Voici un scénario au cours duquel un attaquant parvient à pénétrer votre pare-feu. Qu’est-ce qui l’empêche de compromettre l’ensemble de votre réseau ?
C’est la raison d’être de la défense en profondeur.
Le but est de sécuriser chaque périphérique du réseau, empêchant ainsi un attaquant de sauter d’un périphérique à l’autre.
Verrouillez les périphériques de frontière de votre réseau
Commençons par les périphériques de frontière de votre réseau. Il peut s’agir d’un pare-feu ou d’un routeur. Vous pouvez utiliser des listes d’accès pour bloquer les trafics entrants suivants :
- Mises à jour de routage: Vérifiez si votre réseau doit recevoir des mises à jour de routage des IGRP (Interior Gateway Routing Protocols) comme RIP, OSPF, ou EIGRP. Cela dépendra de la conception de votre réseau.
- Maintenant, faites de même pour les protocoles tels que MPLS et BGP. Les mises à jour de routage peuvent consommer énormément de bande passante. En les réduisant au minimum, vous pouvez réduire l’encombrement du réseau.
- Adresses privées: Votre réseau ne devrait pas recevoir de requêtes avec une adresse de source privée puisque les adresses privées sont utilisées sur des réseaux privés. Bien entendu, cela inclut les adresses réseau unicast privées typiques 192.168.0.0.0/16, 172.16.0.0.0/12 et 10.0.0.0.0/8. Mais n’oubliez pas de bloquer les adresses IP suivantes :
- 0.0.0.0/8 — pour les messages diffusés sur le réseau,
- 0.0.0.0/8 — pour une adresse en boucle vers l’hôte,
- 0.0.0.0/8 — utilisé lorsqu’un dispositif s’attend à recevoir une adresse DHCP, mais n’en reçoit pas,
- 0.0.0.0/3 — Adresses multidiffusions vers des adresses expérimentales.
Une ou plusieurs DMZ peuvent être utilisées pour créer une « frontière à l’intérieur d’une frontière » pour le réseau. Séparez tous les appareils qui échangent des données directement avec le monde extérieur tels que les serveurs web, les serveurs de messagerie, etc., puis installez un pare-feu entre ces appareils et votre réseau principal. Cet isolement aidera à protéger la majeure partie du réseau contre les attaques, les virus, les chevaux de Troie, et bien d’autres.
Vous avez beaucoup de dispositifs à sécuriser ?
Depuis les périphériques de frontière, le trafic se déplace à travers toutes sortes de périphériques au sein de votre réseau. Chaque type d’appareil possède des capacités de sécurité et des vulnérabilités différentes. Par-dessus tout, vous devez connaitre vos appareils, par exemple, le comportement de certains commutateurs. Par défaut, ces derniers négocient un port en mode Trunk. Sans configuration supplémentaire, un port en mode Trunk transmet les données de n’importe quel VLAN. Vous pouvez corriger ce problème en définissant toutes les interfaces en tant que ports en mode Trunk ou non-Trunk.
L’un des avantages des pare-feu est qu’il bloque la plupart du trafic par défaut. C’est excellent pour la sécurité, bien qu’un peu incommode pour ceux qui aiment utiliser « ping » pour vérifier la connectivité. D’autre part, les routeurs, commutateurs et serveurs ont tendance à nécessiter de nombreuses configurations pour le renforcement de la sécurité.
Tirez parti des sous-routines de sécurité automatisées ou des scripts fournis par le fabricant. Ils désactivent les services inutiles, restreignent les adresses privées et publiques et ferment les interfaces inutiles. Les routines en conserve peuvent vous faire gagner beaucoup de temps et vous fournir au moins un niveau de sécurité minimum.
Les serveurs d’authentification, les pare-feu et les périphériques IPS/IDS doivent tout particulièrement être pris en compte. La plupart d’entre eux peuvent être configurés en Fail-open ou Fail-closed par défaut. Fail-open signifie que si l’appareil tombe en panne, tout le trafic est autorisé. Dans ce cas, les informations d’identification ne sont plus vérifiées et le trafic n’est plus bloqué. En cas de Fail-closed par défaut, la connectivité est interrompue.
Si la politique de votre entreprise estime que la sécurité est plus importante, utilisez Fail-close. Par contre, si la disponibilité du service est plus importante, optez pour la fonction Fail-open.
Sécurité du routeur et défense en profondeur
Les routeurs sont dotés de nombreux types de fonctions de sécurité, y compris les pare-feu et les modules IPS/IDS. Le cœur de la sécurité de tous les routeurs, cependant, est la puissante liste d’accès. Les listes d’accès vous permettent d’adapter votre sécurité à vos besoins de données et de trafic spécifiques, interface par interface, pour les couches 3 et 4.
D’autres paramètres s’appliquent à une interface spécifique, et non à l’ensemble de l’appareil. Envisagez de bloquer les éléments suivants :
- Redirection d’adresse IP — Les messages de redirection ICMP sont utilisés par les routeurs pour informer les hôtes sur la liaison de données qu’une meilleure route est disponible pour une destination particulière. Un routeur ne doit envoyer des redirections qu’aux hôtes du sous-réseau local.
- Diffusion dirigée par IP — Une diffusion dirigée est envoyée sous forme de paquet unicast jusqu’à ce qu’elle arrive sur le sous-réseau cible, où elle devient une diffusion en couche liaison. C’est une bonne idée de bloquer les paquets envoyés à l’adresse de diffusion d’un autre sous-réseau.
- Protocoles de résolution d’adresse Proxy — ceci permet aux requêtes ARP de couvrir plusieurs segments du réseau local (LAN). Avant les protocoles de redondance de premier saut tels que le Protocole de Redondance de Routeur Virtuel (VRRP) et le Protocole de Routeur de Secours Chaud (HSRP), les ARP proxy étaient importants pour maintenir la connectivité. Maintenant, ce n’est plus vraiment le cas, sauf pour le protocole de communication Mobile-IP, où Proxy ARP est utilisé pour le transfert.
- Adresses IP inaccessibles – Un routeur répond avec ces paquets ICMP lorsqu’il reçoit un paquet non diffusé qui utilise un protocole inconnu ou lorsque le routeur n’a pas de route vers l’adresse de destination. Les adresses IP inaccessibles divulguent trop d’informations sur votre réseau à des attaquants potentiels.
Sécurité des commutateurs
Dans la mesure du possible, utilisez des VLAN.
C’est le moyen le plus simple d’avoir différents réseaux pour la gestion et le trafic de données et pour les serveurs. En fait, la plupart des serveurs nécessitent des réseaux séparés. Certains commutateurs offrent des VLAN privés, ce qui limite davantage le trafic entre les périphériques.
Configurez la sécurité des ports
Cela protège contre les attaques clandestines, et bien d’autres. Pour les environnements hautement sécurisés, vous pouvez même configurer un port pour n’accepter qu’une connexion d’adresse MAC spécifique.
Mais réfléchissez bien avant d’utiliser une affectation d’adresse mac statique, car cela peut rendre les déménagements de bureau, les mises à niveau de matériel et BYOD un véritable cauchemar pour l’administrateur réseau.
Le protocole Spanning Tree Protocol (STP), dans ses différentes variantes, est essentiel au bon fonctionnement du commutateur. Les utilisateurs qui connectent des routeurs et des commutateurs domestiques au réseau peuvent faire des ravages avec le STP.
Assurez-vous donc que les ports de votre commutateur sont configurés avec des extensions STP telles que BPDU Guard et Root Guard.
On y est déjà ?
La défense en profondeur sécurise chaque dispositif du réseau et non seulement les périphériques de frontière. Cette approche offre une sécurité solide et résiliente qui peut être adoptée au coup par coup en fonction de l’évolution de vos besoins technologiques et opérationnels.
N’hésitez pas à nous contacter pour toute question relative à la sécurité. Nous nous ferons un plaisir de vous aider. E-mail : info@titanhq.com