Pare-feu nouvelle génération : 10 fonctions à connaître

Un pare-feu nouvelle génération (NGFW, pour Next Generation Firewall) filtre le trafic selon les applications et les utilisateurs, et pas seulement selon les adresses et les ports comme un pare-feu classique. Il sait reconnaître quelle application passe par une connexion, qui l’utilise, et ce qu’elle transporte. Voici les dix fonctions à vérifier pour qu’il protège réellement votre réseau sans freiner le travail.

Quelle différence avec un pare-feu classique ?

Un pare-feu classique raisonne en adresses et en ports : il autorise ou bloque le trafic selon sa provenance, sa destination et le « numéro de porte » utilisé. Le problème, c’est que la plupart des applications modernes passent par les mêmes ports que la navigation web. Messagerie, stockage en ligne, visioconférence, outil de prise en main à distance : pour un pare-feu classique, tout se ressemble.

Le pare-feu nouvelle génération regarde plus loin. Il analyse le contenu des échanges pour reconnaître l’application, rattache le trafic à un utilisateur et intègre en général des fonctions de prévention d’intrusion et d’analyse des menaces. Il complète l’antivirus des postes sans le remplacer (voir à quoi sert un antivirus).

Voir et contrôler les applications

1. Identifier les applications, quel que soit le port

Le pare-feu doit reconnaître une application sur n’importe quel port et n’importe quel protocole : ports standards, applications web et applications qui utilisent leurs propres protocoles. Sans cette identification, aucune règle fine n’est possible.

2. Contrôler les fonctions de chaque application

Une même application rassemble souvent plusieurs usages. Dans un outil de partage de documents, consulter un fichier n’a pas le même niveau de risque qu’administrer l’espace ou transférer des fichiers vers l’extérieur. Un bon pare-feu permet d’autoriser l’un sans autoriser l’autre.

3. Distinguer les applications qui partagent une même connexion

Plusieurs applications peuvent circuler dans une même session, par exemple une messagerie qui intègre l’envoi de fichiers ou un service de partage d’écran. Le pare-feu doit les identifier séparément pour leur appliquer des règles différentes.

4. Analyser le contenu des applications autorisées

Une application de collaboration autorisée (suite bureautique en ligne, stockage partagé) peut transporter un fichier piégé. Autoriser l’application ne doit pas dispenser d’analyser ce qui y circule.

Ne pas se laisser contourner

5. Repérer les techniques d’évasion

Proxys anonymes, VPN non autorisés, outils d’accès à distance, applications encapsulées dans un tunnel chiffré : ce sont des moyens classiques pour passer sous les règles. Le pare-feu doit les détecter et permettre de les bloquer ou de les encadrer.

6. Inspecter le trafic chiffré sortant

Une grande partie du trafic web est chiffrée (protocole TLS, successeur de SSL). Sans déchiffrement, le pare-feu voit passer les échanges sans en connaître le contenu. L’inspection du trafic chiffré règle ce point, mais elle demande des précautions : installer un certificat sur les postes, prévoir des exceptions pour les sites sensibles (banque, santé), et informer les salariés, puisque leur trafic est analysé. Elle consomme aussi des ressources sur le boîtier.

7. Appliquer des règles au trafic inconnu

Tout trafic que le pare-feu ne sait pas identifier doit être traité par une règle explicite : bloqué, limité ou au moins journalisé et analysé. Laisser passer l’inconnu sans contrôle revient à laisser une porte entrouverte.

8. Appliquer les mêmes règles aux utilisateurs distants

Un salarié en télétravail ou en déplacement doit bénéficier de la même protection et de la même visibilité que s’il était au bureau. En pratique, cela passe souvent par un accès VPN qui fait transiter son trafic par le pare-feu de l’entreprise, ou par une protection équivalente sur le poste.

Rester exploitable au quotidien

9. Une administration lisible

Un pare-feu se gère dans la durée. Une console claire et des règles compréhensibles limitent les erreurs de configuration, qui sont une source fréquente de failles. Une règle que personne ne sait plus expliquer est une règle à revoir.

10. Des performances tenues avec toutes les protections actives

Le filtrage applicatif, la prévention d’intrusion et l’inspection du trafic chiffré demandent beaucoup de ressources de calcul. Le débit annoncé pour un simple filtrage est souvent bien supérieur au débit réel avec toutes les protections activées. Pour choisir un modèle, c’est ce second chiffre qui compte, rapporté à votre connexion et au nombre d’utilisateurs.

Faut-il un pare-feu nouvelle génération dans une petite structure ?

Pas forcément le même modèle qu’une grande entreprise, mais la logique vaut pour tout le monde. Dès qu’une PME, une mairie ou une association héberge des données sensibles, accueille des salariés à distance ou dépend d’applications en ligne, filtrer par application et par utilisateur a du sens.

Le choix du boîtier compte moins que ce qui suit son installation :

• des règles adaptées à votre activité, pas une configuration par défaut laissée en l’état
• des mises à jour régulières du système du pare-feu et de ses bases de menaces
• une personne qui consulte les alertes et les journaux
• une révision des règles quand l’organisation change

Un pare-feu bien pensé ne bloque pas les applications dont vous avez besoin. Il encadre leur usage. Et il ne remplace ni les sauvegardes, ni les mises à jour des postes, ni la vigilance des utilisateurs. Si vous ne savez pas où en est votre réseau, un état des lieux est un bon point de départ : voici pourquoi faire auditer son parc informatique.

Et chez InfoRéso ?

Nous accompagnons les entreprises et les communes sur leur réseau et leur sécurité, du choix de l’équipement à son suivi, à distance ou sur place. Le détail est sur notre page infogérance et infrastructure.