Matériels et logiciels
Pare-feu

De nombreux logiciels et produits de filtrage existent. Divers constructeurs de pare-feu se partagent le marché comme Checkpoint, Netscreen, Cisco, Netasq... Ces pare-feu intègrent généralement des fonctions de filtres de paquets, de passerelles applicatives, de systèmes de détection d’intrusion et parfois de systèmes de prévention d’intrusion. Certaines sociétés sont spécialisées dans des passerelles de filtrage.

Des logiciels open source sont également intéressants en termes de fiabilité et de performances. Citons par exemple le sous-système de pare-feu de Linux (version 2.4.x, voire plus récente), netfilter/ iptables, qui permet de filtrer les paquets IP, de faire de la traduction d’adresses (NAT) et du marquage de paquet en vue d’un traitement ultérieur lié à la qualité de service. Plus précisément, netfilter donne accès à cinq endroits du système de gestion de la pile IP. iptables est l’utilitaire permettant de définir et de mettre en œuvre la politique de sécurité (définition de règles, log des paquets, etc.). Les règles de filtrage ressemblent à celles définies au paragraphe 4.1 avec des conditions portant sur les adresses IP source et/ou destination, les numéros de port source et/ou destination, le protocole, le marquage d’un paquet et de l’état de la connexion. Ce dernier critère permet de mettre en œuvre le mécanisme de stateful inspection. Les actions les plus utilisées sont :

• DROP : le paquet est détruit ;

• REJECT : le paquet est détruit et l’émetteur est averti ;

• ACCEPT : le paquet est accepté et transmis ;

• LOG : le paquet est accepté et « loggé » dans un fichier ;

• MASQUERADE : le paquet est modifié car une traduction d’adresse est attendue ;

• MARK : le paquet est marqué ;

• une chaîne définie par l’administrateur qui lui permet de disposer de règles de filtrage plus complexes et réutilisables...