions d'autorisation ou de blocage plus éclairées. L'inspection avec état offre une protection plus solide mais utilise davantage de puissance de traitement.

Pare-feu proxy (passerelle applicative)

Opérant au niveau de la couche 7 du modèle OSI, un pare-feu proxy agit comme intermédiaire qui termine la connexion client, inspecte la requête, puis ouvre une connexion séparée vers le serveur. Cela empêche un lien direct client-serveur et permet une inspection approfondie au niveau applicatif, au prix d'une latence supplémentaire.

Pare-feu de nouvelle génération (NGFW)

Un NGFW combine le filtrage avec état traditionnel avec des capacités avancées : DPI, système de prévention des intrusions (IPS), connaissance et contrôle des applications, filtrage d'URL, prévention des pertes de données (DLP), sandboxing, sécurité des appareils Internet des objets (IoT) et accès réseau zéro confiance. Les NGFW peuvent être déployés en matériel, logiciel, virtuel ou cloud, et intègrent souvent le réseau étendu défini par logiciel (SD-WAN), le Zero Trust Network Access (ZTNA) et le Secure Access Service Edge (SASE).

Pare-feu applicatif web (WAF)

Un WAF est un proxy inverse qui se positionne devant les applications web et filtre le trafic HTTP, bloquant les attaques comme l'injection SQL, le cross-site scripting (XSS) et la falsification de requêtes inter-sites. Il protège l'application des utilisateurs malveillants, en complément des pare-feux réseau qui protègent le réseau du trafic malveillant.

UTM, virtuels, cloud-natifs et pare-feu en tant que service

Les dispositifs de gestion unifiée des menaces (UTM, Unified Threat Management) regroupent le pare-feu avec l'antivirus et la prévention des intrusions pour plus de simplicité. Les pare-feux virtuels fonctionnent comme logiciel sur des hyperviseurs ou dans le cloud et supportent la segmentation réseau et la mutualisation. Les pare-feux cloud-natifs sont conçus pour des plateformes cloud spécifiques comme AWS, Azure et Google Cloud. Le pare-feu en tant que service (FWaaS, Firewall-as-a-Service) délivre la capacité de pare-feu depuis le cloud par abonnement, ce qui évolue facilement et convient aux environnements distribués et multi-cloud. Certaines organisations optent également pour un pare-feu managé, externalisant la configuration continue et la surveillance à un prestataire.

Comparaison des types de pare-feux

Choisir le bon pare-feu revient à faire correspondre sa profondeur d'inspection, ses performances et son cas d'usage idéal à votre environnement.

Pare-feux matériels, logiciels et cloud

Au-delà de la méthode d'inspection, les pare-feux diffèrent par leur facteur de forme. Un pare-feu matériel est un équipement physique placé entre les réseaux, privilégié sur les grands réseaux où un logiciel seul consommerait trop de puissance de traitement. Un pare-feu logiciel fonctionne sur un serveur, une machine virtuelle ou un appareil individuel (un pare-feu hôte ou personnel), contrôlant le trafic de ce système. Un pare-feu cloud ou FWaaS est hébergé dans le cloud et est bien mieux adapté à la protection des actifs cloud et multi-cloud qu'un équipement physique. À l'origine, presque tous les pare-feux étaient matériels ; aujourd'hui, beaucoup sont logiciels ou délivrés dans le cloud, et les grands environnements combinent généralement les trois, idéalement gérés via une console unique pour éviter les angles morts.

Fonctionnalités du pare-feu : NAT et VPN

Les pare-feux fournissent souvent deux fonctions réseau qui méritent d'être soulignées. La traduction d'adresses réseau (NAT, Network Address Translation) réécrit les adresses IP source ou destination des paquets lors de leur transit, permettant à de nombreux appareils de partager une adresse IP publique et dissimulant les adresses internes à internet, ce qui sert également de défense contre la reconnaissance. Un réseau privé virtuel (VPN) étend un réseau privé sur un réseau public via un tunnel chiffré, afin que les utilisateurs distants puissent accéder aux ressources de l'entreprise de façon sécurisée comme s'ils étaient directement connectés. Cela est particulièrement précieux pour le travail hybride et à distance.

Pare-feu vs. antivirus vs. WAF

Les pare-feux sont fréquemment confondus avec d'autres outils de sécurité. Un pare-feu contrôle le trafic réseau et bloque les accès non autorisés au niveau réseau. L'antivirus fonctionne au niveau de l'appareil, analysant les fichiers et la mémoire pour détecter et supprimer les malware déjà présents. Un WAF est un pare-feu spécialisé axé sur la couche applicative, protégeant les applications web des attaques comme l'injection SQL et le XSS. Ces solutions sont complémentaires, pas interchangeables : la plupart des organisations utilisent un pare-feu réseau et un antivirus ensemble, et ajoutent un WAF quand elles hébergent des applications web. Un pare-feu diffère également d'un système de détection des intrusions (IDS), qui ne surveille qu'et alerte, et d'un IPS, qui bloque les attaques connues en ligne. Ce n'est pas non plus un routeur, qui dirige simplement le trafic, ni une simple ACL, qui est un filtrage au niveau des paquets sans inspection approfondie.

Pourquoi les pare-feux sont importants

Un pare-feu est largement considéré comme la première ligne de défense en sécurité réseau. Il bloque les accès non autorisés et les menaces courantes comme les virus, les portes dérobées, le trafic de phishing et les tentatives de déni de service, et peut restreindre le trafic sortant pour limiter l'exfiltration de données par des initiés ou des hôtes compromis. Les pare-feux aident également les organisations à respecter les exigences de conformité, car de nombreux référentiels réglementaires imposent leur utilisation pour protéger les données sensibles, et ils soutiennent le contrôle d'accès via le principe du moindre privilège, accordant aux utilisateurs et aux systèmes uniquement l'accès dont ils ont besoin. Un pare-feu réduit la surface d'attaque et impose une frontière claire autour de ce qui est autorisé sur le réseau.

Bonnes pratiques et défis du pare-feu

Un pare-feu nécessite une gestion et une configuration continues. La gestion efficace d'un pare-feu suit quelques pratiques fondamentales :

• Appliquer le moindre privilège aux règles : Remplacer les règles excessivement permissives « any/any » par des déclarations d'autorisation et de refus explicites.
• Tout documenter : Conserver une documentation claire et à jour de chaque règle et de son objectif.
• Corriger et mettre à jour régulièrement : Appliquer les mises à jour et correctifs selon un calendrier cohérent.
• Protéger le pare-feu lui-même : Désactiver les protocoles de gestion non sécurisés et sauvegarder les configurations.
• Regrouper et segmenter les règles : Organiser les règles pour la clarté et la supervision.
• Surveiller et auditer en continu : Examiner les journaux pour détecter les activités suspectes et supprimer les règles obsolètes.

Les défis courants reflètent ces pratiques :

• Mauvaise configuration : Les règles excessivement permissives ou les mises à jour manquées comptent parmi les problèmes les plus dangereux et fréquents.
• Prolifération des règles : De nouvelles politiques s'accumulent au fil du temps tandis que les anciennes persistent, créant des configurations conflictuelles qui nuisent aux performances et peuvent générer des faux positifs.
• Charge de performance : L'inspection approfondie, l'analyse du trafic chiffré et les fonctionnalités avancées exigent toutes de la puissance de traitement, un pare-feu sous-dimensionné devient un goulot d'étranglement.
• Risque de mise à jour : Même les mises à jour de routine comportent des risques si elles sont mal planifiées ou testées.

Regard d'expert : un pare-feu est un point de contrôle, pas un moteur de détection

Un pare-feu est fondamentalement un contrôle préventif : il impose qui et ce qui peut traverser une frontière. C'est essentiel, mais les attaquants modernes opèrent de plus en plus avec des identifiants valides et des outils légitimes, et une part croissante des intrusions est sans malware, de sorte qu'une grande partie de l'activité malveillante ressemble à du trafic autorisé pour un pare-feu. Une fois qu'une menace a passé le périmètre, le pare-feu n'a jamais été conçu pour la traquer. La détection et la réponse sont une discipline séparée, et c'est là où s'arrête le pare-feu et où commence une plateforme Security Operations Center (SOC).

Sekoia traite le pare-feu comme une source de télémétrie à haute valeur parmi d'autres plutôt que comme l'ensemble de la défense. Les journaux de pare-feu font partie des plus de 300 intégrations qui alimentent la plateforme SOC unifiée Sekoia, où le Security Information and Event Management (SIEM) Sekoia Defend les corrèle avec les données d'endpoints, d'identités et de cloud, et où près de 1 000 règles de détection mappées sur MITRE ATT&CK transforment les événements bruts du pare-feu en détections de haute confiance. Ces détections sont enrichies par la Cyber Threat Intelligence (CTI) native Sekoia Intelligence, produite par une équipe interne de Threat Detection & Research (TDR), ce qui maintient les faux positifs à un niveau bas et aide les analystes à voir les déplacements est-ouest qu'un pare-feu seul manquerait. En tant qu'éditeur européen, Sekoia offre également une posture de souveraineté des données que les grands prestataires américains égalent rarement, associée à une réponse automatisée aux incidents afin qu'un signal provenant du pare-feu puisse déclencher un confinement en quelques minutes. Gardez le pare-feu comme première ligne, mais ne confondez pas prévention et détection.

‍

Questions fréquentes