Mise en œuvre du filtrage pour le contexte
Vous devez mettre en oeuvre une politique de filtrage protocolaire avec votre pare-feu Stormshield en tenant compte des recommandations de l'ANSSI.
Configuration de votre infrastructure
Vous avez dans la DMZ :
un serveur NS0 qui a autorité sur la zone
DNS de votre agence
un serveur Web
etc.
Vous avez dans le VLAN Serveurs :
Vous avez dans le VLAN Utilisateurs :
un résolveur DNS0
un agent-relais DHCP
Pour ces différents serveurs, respectez le plan d'adressage défini dans ces VLAN et utilisez des adresses IP statique mises à disposition pour chaque équipe.
Lien : Ressources pour le APs
Mise en oeuvre d'une politique de filtrage
La mise en oeuvre de votre politique de filtrage doit s'appuyer sur les recommandations de l'ANSII.
Complétez ce document avec les règles à mettre en oeuvre : politiquefiltrage.odt
Section 1 – Règles d’autorisation des flux à destination du pare-feu
autoriser les flux d'administration (https 443 en TCP, éventuellement ssh 22 en TCP) pour un PC identifié comme PC d'administration ;
autorisez les flux vers :
Pour des tests, les utilisateurs des autres réseaux sont autorisés à pinger l’interface externe de votre SNS ; cet événement devra lever une alarme mineure.
Section n°2 - Règles d’autorisation des flux émis par le pare-feu
Pour l'instant, ne définissez pas de règles
Section n°3 Règle de protection du pare-feu
Bloquer tout ce qui arrive sur les interfaces du SNS suite aux autorisations définies dans la section 1. Cela est impératif pour prévenir l’ouverture de flux non légitimes à destination de la passerelle.
journaliser cette règle afin de conserver la trace de ces flux illégitimes.
Section n°4 Règles d’autorisation des flux métiers
autoriser depuis le poste administrateur :
Interdire au PC d'administation l’accès à tout autre réseau (Ici Internet). En effet, ce poste ayant des privilèges élevés sur le réseau, le fait de lui bloquer entre autres l’accès internet permet de réduire considérablement sa surface d’attaque.
seul le
serveur récursif DNS peut rediriger les requêtes des clients vers le
serveur DNS cub.fr.
les autres ordinateurs doivent pouvoir utiliser le
résolveur DNS du VLAN serveurs
pour l'instant autoriser les flux des réseaux internes vers Internet (http 80, https 443 en TCP).
Dans une activité ultérieure, vous contrôlerez les accès vers le Web avec le serveur mandataire (proxy) transparent du SNS.
autoriser les flux des réseaux internes vers le serveur de temps.
les serveurs de la DMZ :
pour pouvoir effectuer des tests, autorisez le protocole ICMP depuis les réseaux internes
Section n°5 Règles “antiparasites” (facultatif)
Pour l'instant, ne définissez pas de règles
Section n°6 Règle d’interdiction finale
L’ajout d’une règle explicite d’interdiction finale journalisée garantit l’application du modèle de sécurité positif (tout ce qui n’a pas été autorisé précédemment est interdit) et permet de conserver la trace des flux non légitimes.
Vérifiez que toutes les VM (serveurs et clients) accèdent à Internet : configurer le NAT dynamique ;
Vos serveurs NS0 et Web doivent être accessibles depuis Internet (CUB WAN) : configurez du NAT sur destination (redirection de ports) ;
Implémentation de nouveaux besoins
Suite à une analyse des besoins de l’entreprise et des fonctionnalités avancées de l’appliance Stormshield, vous prenez en compte les besoins suivants.
Interdire explicitement les plages d’adresses du groupe
RFC 5735 provenant d’Internet.
Toutes les machines provenant d’Internet et ayant une réputation de Botnet, Malware, Scanneur, Noeud de sortie Tor, Anonymiseur ou Phishing ont interdiction d’accéder à l’interface externe du firewall.
L’ensemble des hôtes du site ont interdiction de pouvoir émettre des requêtes vers des machines sur Internet considérées comme Botnet, Malware, Scanneur, Noeud de sortie Tor, Anonymiseur ou Phishing.
Retour