Concepts et fondamentaux de la sécurité informatique

Thèmes abordés

Cybersécurité, sécurité informatique, BDD Base de données, serveur web, pare-feu, firewall, netfilter, hardware, software, script, ping flood

Résumé du document

La création d'une DMZ (Zone Démilitarisée) pour les serveurs web et bases de données dans une architecture réseau présente plusieurs avantages en termes de sécurité.
L'utilisation de Netfilter pour la configuration des firewalls sur les serveurs constitue une option viable, notamment dans le contexte des systèmes basés sur Linux. Cependant, il existe d'autres solutions logicielles couramment utilisées pour la gestion des pare-feu et la création de DMZ.
Pour la sécurisation de la DMZ au niveau matériel, vous pourriez envisager l'utilisation d'un pare-feu (firewall) matériel dédié. Ces dispositifs sont conçus spécifiquement pour gérer le trafic réseau, appliquer des règles de sécurité, et fournir une protection contre les menaces.

Extraits

[...] Ci-dessous, je vous propose un exemple simple de script Bash pour configurer le pare-feu applicatif Conntrack Netfilter sur un serveur Linux. Assurez-vous d'exécuter ce script avec des privilèges administratifs (sudo) pour pouvoir appliquer les règles de pare-feu. N'oubliez pas de sauvegarder votre configuration actuelle avant d'appliquer des modifications pour éviter tout problème. # /bin/bash # Effacer toutes les règles existantes et réinitialiser les compteurs iptables iptables iptables # Définir la politique par défaut à DROP (bloquer tout le trafic sauf celui explicitement autorisé) iptables INPUT DROP iptables FORWARD DROP iptables OUTPUT ACCEPT # Autoriser le trafic sur loopback (communication locale) iptables INPUT lo ACCEPT iptables OUTPUT lo ACCEPT # Autoriser le trafic pour les connexions établies et les paquets liés iptables INPUT conntrack --ctstate RELATED,ESTABLISHED ACCEPT iptables OUTPUT conntrack --ctstate RELATED,ESTABLISHED ACCEPT # Autoriser le trafic HTTP (port 80) iptables INPUT tcp --dport 80 ACCEPT # Autoriser le trafic HTTPS (port 443) iptables INPUT tcp --dport 443 ACCEPT # Autoriser le trafic FTP (port 21) iptables INPUT tcp --dport 21 ACCEPT # Bloquer les autres ports non autorisés iptables INPUT DROP # Afficher les règles pour vérification echo "Configuration du pare-feu Conntrack Netfilter appliquée avec succès." iptables # Sauvegarder la configuration pour qu'elle persiste après le redémarrage service iptables save Puisque vous utilisez un firewall applicatif, on vous demande maintenant d'améliorer votre script pour lutter contre les attaques Ping Flood / déni de service. [...]

[...] Windows Firewall : Sur les serveurs Windows, le pare-feu intégré peut être configuré pour créer une DMZ en définissant des règles de filtrage pour les serveurs web et bases de données. Security Groups (AWS) : Si votre infrastructure utilise des services cloud comme Amazon Web Services vous pouvez utiliser les Security Groups pour définir des règles de pare-feu au niveau de l'instance. Docker Network Policies : Si vous utilisez des conteneurs Docker, les politiques réseau Docker peuvent être utilisées pour définir des règles de communication entre les conteneurs, créant ainsi une segmentation au sein de l'environnement de conteneur. Quelle solution hardware auriez-vous pu proposer à la place ? [...]

[...] Fortinet FortiGate : FortiGate est une gamme de pare-feu intégrée qui propose une protection complète contre les menaces, y compris la sécurité des applications, la prévention des intrusions, la sécurité des e-mails, et la gestion unifiée des menaces. Palo Alto Networks : Les pare-feu de Palo Alto Networks, tels que la série Palo Alto Networks PA, sont réputés pour leur capacité à fournir une sécurité avancée des applications et du réseau, ainsi que des fonctionnalités de prévention des menaces. Juniper Networks SRX Series : Juniper propose une série de pare-feu matériels dans la gamme SRX, offrant une protection contre les menaces, la segmentation du réseau, et des fonctionnalités avancées de sécurité. [...]

[...] Les pare-feu de niveau application, les pare-feu à proxy et les NGFW offrent généralement une meilleure protection contre les failles applicatives en examinant le contenu des paquets de manière plus approfondie. Il est décidé d'utiliser le pare-feu applicatif « conntrack netfilter » qui fonctionne sous l'os linux. Votre responsabilité est donc de configurer ce firewall, qui sera ultérieurement installé sur chaque serveur (http, https, ftp), en écrivant un script « Bash » qui regroupera les commandes qui vous paraissent nécessaires au bon fonctionnement et à la sécurité. Commentez vos explications dans le script. [...]

[...] Concepts et fondamentaux de la sécurité informatique Les serveurs web et bases de données seront dans une DMZ : quel en est l'intérêt ? La création d'une DMZ (Zone Démilitarisée) pour les serveurs web et bases de données dans une architecture réseau présente plusieurs avantages en termes de sécurité. Voici quelques raisons clés pour lesquelles il est bénéfique de placer ces éléments dans une DMZ : Isolation des serveurs critiques Réduction des risques de propagation Contrôle d'accès renforcé Surveillance facilitée Facilitation des mises à jour et de la maintenance Les firewalls créant la DMZ seront installés sur les serveurs eux-mêmes avec un « netfilter ». [...]