Pourquoi le réglage compte plus que le boîtier
Un pare-feu se place entre l'accès internet et le réseau de l'entreprise, et décide, flux par flux, de ce qui a le droit de passer. L'ANSSI recommande aux PME d'en déployer un en priorité pour protéger cette interconnexion, et son guide d'hygiène informatique prévoit « au minimum un pare-feu au plus près de l'accès Internet pour filtrer les connexions ».
Mais un pare-feu ne décide que selon les règles qu'on lui a données. Réglé trop largement, il laisse passer ce qu'il devrait bloquer ; laissé sans mise à jour, il devient lui-même une porte d'entrée. Le guide de l'ANSSI pour les TPE et PME le dit nettement : la majorité des attaquants exploitent des vulnérabilités publiques et documentées, qui concernent principalement des services exposés sur internet, et il cite en premier exemple… le pare-feu. Il ajoute que le délai entre la publication d'une faille et son exploitation a tendance à diminuer, certaines campagnes massives frappant quelques jours seulement après sa révélation.
Choisir un intégrateur, ce n'est donc pas choisir un modèle de boîtier. C'est choisir la personne qui écrira les règles, les testera, les documentera et les tiendra à jour. Voici, point par point, ce que vous êtes en droit d'attendre.
Avant l'installation : que doit vous demander l'intégrateur ?
Un intégrateur sérieux commence par des questions, pas par un devis. Le guide TPE/PME de l'ANSSI demande d'inventorier toutes les interconnexions avec l'extérieur : l'accès internet, les liaisons vers un prestataire ou un partenaire, les connexions des salariés à distance. C'est à partir de cet inventaire que des règles de filtrage et de surveillance adaptées peuvent être écrites.
Le guide d'hygiène informatique va plus loin et recommande de tenir à jour un schéma simplifié du réseau : les zones et le plan d'adressage, les équipements de sécurité dont le pare-feu, et les interconnexions avec l'extérieur. Si votre entreprise n'en a pas, l'étude préalable est le bon moment pour le faire établir, et il doit vous être remis.
Attendez-vous donc à un échange sur vos usages : combien de sites, qui travaille à distance, quels services doivent être joignables depuis internet, quels logiciels métier dialoguent avec l'extérieur. Un intégrateur qui propose un modèle sans avoir posé ces questions ne peut pas l'avoir dimensionné, ni savoir quelles règles écrire.
Les règles de filtrage : ce que vous devez pouvoir lire
La note technique de l'ANSSI sur la politique de filtrage d'un pare-feu repose sur un principe simple, le modèle de sécurité positif : tout ce qui n'est pas explicitement autorisé est interdit. Elle en tire une organisation en sections ordonnées, dont trois points se vérifient facilement.
D'abord, une règle de protection du pare-feu lui-même, qui bloque tout accès à ses interfaces en dehors des quelques flux d'administration et de supervision autorisés. L'ANSSI recommande qu'il soit idéalement administré depuis une interface dédiée, reliée à un réseau d'administration. Concrètement, la page d'administration de votre pare-feu ne doit pas être joignable depuis internet.
Ensuite, une règle d'interdiction finale explicite et journalisée, placée en dernière position. Beaucoup de produits appliquent déjà un blocage implicite, mais généralement sans trace : la règle explicite garantit que tout flux non prévu est refusé et enregistré. L'ANSSI recommande aussi de désactiver les flux implicites que certains produits ouvrent d'eux-mêmes pour faciliter l'administration, et de définir précisément chaque flux légitime.
Enfin, la lisibilité. Chaque règle autorisant un flux métier doit préciser ses sources, ses destinations et ses services. L'ANSSI recommande une convention de nommage des objets et l'usage des commentaires : à quoi sert la règle, quand elle a été ajoutée, à la suite de quelle demande, par qui. Une politique que personne d'autre que son auteur ne sait lire est une politique que personne ne pourra corriger.
À la mise en service : tests, documentation et journaux
Une politique de filtrage doit être testée une fois mise en place : c'est la recommandation R14 de la note de l'ANSSI. Demandez ce qui a été vérifié, et comment. La recommandation suivante, R13, demande que les consignes de gestion du pare-feu soient documentées et transmises à toutes les personnes qui interviennent dessus. Si vous changez un jour de prestataire, c'est ce document qui évitera de tout reprendre à zéro.
Le guide d'hygiène informatique impose aussi de changer les identifiants par défaut des équipements dès leur installation, en partant du principe que les attaquants les connaissent. Il recommande un réseau d'administration cloisonné du réseau bureautique, au minimum par un réseau virtuel séparé.
Reste la journalisation. Le même guide classe les équipements de sécurité parmi les composants dont les journaux doivent être activés, cite explicitement les paquets bloqués par le pare-feu, et demande de conserver les événements critiques pour la sécurité pendant au moins un an. Ces traces servent le jour d'un incident : sans elles, impossible de savoir par où un attaquant est entré. Le guide TPE/PME rappelle d'ailleurs qu'en cas d'incident, le premier réflexe est de couper l'accès à internet, ce qui peut se faire sur le pare-feu : sachez qui sait le faire, et comment le joindre.
Mises à jour et revue des règles : le travail qui dure
Le guide d'hygiène informatique de l'ANSSI demande d'appliquer les correctifs de sécurité dans le mois qui suit leur publication par l'éditeur, en s'informant des nouvelles vulnérabilités auprès du CERT-FR. Le guide TPE/PME insiste sur les correctifs publiés hors calendrier, quand une faille est trop grave pour attendre plusieurs semaines : ils doivent être appliqués dès que possible. Et tout matériel qui ne peut plus être mis à jour doit être remplacé : un pare-feu dont le constructeur a cessé le suivi ne protège plus.
Les règles, elles, s'accumulent. Chaque besoin ponctuel — un accès pour un prestataire, un test, une application essayée puis abandonnée — ajoute une règle que personne ne retire. L'ANSSI recommande de passer la politique de filtrage en revue au moins une fois par an, pour supprimer les règles temporaires devenues inutiles, corriger les écarts aux conventions et vérifier l'utilité de chaque règle ajoutée. Elle a consacré une seconde note au « nettoyage » des politiques dont on a perdu la maîtrise : règles en double, règles désactivées sans explication, objets définis mais utilisés nulle part.
Ce travail ne se voit pas, et c'est précisément pour cela qu'il doit être prévu, planifié et confié à quelqu'un de nommé.
Ce qu'il faut écrire dans le contrat
L'ANSSI recommande d'inclure dans les contrats avec les prestataires et fournisseurs des clauses garantissant le suivi des correctifs de sécurité et la gestion des obsolescences. Son guide TPE/PME le formule à l'adresse du dirigeant : si vous recourez à un sous-traitant, assurez-vous qu'il effectue bien les mises à jour, et exigez-le dans le contrat si nécessaire.
Pour un pare-feu, cela se traduit par quelques lignes précises : qui applique les mises à jour et dans quel délai, qui suit les dates de fin de support du matériel et des abonnements de sécurité, à quelle fréquence les règles sont revues, où sont conservés la configuration et sa sauvegarde, et comment l'entreprise récupère ses accès et sa documentation si elle change de prestataire. Pour l'externalisation en général, le guide d'hygiène cite parmi les exigences à imposer la réversibilité du contrat et la possibilité de réaliser des audits.
Si vous cherchez un prestataire, le guide TPE/PME mentionne aussi le label ExpertCyber, pour lequel Cybermalveillance.gouv.fr propose une mise en relation.
Les erreurs les plus fréquentes
La première est de considérer le pare-feu comme un achat ponctuel. Le boîtier est installé, la facture réglée, et plus personne ne s'en occupe : ni mises à jour, ni revue des règles. Les recommandations de l'ANSSI montrent au contraire que l'essentiel de la sécurité se joue après la mise en service.
La deuxième est de laisser l'interface d'administration ouverte sur internet « pour pouvoir intervenir à distance ». C'est exactement ce que la règle de protection recommandée par l'ANSSI cherche à empêcher.
La troisième est la règle provisoire qui devient permanente : un accès large ouvert pour dépanner un logiciel, jamais refermé. La revue annuelle est faite pour les retrouver.
La dernière est de ne rien avoir par écrit. Sans règles commentées ni documentation, l'entreprise dépend entièrement de la mémoire d'une personne.
Faire installer et suivre son pare-feu
Plugin Informatique installe et administre des pare-feu Fortinet FortiGate pour les PME de Grenoble et de l'Isère, depuis ses établissements de Claix et de Meylan. Le travail suit les étapes décrites ici : étude de l'existant et des flux à autoriser, dimensionnement, installation dans vos locaux avec une bascule planifiée, règles de filtrage et accès à distance écrits, documentés et remis à l'entreprise, puis supervision, lecture des journaux, mises à jour de FortiOS appliquées après vérification et suivi des abonnements de sécurité.
Que vous travailliez avec nous ou avec un autre intégrateur, posez-lui les questions de cet article : elles valent pour tous les pare-feu, quelle que soit leur marque.