Les pare-feu existent depuis trente ans, mais ils ont radicalement évolué pour inclure des fonctions qui étaient auparavant vendues sous forme d'appareils distincts et pour exploiter des données recueillies à l'extérieur afin de prendre des décisions plus intelligentes sur le trafic réseau à autoriser ou à bloquer.

Aujourd'hui, ils ne sont plus qu'un élément indissociable d'un écosystème de défenses de réseau. Les dernières versions sont connues sous le nom de pare-feu d'entreprise ou de pare-feu de nouvelle génération (NGFW) pour indiquer qui devrait les utiliser et le fait qu'ils ajoutent continuellement des fonctionnalités.

Qu'est-ce qu'un pare-feu ?

Un pare-feu est un dispositif de réseau qui surveille les paquets entrant et sortant des réseaux et les bloque ou les autorise selon des règles qui ont été établies pour définir le trafic autorisé et celui qui ne l'est pas.

Notre nouveau site de jeux est en ligne ! Gamestar couvre les jeux, les gadgets et le matériel de jeu. Inscrivez-vous à notre newsletter et nous vous enverrons nos meilleurs articles directement dans votre boîte de réception. Pour en savoir plus, cliquez ici.

Il existe plusieurs types de pare-feu qui se sont développés au fil des ans, devenant progressivement plus complexes et prenant en compte davantage de paramètres pour déterminer si le trafic doit être autorisé à passer. Au départ, les pare-feu étaient des filtres de paquets, mais les plus récents font beaucoup plus.

Initialement placés aux frontières entre les réseaux de confiance et les réseaux non fiables, les pare-feu sont désormais également déployés pour protéger les segments internes des réseaux, tels que les centres de données, des autres segments de réseaux des organisations.

Ils sont généralement déployés sous forme d'appareils construits par des fournisseurs individuels, mais ils peuvent également être achetés sous forme d'appareils virtuels, c'est-à-dire des logiciels que les clients installent sur leur propre matériel.

Pare-feux basés sur des proxys

Ces pare-feu agissent comme une passerelle entre les utilisateurs finaux qui demandent des données et la source de ces données. Les dispositifs hôtes se connectent au proxy, et le proxy établit une connexion séparée avec la source des données. En réponse, les dispositifs sources se connectent au proxy, et le proxy établit une connexion séparée avec le dispositif hôte. Avant de transmettre les paquets à une adresse de destination, le proxy peut les filtrer pour appliquer les politiques et masquer l'emplacement du dispositif du destinataire, mais aussi pour protéger le dispositif et le réseau du destinataire.

L'avantage des pare-feu basés sur un proxy est que les machines extérieures au réseau protégé ne peuvent recueillir que des informations limitées sur le réseau, car elles n'y sont jamais directement connectées.

Le principal inconvénient des pare-feu basés sur un proxy est que la terminaison des connexions entrantes et la création de connexions sortantes ainsi que le filtrage entraînent des retards qui peuvent dégrader les performances. À son tour, cela peut empêcher l'utilisation de certaines applications à travers le pare-feu car les temps de réponse deviennent trop lents.

Pare-feux dynamiques

Une amélioration des performances par rapport aux pare-feu basés sur les proxy est apparue sous la forme de pare-feu avec état, qui conservent un grand nombre d'informations sur les connexions et rendent inutile l'inspection de chaque paquet par le pare-feu. Cela réduit considérablement le retard introduit par le pare-feu.

En conservant l'état des connexions, ces pare-feu peuvent, par exemple, renoncer à inspecter les paquets entrants qu'ils identifient comme des réponses à des connexions sortantes légitimes qui ont déjà été inspectées. L'inspection initiale établit que la connexion est autorisée et, en conservant cet état dans sa mémoire, le pare-feu peut laisser passer le trafic ultérieur qui fait partie de la même conversation sans inspecter chaque paquet.

Pare-feux pour applications Web

Les pare-feu d'applications Web se situent logiquement entre les serveurs qui prennent en charge les applications Web et l'internet, et les protègent contre des attaques HTML spécifiques telles que le cross-site scripting, l'injection SQL et autres. Ils peuvent être basés sur du matériel ou sur le cloud computing, ou être intégrés aux applications elles-mêmes pour déterminer si chaque client qui tente d'atteindre le serveur doit être autorisé à y accéder.

Pare-feux de nouvelle génération

Les paquets peuvent être filtrés en utilisant plus que l'état des connexions et les adresses source et destination. C'est là que les NGFW entrent en jeu. Ils intègrent des règles relatives à ce que les applications et les utilisateurs individuels sont autorisés à faire, et intègrent les données collectées par d'autres technologies afin de prendre des décisions plus éclairées sur le trafic à autoriser et celui à supprimer.

Par exemple, certains de ces NGFW effectuent un filtrage des URL, peuvent mettre fin aux connexions SSL (secure sockets layer) et TLS (transport layer security) et prennent en charge le réseau étendu défini par logiciel (SD-WAN) afin d'améliorer l'efficacité de l'application des décisions dynamiques du SD-WAN en matière de connectivité.