Routeurs, firewalls, VPN... comment sécuriser l'edge

Les langages de programmation sécurisés doivent-ils guider le choix des équipements de bordure ? Les Five Eyes*, en association avec le Japon et la République tchèque, font des recommandations dans ce sens. Ils appellent à sélectionner des fournisseurs qui utilisent, lorsque c'est possible, ces langages à gestion automatique de mémoire.

Leurs conseils se focalisent sur trois catégories d'équipements de bordure. Les plus implémentés, en l'occurrence : routeurs, firewalls et concentrateurs VPN.

Prière de flasher avant usage

Au-delà de la nécessité de comprendre ce qui constitue la périphérie du réseau et d'auditer ce qui s'y trouve, il y a celle d'acheter des équipements sécurisés dès la conception. L'implémentation de langages de programmation sécurisés y contribue. Comme l'évaluation du risque géopolitique et l'usage, autant que possible, de mécanismes de vérification d'intégrité au long de la chaîne d'approvisionnement. Dans tous les cas, pour réduire le risque d'introduction de firmwares malveillants, on flashera les équipements avant utilisation, avec un firmware sourcé auprès des fournisseurs par des moyens de confiance. On préférera par ailleurs ceux qui, plutôt que d'intégrer des identifiants par défaut, exigent d'en définir lors de la mise en service.

Atténuer ou patcher ?

Pour ce qui est des mises à jour, on prendra garde au fait que les fournisseurs ne communiquent pas systématiquement l'intégration de certains patchs. Surtout pour les vulnérabilités qu'ils découvrent et corrigent eux-mêmes. On se souviendra aussi que les correctifs sont parfois plus simples à déployer sur les versions récentes. L'activation des updates automatiques est une possibilité, à peser néanmoins avec les risques qui en découlent (impossibilité de tester). On pourra également être amené à peser le pour et le contre lorsqu'il s'agira d'installer un patch sur un équipement compromis : vaudra-t-il mieux corriger la faille au risque de supprimer des atténuations temporaires mises en place au préalable, ou se concentrer d'abord sur l'éviction de l'attaquant ?...

Vigilance avec Active Directory

Autre élément à mettre en balance : les risques et bénéfices d'une authentification centralisée. Avec des systèmes comme Active Directory, la surface d'attaque peut effectivement s'élargir si des équipements de bordure sont connectés au magasin d'identités principal ou si un fournisseur d'identités est utilisé sur plusieurs zones de sécurité.
Les équipements de bordure qui utilisent des comptes locaux seront gérés avec un PAM ou un gestionnaire de secrets. Des solutions qui, selon le scénario, peuvent assurer la rotation des authentifiants après chaque usage. On y ajoutera, sur les équipements ayant des interfaces exposées à Internet comme les passerelles VPN, du MFA résistant au phishing. À défaut, on utilisera mots ou phrases de passe en suivant les recommandations des autorités nationales.

API, VPN, SNMP... Attention aux portes ouvertes

Les ports non utilisés sur les équipements de bordure seront fermés. Comme certaines fonctionnalités dont :

• VPN
  Proposé par défaut sur beaucoup d'équipements de bordure. S'il n'y en a pas besoin, le désactiver et l'empêcher d'accéder à Internet.
  
  
• API
  Idem : à couper si c'est possible et qu'elles ne sont pas utilisées.
  
  
• SNMP
  Si le protocole est nécessaire à la supervision, ne l'autoriser que depuis des endpoints approuvés. Configurer SNMPv3 en désactivant les autres versions.
  
  
• Interfaces d'administration
  Configurer correctement le contrôle d'accès. Si possible, isoler ces interfaces du réseau Internet.
  
  
• IPv6
  Le désactiver si on n'utilise qu'IPv4 ; cela réduit la surface d'attaque.

Protéger les logs

Les interfaces de gestion seront, autant que possible, séparées du plan de données. On y implémentera des listes de contrôle d'accès. Et en cas d'agrégation sur un même réseau, on emploiera des VLAN pour minimiser le risque de latéralisation.

Les logs seront sécurisés au repos comme au transit et on en fera des sauvegardes. Les équipements de bordure n'auront pas la capacité de les modifier ou de les supprimer. Tandis que l'agrégateur validera les entrées.

À consulter en complément :

Un retex du CERT-FR (juin 2024) sur les failles de sécurité dans ces équipements
Quelques cyberattaques qui illustrent l'état de la menace sur le cloud
Sur le marché du PAM, ce qui progresse à part les prix
Les langages de programmation sécurisés face au défi de l'adoption

* Australie, Canada, États-Unis, Nouvelle-Zélande et Royaume-Uni.

Illustration générée par IA