Bienvenue à tous dans ce nouveau chapitre. Au menu, après avoir vu ce qu’était un firewall, nous allons découvrir la création d’une politique de sécurité. C’est le premier pas à faire avant de créer des règles firewall. La politique de sécurité se construit en fonction des besoins de l’entreprise et s’applique ensuite sur le firewall. Allez, c’est parti.
Une politique de sécurité, c’est quoi ?
Commençons par définir ce qu’est une politique de sécurité. Une politique de sécurité c’est le fait d’exposer les besoins de l’entreprise (son utilisation d’Internet) et d’en déduire les règles qui lui permettent son bon fonctionnement, tout en sécurisant au maximum l’entreprise.
C’est donc en concertation avec d’autres membres de l’entreprise que sera créée la politique de sécurité. L’administrateur système et cloud ne peut pas le faire seul. Il doit se concerter avec tous les services de l’entreprise afin d’établir les services utilisés par l’entreprise sur le web et sur les serveurs de l’entreprise.
Il existe deux façons de procéder, tout autoriser et bloquer les services dangereux ou tout bloquer et autoriser les services nécessaires à l’entreprise. C’est cette dernière stratégie qui est la plus employée (que j'emploie et vous recommande).
Bloquez tout et autorisez petit à petit
Votre politique de sécurité commence donc comme ceci : tout est interdit !
Vous autoriserez petit à petit ce qui est sorti des réunions avec les différents services de l’entreprise. Par exemple, si une réunion a conclu que :
Les utilisateurs ont besoin d’accéder au Web = ouverture port HTTP.
Les utilisateurs ont besoin d’accéder à leurs mails = ouverture port POP ou IMAP.
Le serveur doit être accessible depuis Internet = ouverture port HTTP.
La politique de sécurité consistera donc à interdire tout sauf les protocoles :
HTTP
POP
IMAP
Il est évidemment possible d'affiner cela, en définissant sur quels sites les utilisateurs ont le droit d’aller, ou plutôt leur interdire certains sites. Définir des utilisateurs avec des droits différents, si par exemple l’équipe R&D a besoin de télécharger certains fichiers, vous les regrouperez et leurs autoriserez le téléchargement FTP, mais il restera bloqué pour les autres utilisateurs.
De plus, si votre réseau interne est composé de plusieurs sous-réseaux (un réseau composé des serveurs et un pour les utilisateurs par exemple), il faudra établir quels utilisateurs ont le droit d’accéder au réseau des serveurs et si les serveurs ont le droit d’accéder aux autres réseaux.
Cette politique de sécurité est la base de votre travail. Si elle est mal conçue, le reste de votre travail, même s’il est bien fait, reposera sur de mauvaises bases et risque de ne pas fonctionner ou de ne pas être suffisamment protecteur.
Nous verrons lors du prochain chapitre, les différents types d’architecture de firewall. Vous pourrez ainsi visualiser ce que vous venez d’apprendre sur les politiques de sécurité.
Ce qu’il faut retenir
Une politique de sécurité est une suite de règles vous permettant d’établir ce que les utilisateurs de votre réseau peuvent ou ne peuvent pas faire.
La politique de sécurité est une tâche à faire avec l’ensemble des services de l’entreprise.
La meilleure façon de procéder est d’interdire tout et de permettre seulement ce qui a été autorisé par la politique de sécurité.
Si la politique de sécurité est mal définie, la configuration du firewall ne pourra pas être correcte.
