SOMMAIRE
Introduction
I. ARCHITECTURE DE LA DMZ
1. Les éléments constitutifs
2. Topologie de la DMZ et ses interfaces avec le réseau interne et externe
a. Topologie
b. Interface
II. CONFIGURATION DU PARE-FEU
1. Les règles du pare-feu et ses rôles dans la sécurité du pare-feu
a. Présentation de ces règles
b. Rôles des règles dans la sécurité de la DMZ
2. Configuration d’un pare-feu à la DMZ
a. Identification des actifs du réseau
b. Configurer les listes de contrôle d’accès
c. Tester la configuration du pare-feu
III. SÉCURITÉ DES SERVEURS ET DES ÉQUIPEMENTS
1. Les mesures de sécurité
2. Mise en place des mécanismes de sauvegarde et de récupération de données
CAS PRATIQUE SUR CISCO PACKET TRACER
1
Introduction
Une DMZ est une zone de réseau qui sépare les réseaux internes et externes, et qui
permet de contrôler et de filtrer le trafic réseau entre ces deux zones. En créant une
DMZ, les entreprises peuvent protéger leurs réseaux internes contre les attaques et les
menaces externes, tout en permettant aux utilisateurs autorisés d'accéder aux
ressources du réseau.
I- ARCHITECTURE DE LA DMZ
1-Les éléments constitutifs
• Pare-feu : inspecte tout le trafic qui traverse la frontière du réseau et ont la
capacité de détecter et de bloquer le contenu malveillant avant qu'il ne traverse
la frontière entre l'internet et la DMZ ou entre la DMZ et le réseau interne protégé
• Routeur : permet de relier la zone démilitarisée au réseau externe
• Les serveurs : qui nécessitent un accès public, tels que les serveurs web, les
serveurs de messagerie, les serveurs FTP et les serveurs DNS
[Link] de la DMZ et ses interfaces avec le réseau interne et externe
a. Topologie
• Le routeur externe qui relie la DMZ au réseau externe (Internet).
• Le pare-feu est placé entre le routeur externe et la DMZ.
• Les serveurs qui nécessitent un accès public sont placés dans la DMZ.
• Le bastion host est placé entre la DMZ et le réseau interne.
• Le réseau de la DMZ relie les éléments de la DMZ.
2
b. Interface
Avec le réseau interne, le routeur externe relie la zone démilitarisée à internet. Le trafic
entre ces deux dernières est contrôlé par le pare-feu qui sont essentiels à la sécurité de
la zone démilitarisée car ils ont la capacité d'appliquer des contrôles d'accès entre la
zone démilitarisée et les systèmes internes.
Avec le réseau externe, le bastion host (un serveur qui sert d'intermédiaire entre le
réseau externe et interne) relie la DMZ au réseau interne. Le trafic est contrôlé par le
pare-feu et le bastion host.
II. CONFIGURATION DU PARE-FEU
1. Les règles du pare-feu et ses rôles dans la sécurité du pare-feu
a. Présentation de ces règles
Un pare-feu est un système de sécurité de réseau informatique qui limite le trafic
Internet entrant, sortant ou à l'intérieur d'un réseau privé. Ce logiciel ou cette unité
matérielle-logicielle dédiée fonctionne en bloquant ou en autorisant sélectivement les
paquets de données. Pour effectuer ses tâches il se base sur des règles (instructions
qui définissent comment il doit traiter le paquet de données qui traverse le réseau)
précises. Nous pouvons émettre entre autres :
• La règle de filtrage : qui autorise ou refuse l'accès à un réseau ou un hôte
spécifique et un port ou un protocole spécifique
3
• La règle NAT : qui traduit les adresses IP interne à externe pour permettre
l'accès à Internet et traduit aussi des adresses IP externe en interne pour
permettre l'accès aux ressources.
• La règle de routage : qui donne les routes pour les paquets de données qui
traversent le réseau
b. Rôles des règles dans la sécurité de la DMZ
Les règles de pare-feu jouent un rôle crucial dans la sécurité de la DMZ (Demilitarized
Zone) en contrôlant et en filtrant le trafic réseau qui traverse la DMZ. Voici quelques-
uns des rôles clés des règles de pare-feu dans la sécurité de la DMZ :
• Contrôle d'accès : Les règles de pare-feu contrôlent qui peut accéder à la DMZ
et à quelles ressources. Elles autorisent ou refusent l'accès en fonction de
critères tels que l'adresse IP, le port, le protocole, etc.
• Filtrage du trafic : Les règles de pare-feu filtrent le trafic réseau qui traverse la
DMZ, en autorisant ou en refusant les paquets de données en fonction de leur
contenu, de leur origine ou de leur destination.
• Protection contre les attaques : Les règles de pare-feu protègent la DMZ contre
les attaques de type intrusion ou malware en bloquant les paquets de données
suspects ou en les redirigeant vers une zone de quarantaine.
• Contrôle de la connectivité : Les règles de pare-feu contrôlent la connectivité
entre la DMZ et les réseaux internes ou externes, en autorisant ou en refusant
les connexions en fonction de critères tels que l'adresse IP, le port, le protocole,
etc.
2. Configuration d'un pare-feu à la DMZ
Ils établissent une barrière entre les réseaux internes sécurisés et contrôlés auxquels il
est possible de se fier et les réseaux externes qui n'ont pas de contenu de confiance,
comme Internet. Un pare-feu peut être matériel, logiciel, un logiciel-service (SaaS).
Pour configurer un pare-feu il faut :
a. Identification des actifs du réseau
Pour mieux protéger les actifs de votre réseau, vous devez d'abord les identifier.
Planifier une structure où les actifs sont regroupés en fonction leurs niveau de
sensibilité.
Tous vos serveurs qui fournissent des services sur le Web (par exemple, courriel, VPN)
doivent être organisés en une zone dédiée qui limite le trafic entrant depuis Internet,
souvent appelée zone démilitarisée ou DMZ. Alternativement, les serveurs qui ne sont
pas accessibles directement depuis Internet doivent être placés dans des zones de
4
serveur internes. Ces zones comprennent généralement des serveurs de bases de
données, des postes de travail.
b. Configurer les listes de contrôle d'accès
Une fois les zones réseau établies et affectées aux interfaces :
• Vous commencerez par créer des règles de pare-feu appelées listes de contrôle
d'accès ou ACL. Les ACL déterminent quel trafic a besoin d'une autorisation
pour circuler dans et hors de chaque zone. Les ACL sont les blocs de
construction de qui peut parler à quoi et bloquer le reste. À chaque interface ou
sous-interface de pare-feu, vos listes de contrôle d'accès doivent être rendues
aussi spécifiques que possible aux adresses IP source et/ou de destination et
aux numéros de port exacts chaque fois que possible.
• N'oublions pas, être aussi détaillé que possible dans cette phase ; testez non
seulement que vos applications fonctionnent comme prévu, mais s'assurer
également de tester ce qui ne devrait pas être autorisé.
• Désactivez tous les services que vous n'avez pas l'intention d'utiliser.
c. Tester la configuration du pare-feu
Tout d'abord, vérifiez que votre pare-feu bloque le trafic qui doit être bloqué en fonction
des configurations ACL. Cela devrait inclure à la fois l'analyse des failles et les tests de
pénétration. S'assurer de conserver une sauvegarde sécurisée de la configuration de
pare-feu en cas de panne.
III. SECURITE DES SERVEURS ET DES EQUIPEMENTS
1. Les mesures de sécurité
• L'utilisation des adresses IP non routables à l'intérieur de la DMZ pour renforcer
la sécurité
• La maintenance des systèmes et logiciels à jour pour éviter les vulnérabilités
• La surveillance constante du trafic pour détecter et réagir rapidement aux
activités suspectes
• L'utilisation de mots de passe pour accéder à un service de la DMZ
• Le déploiement de 02 pares-feux, l'un qui autorise uniquement le trafic externe
vers la DMZ et l'autre qui autorise uniquement le trafic allant de la DMZ vers le
réseau interne
2. Mise en place des mécanismes de sauvegarde et de récupération de données
Grâce à la sauvegarde, vous disposez d'une copie pour restauration en cas d'incident
entraînant une perte de données (attaque informatique, erreur humaine, catastrophe
5
naturelle etc.) ; elle est donc indispensable pour les entreprises qui souhaitent exercer
en toute sécurité. Elle est donc une assurance vie pour vos informations.
• Réalisez un état des lieux : il s'agit ici de commencer par rassembler
l'ensemble des documents associés, observez l'historique des problèmes
rencontrés de sorte à comprendre comment l'entreprise les a gérés
• Décidez qui supervise quoi : il s'agit ici de savoir précisément qui fait les
procédures du plan de sauvegarde informatique
• Identifiez les données prioritaires : En fonction de vos possibilités de
sauvegarde (complète, différentiel et incrémentiel), et de l'argent que vous êtes
prêt à injecter, priorisez les informations à sauvegarder soit celle dont la perte
impacterait le plus négativement votre business. Cependant dans la mesure du
possible mieux vaut sauvegarder l'ensemble de vos informations (sauvegarde
complète) car toutes sont susceptibles de fort enjeux
• Définir les méthodes de sauvegardes : Rappel 3 méthodes de sauvegardes
• Déterminez la fréquence des backups : il s'agit de déterminer la fréquence de
sauvegarde en fonction de votre objectif de point de restauration ou RPO
(recovery point objective) qui représente le volume d'informations non copiées
que vous êtes prêt à perdre.
• Choisir les emplacements de sauvegarde : une des règles les plus
couramment utilisées est celle du 3-2-1 elle consiste à disposer : d'au moins 3
copies de vos données à 2 emplacements différents dont 1 hors site par
exemple : effectuez vos sauvegardes dans un support local comme un DD ou
dans un datacenter externe à l'aide d'une solution cloud
• Testez la procédure de sauvegarde : afin de vérifier que tout fonctionne
normalement pour cela utilisé des logiciels de simulation et observez comment
votre SI réagi afin de détecter les anomalies et ainsi apporter des solutions
• Challenger votre plan de sauvegarde : penser à réévaluer fréquemment votre
plan de sauvegarde afin de vous assurer de son alignement sur la réalité ainsi
que les objectifs de l'entreprise
CAS PRATIQUE SUR CISCO PACKET TRACER
6
7
8
9
10
11
12
13
14
15
16
17
18