Un pare-feu se déploie une fois, les règles s’accumulent pendant des années
Le déploiement d’un pare-feu est un projet. Il a un début, une fin, des tests et une documentation. Puis vient le quotidien. Les règles s’ajoutent une à une, généralement dans l’urgence et pour que quelque chose finisse par fonctionner.
Au bout de quelques années, on obtient un ensemble de règles que personne n’a relu du début à la fin. Ce n’est pas parce que quelqu’un a commis une faute. Chaque règle avait du sens le jour où elle a été ajoutée. Le problème vient de l’ensemble, pas des entrées prises séparément.
Le symptôme est toujours le même. Personne ne veut rien supprimer, car personne ne sait ce qui cessera de fonctionner. La configuration ne fait que croître et, chaque année, il devient plus difficile d’y toucher.
D’où vient le désordre dans les règles
Les mêmes causes se retrouvent dans presque toutes les entreprises :
- Règles temporaires. Une personne avait besoin d’un accès pendant une journée pour terminer un déploiement. L’accès est resté en place pendant quatre ans.
- Ports restés ouverts après des projets qui n’existent plus. Il peut s’agir d’une boutique transférée chez un autre prestataire, d’un serveur de test arrêté ou d’une intégration avec un système que l’entreprise n’utilise plus. La règle reste en place, car personne n’a demandé sa suppression.
- Accès qui subsistent après le départ de certaines personnes. Anciens salariés, anciens sous-traitants ou entreprise ayant installé les caméras il y a cinq ans et dont l’adresse est toujours autorisée.
- Règles ajoutées pendant une panne. Une nuit, tous les flux sont ouverts dans tous les sens pour localiser le problème. La panne est passée, la règle est restée.
- Absence de description. Au bout d’un an, une entrée qui ne précise ni qui l’a demandée, ni pourquoi, ni pour combien de temps, ne se distingue plus d’une entrée réellement nécessaire.
- Plusieurs personnes sur un même équipement. Les changements ont été effectués par une personne de l’entreprise, une personne extérieure et une personne du fournisseur du système. Chacune a utilisé sa propre convention de nommage.
Ce que vous risquez en laissant les règles sans revue
Le premier risque est évident. Une règle qui expose un service sur Internet est une invitation pour quiconque analyse les adresses publiques, ce qui se fait en permanence. Le plus souvent, l’accès ouvert concerne un bureau à distance ou une interface d’administration. Il devait permettre à quelqu’un de travailler depuis son domicile, puis il a été oublié après son retour au bureau.
Le second risque est moins visible, mais coûte davantage. Un ensemble de règles que personne ne comprend bloque les changements. Une migration, une nouvelle agence, une nouvelle liaison Internet, tout prend plus de temps et coûte plus cher, car il faut chaque fois commencer par deviner à quoi servent les règles existantes.
Le troisième point apparaît lors d’un audit. Pour les entreprises qui traitent des paiements par carte, la norme PCI DSS impose explicitement d’examiner la configuration des équipements assurant la sécurité du réseau au moins une fois tous les six mois. Les recommandations du NIST concernant les pare-feu vont dans le même sens. Elles préconisent une revue périodique des règles et des modifications réalisées selon un processus formalisé, et non appliquées sur-le-champ.
Comment se déroule une revue rigoureuse
Une revue ne consiste pas à regarder l’interface et à supprimer ce qui paraît étrange. L’ordre est inverse, de l’état des lieux à la décision :
- Toutes les règles sont regroupées dans une seule liste, avec les règles de traduction d’adresses et les services publiés vers l’extérieur. Si l’entreprise possède plusieurs équipements, il faut tous les prendre en compte.
- Chaque règle a un responsable. Il faut indiquer une personne ou un service, la justification métier et la date jusqu’à laquelle la règle doit rester valable. Sans ces informations, il faudra reprendre la prochaine revue depuis le début dans un an.
- Les règles inutilisées. La plupart des pare-feu peuvent indiquer quand une règle donnée a été appliquée à du trafic pour la dernière fois. Les entrées sans aucune correspondance depuis plusieurs mois sont les premières candidates à la suppression.
- La réduction des périmètres. Une règle autorisant n’importe quelle source vers n’importe quelle destination est limitée à des adresses et des ports précis. C’est généralement la plus grande partie du travail et celle qui apporte le plus de bénéfices.
- La fermeture des accès inutiles. Cela concerne les services exposés sur Internet sans raison, les accès accordés à des entreprises qui ne travaillent plus avec vous et les comptes présents sur l’équipement lui-même, notamment les comptes de service du constructeur.
- Les comptes VPN et les certificats. La liste des personnes autorisées à accéder au réseau depuis l’extérieur vieillit plus vite que tout autre élément de la configuration.
- L’accès au pare-feu lui-même. Qui peut s’y connecter, depuis où, et est-ce possible directement depuis Internet ? Cette question vient en dernier, car la réponse est souvent la plus délicate.
Sauvegardes de la configuration et historique des modifications
Une revue n’a de sens que si son résultat peut être maintenu dans le temps. Trois éléments sont nécessaires. Ils sont tous techniques et peu passionnants.
Le premier est une sauvegarde de la configuration de chaque équipement, effectuée automatiquement et conservée en dehors de celui-ci. Un pare-feu peut tomber en panne comme n’importe quel autre matériel. Reconstituer plusieurs centaines de règles de mémoire n’est pas réaliste.
Le deuxième est la gestion des versions, c’est-à-dire un historique des modifications permettant de comparer l’état actuel à celui de la semaine précédente. Si quelque chose cesse de fonctionner après une modification, cette comparaison constitue le chemin le plus court vers la réponse.
Le troisième est la consignation continue des modifications, dans un emplacement unique et selon une convention commune. Date, auteur, motif et numéro de ticket. Une nouvelle règle sans description deviendra un problème, même si tout le monde sait aujourd’hui pourquoi elle a été créée.
Pourquoi la revue se fait en fenêtre de maintenance
La suppression de règles constitue une modification en production, au même titre que le remplacement d’une liaison Internet. La différence tient au fait que ses effets apparaissent avec retard, souvent lorsqu’une personne tente d’utiliser un service qu’elle n’a pas utilisé depuis un mois.
C’est pourquoi les modifications sont appliquées pendant une fenêtre de maintenance définie. La configuration est sauvegardée au préalable et le seuil à partir duquel un retour arrière devient nécessaire est clairement établi. Les règles sont d’abord désactivées, puis supprimées seulement après plusieurs semaines sans incident. Une règle désactivée peut être réactivée en quelques secondes. Une règle supprimée doit être recréée.
Il convient aussi de déterminer qui sera joignable par téléphone pendant le changement et juste après. La plupart des signalements consécutifs à une telle revue arrivent au cours des deux premiers jours ouvrés et concernent des éléments auxquels personne n’avait pensé, pas le pare-feu lui-même.
À quelle fréquence mener la revue
Une revue complète tous les six mois constitue un rythme raisonnable. Pour les entreprises qui traitent des paiements par carte, cette revue est obligatoire. Si le réseau fait l’objet de nombreux changements, une revue trimestrielle convient mieux.
En dehors du calendrier, certains événements imposent une revue : la fin d’un projet, le départ d’une personne disposant d’un accès, la fin du contrat avec un sous-traitant, un changement d’opérateur, le déploiement d’un nouveau système et toute panne au cours de laquelle des accès ont été ouverts dans l’urgence.
L’habitude reste toutefois plus efficace qu’une action ponctuelle. Si chaque nouvelle règle reçoit dès sa création un responsable, un motif et une date d’expiration, la revue effectuée six mois plus tard prend une heure au lieu de deux jours.
Que faire
Déterminer si une revue est nécessaire ne prend que quelques minutes. Posez deux questions à la personne qui s’occupe du pare-feu. Combien de règles y a-t-il ? Qui est responsable de trois règles choisies au hasard ? Si la deuxième question reste sans réponse, la revue est nécessaire.
Nous configurons et maintenons les pare-feu et les concentrateurs VPN. La revue des règles fait donc partie intégrante de la gestion courante du réseau, plutôt que de constituer un projet distinct. Nous définissons dans le contrat le périmètre de l’assistance, y compris une astreinte 24 h/24 et 7 j/7.
Si vous ne connaissez pas l’état de votre configuration, un export des règles et un bref échange suffisent généralement. Vous saurez ensuite s’il suffit d’une heure pour remettre de l’ordre ou s’il faut prévoir une fenêtre de maintenance dédiée.