Pare-feu et VPN : ce qui sort compte plus que ce qui entre

Le pare-feu est vendu avec une image : une muraille qui arrête ce qui vient de l’extérieur. Cette image décrit un problème que votre routeur résout déjà, et elle cache la moitié du sujet qui compte réellement.

Ce qui arrive de l’extérieur sans avoir été demandé n’atteint pas vos postes. C’est le comportement par défaut de n’importe quel routeur d’entreprise depuis très longtemps, et cela n’a pas besoin d’être acheté une seconde fois.

Ce qui compte est l’autre direction : ce qui part de chez vous. Parce que le jour où une machine est compromise — par une pièce jointe, par une clé, par un logiciel installé un vendredi — c’est en sortant qu’elle fait le dommage.

Cet article traite cette direction, le fait que l’accès distant est le vrai achat de cette ligne, et une réalité locale que les catalogues n’écrivent pas : la valeur d’un pare-feu est dans ses abonnements, et le jour où ils expirent rien ne change à l’écran.

L’article sur le réseau demande trois séparations — les invités, la surveillance, l’encaissement — et il les décrit comme une configuration de commutateur. Cette page est l’endroit où elles cessent d’être des étiquettes.

Séparer sans filtrer ne fait presque rien. Deux réseaux distincts qui peuvent quand même se joindre en totalité sont deux réseaux avec une frontière décorative, et c’est la configuration que nous trouvons dans la majorité des installations qui se disent segmentées.

Ce qui rend la séparation réelle est un petit nombre de règles écrites entre ces zones : les caméras parlent à l’enregistreur et à rien d’autre ; le réseau invité sort vers internet et ne voit aucune machine interne ; l’encaissement joint deux destinations précises et rien de plus.

Ces trois règles sont peu nombreuses, elles se testent en dix minutes chacune, et elles couvrent l’essentiel de ce qu’un pare-feu apporte réellement à une entreprise de cette taille. Tout le reste du catalogue est optionnel devant elles.

La vérification qui compte est un essai plutôt qu’une capture d’écran : depuis un poste sur le réseau invité, essayez d’atteindre un partage interne. Si vous y arrivez, la séparation n’existe pas, quelle que soit la couleur du schéma qui vous a été remis.

Voici la particularité économique de cette ligne, et elle est rarement expliquée à l’achat : un pare-feu d’entreprise se vend avec un abonnement, et l’essentiel de ce qu’il fait de plus qu’un routeur dépend de cet abonnement.

Ce que l’abonnement finance est une mise à jour continue de ce que l’équipement reconnaît : listes de destinations malveillantes, signatures, catégories de sites. Sans lui, l’équipement continue d’appliquer vos règles — donc il reste utile — mais il cesse d’apprendre.

Le problème est qu’à l’écran, rien ne change. Aucune alerte visible, aucun voyant, aucune fonction qui s’arrête. C’est exactement le même mécanisme que la fin de support d’un système, décrite dans l’article sur le serveur : la machine fonctionne, et elle a cessé d’être protégée par ce qui la rendait spéciale.

Ce point est aggravé localement par le mode de paiement. Un renouvellement facturé en devise, sur un compte à l’étranger, avec les difficultés que décrit l’article sur l’hébergement, est un renouvellement qui glisse d’un trimestre, puis d’une année, puis n’est plus fait du tout.

La conséquence est une décision d’achat honnête : si vous n’avez pas la certitude de pouvoir renouveler l’abonnement chaque année, achetez l’équipement pour ce qu’il fera sans abonnement — les séparations et le tunnel — et payez-le en conséquence. Un équipement haut de gamme sans abonnement coûte cher pour faire le travail d’un équipement moyen.

La fonction qui plaît le plus aux dirigeants dans cette gamme est le filtrage des sites : bloquer des catégories, empêcher certains usages, mesurer le temps passé. Il faut expliquer pourquoi nous la déconseillons plutôt que de la refuser sans motif.

La première raison est qu’elle rate sa cible. Le téléphone personnel de chaque employé est dans sa poche, sur un réseau que vous ne contrôlez pas, et il fait tout ce que le filtrage interdit. Ce qui est bloqué sur le poste est fait sur le téléphone, et le seul effet mesurable est le déplacement.

La deuxième est qu’elle produit des faux positifs qui coûtent du temps réel : un site professionnel classé dans une mauvaise catégorie, un outil métier bloqué, une page de fournisseur inaccessible. Chacun de ces cas devient une demande au support, et le support ouvre une exception — voir la section 6.

La troisième est de fond : c’est une mesure de management déguisée en mesure de sécurité, et elle est reçue comme telle par les équipes. Si le sujet est le temps de travail, il se traite avec les personnes ; s’il est la sécurité, le filtrage de catégories n’est pas ce qui l’améliore.

Ce que nous acceptons de configurer, en revanche, est étroit et défendable : le blocage des destinations connues pour distribuer du logiciel malveillant, qui est une liste technique et non un jugement d’usage. C’est la partie du filtrage qui protège, et c’est celle qui dépend de l’abonnement de la section 5.

Ce que nous refuserons : vendre un pare-feu comme une protection contre ce qui vient de l’extérieur sans dire que cette direction est déjà traitée. C’est l’argument de vente le plus efficace de cette ligne et il décrit un problème résolu.

Nous refuserons de configurer l’inspection du trafic chiffré dans une entreprise de cette taille, et nous refuserons le filtrage de catégories d’usage. Nous configurons le blocage des destinations malveillantes, qui est une liste technique, et nous disons non au reste.

Nous refuserons de créer un accès distant partagé entre plusieurs personnes ou remis à un prestataire sans date de fin, y compris quand cela ferait gagner une journée à tout le monde.

Ce que nous faisons : la liste des ouvertures existantes établie et réduite avant tout achat ; les trois règles de sortie qui valent leur heure, dont le courrier émis hors de votre messagerie ; les séparations testées depuis le réseau invité plutôt que montrées sur un schéma ; un compte distant par personne avec une deuxième vérification ; chaque règle commentée et datée ; et la date d’expiration de l’abonnement inscrite dans votre budget.

Et ce que vous pouvez faire cette semaine sans nous : demandez la liste des services de votre entreprise accessibles depuis internet, et pour chacun la raison. Puis connectez un poste au réseau invité et essayez d’ouvrir un partage interne. Ces deux gestes disent plus sur votre pare-feu que sa fiche technique.