Configuration

1. Obtenir ou libérer le droit d’écriture

a. Obtenir le droit d’écriture

Le droit d’écriture sur l’UTM ne peut être possédé que par un administrateur à la fois sur l’interface graphique. Si un administrateur est déjà authentifié sur l’UTM et a le droit d’écriture et qu’un autre utilisateur administrateur venait à se connecter en GUI ; ce deuxième utilisateur administrateur aurait seulement le droit de lecture sur l’UTM, pour ne pas impacter le travail d’administration qui pourrait être fait par le premier administrateur. Par contre, ce deuxième administrateur peut demander le droit d’écriture, grâce au bouton Demander le droit d’écriture. Nous pouvons noter aussi que le bandeau est gris au lieu du bleu ciel Stormshield.

L’utilisateur admin est authentifié sur l’IHM depuis un navigateur et possède le droit d’écriture. Comme nous pouvons le voir, le bandeau supérieur de l’écran est de couleur bleu ciel et sous le nom de l’utilisateur, nous voyons le mot Écriture :

Un deuxième administrateur, avec le compte admin, s’est authentifié depuis un autre navigateur. Le bandeau supérieur est gris et sous le nom de l’utilisateur, il y a écrit le mot Lecture.

En plus de cela, une fenêtre de dialogue est affichée pour nous souligner que nous n’avons pas le droit d’écriture sur l’UTM :

Le deuxième administrateur a besoin des droits d’écriture pour effectuer une modification de la configuration. Il faut donc se diriger dans le menu...

1. Configuration

a. Configuration générale

 Dans le premier onglet, appelé Configuration générale, vous pouvez paramétrer le nom de l’hôte, très important lorsqu’il s’agit de trier des logs sur plusieurs firewalls. Pour la langue des journaux (ou traces), vous avez le choix entre anglais et français et en ce qui concerne la langue du clavier, il faut choisir parmi les langues suivantes : anglais, français, italien, polonais et suisse.

 Dans la plupart des menus, une fois les modifications nécessaires effectuées, il faut cliquer sur APPLIQUER et sur VALIDER. Ces deux boutons se trouvent généralement en bas de l’écran :

 Après avoir cliqué sur APPLIQUER, un nouveau pop-up vous demande si vous souhaitez ANNULER ou SAUVEGARDER la configuration :

 L’encadré suivant concerne les Paramètres cryptographiques. L’administrateur peut Activer la récupération régulière des listes de révocations de certificats (CRL). Lors de l’activation de cette fonctionnalité, l’UTM lance toutes les six heures un téléchargement des listes de révocation présentes sur les certificats qui se trouvent dans la configuration locale de l’UTM.

 Si vous souhaitez télécharger les listes de révocation des certificats de la configuration globale, notamment utilisée par SMC, il faut créer une tâche automatique eventd pour y lancer la commande :

checkcrl -c global 

ou si vous voulez obtenir les listes des certificats locaux et globaux :

checkcrl -c both 

 Vous pouvez aussi Activer le mode Diffusion Restreinte. Il s’agit d’un mode « ANSSI » pour que l’UTM respecte leur consigne dans l’utilisation des processeurs et accélérateurs. Elle est d’utilisation obligatoire dans un réseau qualifié « DR ». Cela se traduit notamment par :

• la vérification que le firewall utilise la version 2 du protocole IKE ; dans le cas contraire, un avertissement est levé,

• la vérification...

1. Interfaces

Chez Stormshield, comme chez la plupart des éditeurs de firewalls ou UTM, il y a une distinction entre des interfaces qui seraient exposées à des réseaux inconnus auxquels nous ne faisons pas confiance (comme, par exemple, Internet) et celles situées dans des réseaux privés où l’on gère les hôtes, a priori, qui s’y connectent.

Les interfaces sont donc divisées en interfaces protégées et non protégées. Ceci est d’une grande importance car, par défaut, selon le type d’interface choisi, un profil de sécurité ou un autre sera appliqué aux connexions établies (cf. chapitre Configuration, section Protection applicative).

Dans le menu Réseau - Interfaces, vous allez retrouver toutes les interfaces physiques présentes dans l’UTM, ainsi que les interfaces VLAN, Bridge, GRETAP et Modem.

1. Objets réseau

Tous les modules de l’UTM s’appuient sur des objets. Autrement dit, il est impossible d’utiliser une adresse IP, un réseau ou une plage d’adresses IP manuellement sur tout module ou menu sans qu’un objet qui les désigne n’existent. Il doit être existant au préalable ou bien créé sur-le-champ avant de l’utiliser. L’avantage de cette approche est de s’affranchir de possibles erreurs de frappe lors de la configuration d’un module, ainsi que de doublons.

L’IHM Stormshield est réputé pour son ergonomie. Depuis n’importe quel menu, vous pouvez créer un objet à l’aide d’un menu contextuel qui vous ouvre l’accès direct. Nul besoin, donc, de quitter l’écran de configuration d’un mode puis celui des objets, pour y générer un nouvel objet puis revenir au module que vous étiez en train de configurer Vous n’êtes pas obligé, non plus, de créer tous les objets avant de commencer à paramétrer les modules, ceci peut être fait en direct depuis le champ où il vous est demandé de renseigner l’objet. Une astuce est de commencer à taper l’adresse IP ou le port dans le champ où il faut le renseigner. Si l’objet existe, vous pouvez le sélectionner, s’il n’existe pas, vous pouvez le créer sur-le-champ....

1. Utilisateurs

Une fois un annuaire paramétré (ou plusieurs) dans l’UTM, l’administrateur a accès à la liste des utilisateurs que ce dernier contient.

À droite, nous retrouvons pour chaque compte utilisateur leurs paramétrages, répartis dans trois onglets :

2. Comptes temporaires

Il s’agit de comptes utilisateurs créés uniquement en base locale. Ils sont utilisés, par exemple, pour les intervenants externes qui seraient amenés à travailler sur site, ou à distance, entre deux dates bien définies. L’un des cas classiques d’utilisation est de leur permettre un accès à Internet.

1. Applications et protections

L’IPS est le module chargé de la protection applicative, du suivi protocolaire, de l’application des plugins aux connexions, etc. Il existe dix profils d’inspection, le 00 étant celui utilisé par défaut pour le trafic entrant (flux dont le premier paquet est arrivé au firewall depuis une source non protégée), appelé IPS_00 (Default INCOMING) et le profil 01 étant le profil utilisé par défaut pour le trafic sortant (flux dont le premier paquet est arrivé au firewall depuis une source protégée), appelé IPS_01 (Default OUTGOING). Le profil 09 est un profil appelé High alarm config et il est utilisé lorsque l’UTM est testé par des organismes tiers.

Dans chaque profil se trouvent tous les protocoles analysés par l’UTM et vous pouvez, par profil, modifier le niveau de log et l’action par une alarme. Ceci est un avantage lorsque, par exemple, vous devez configurer une alarme en Autoriser car la source est de confiance et que, après analyse, il n’y a aucun risque. Le fait, donc, de pouvoir utiliser un profil défini pour y changer le comportement de l’alarme et l’appliquer à une règle de filtrage permet que cette alarme ne soit pas en Autoriser pour le reste des connexions.

Il existe deux manières de parcourir les profils d’inspection. Vous pouvez visualiser toutes les alarmes confondues par profil, ou Passer en vue par contexte. Cette dernière est plus adaptée à une recherche focalisée sur un protocole.

C’est dans cette fenêtre que vous allez chercher une alarme applicative sur un protocole spécifique pour la placer sur Bloquer ou Passer, ou bien activer l’action de récupération du paquet levant l’alarme pour analyser ou modifier le niveau de notification.

Il existe une aide en ligne accessible depuis ce même écran qui sert de complément d’information à l’alarme. Lorsque l’on clique sur l’alarme, le mot Aide apparaît à côté de l’action. Si le SNS a accès à Internet, vous êtes redirigé vers cette page d’aide.

Il est possible d’appliquer un modèle entre Internet, Basse, Moyenne...

1. VPN IPSec

Le protocole IP a été conçu pour le routage des paquets entre des réseaux différents principalement, mais il n’y a pas de mécanisme de sécurité intrinsèque au protocole. Il est assez facile d’usurper un paquet IP ou de le modifier sans que ni le client ni le serveur ne s’en aperçoivent. Il a donc fallu créer une suite de protocoles et d’implémentations appelée IPSec pour pallier ce manque. IPSec, au début, a été pensé nativement pour IPv6, mais puisque IPv4 continuait à être utilisé et que le besoin de sécurité, dans un monde de plus en plus interconnecté, devenait très grand, cette suite a été implémentée aussi en IPv4.

Pour paramétrer un tunnel VPN IPSec il faut un correspondant (ou peer) avec lequel vous monterez le tunnel, ainsi que se mettre d’accord dans la configuration d’une phase 1 et une phase 2. Dans la phase 1, vous trouvez une valeur pour DH (Diffie-Hellman), une durée de vie maximum, et des propositions de chiffrement et d’authentification avec des protocoles et de forces. Dans la phase 2, vous allez trouver les mêmes spécifications. Il y a beaucoup de RFC sur VPN IPSec, voici les plus importantes : rfc2401, rfc2408, rfc2409.

La fenêtre de configuration des tunnels VPN IPSec est très fonctionnelle :

Grâce à l’assistant de configuration du module VPN IPSec, en réaliser la configuration du début à la fin est très facile car très intuitif et clair. À chaque pas, il vous est possible de créer des objets depuis le même assistant.

L’écran de configuration est divisé en quatre onglets.

1. Traces-Syslog-IPFix

Nous avons la possibilité de stocker les traces en local, soit sur un disque dur (pour les modèles SNS qui en comportent un), soit sur une carte SD (pour ceci, il faut posséder la licence nécessaire). Lorsqu’un produit ne comporte pas de disque dur ni de licence pour utiliser une carte SD, les traces ne sont pas gardées, mais il y a moyen de les consulter en temps réel. Vous pouvez à tout moment désactiver le stockage des traces.

Dans la partie Support de stockage, il vous est possible d’activer chaque type de trace et de choisir leur espace réservé. Voici la liste des traces disponibles :