Pare-feu nouvelle génération

Qu’est-ce qu’un pare-feu nouvelle génération (NGFW) ?

Un pare-feu nouvelle génération (NGFW) présente des caractéristiques bien plus sophistiquées qu’un pare-feu réseau traditionnel ou hérité. Voici une liste non exhaustive des caractéristiques courantes d’un NGFW :

• Inspection de paquets en profondeur – Les pare-feux réseau examinent les données dans les quatre couches de communication TCP/IP (de la plus élevée à la plus basse) : application, transport, IP/réseau et matériel/liaison de données. Les NGFW peuvent inspecter le trafic dans les couches de communication TCP/IP supérieures, y compris la couche d’application. Ceci leur permet d’avoir une connaissance des applications comme le contexte des applications vers lesquelles ou depuis lesquelles le trafic transite, ainsi que les références du comportement attendu des utilisateurs et des applications auxquelles comparer les schémas de transit.
• Détection et prévention des intrusions – L’inspection du trafic dans les couches TCIP/IP supérieures améliore la capacité des NGFW à détecter et à prévenir les cyberattaques. Les NGFW peuvent surveiller le trafic et y déceler les éventuelles activités malveillantes à partir de signatures de comportement ou d’anomalies spécifiques, puis empêcher tout trafic suspect de transiter par le réseau. Ces fonctionnalités sont réunies sous les acronymes IDS (services de détection des intrusions) et IPS (service de prévention des intrusions).
• Protection contre les attaques par déni de service distribué – Les attaques par déni de service (DoS) sont des tentatives malveillantes de rendre un service indisponible en le submergeant de requêtes illégitimes, de sorte qu’il ne puisse plus répondre aux requêtes légitimes des utilisateurs. Les attaques par déni de service distribué (DDoS) s’exécutent à partir de plusieurs ordinateurs afin de générer le flot de requêtes illégitimes. Les NGFW étant dynamiques, ils sont plus aptes à prévenir les attaques de ce type que les pare-feux traditionnels. Un pare-feu dit « avec état » (stateful) contrôle davantage de caractéristiques des demandes de connexion en les comparant avec celles des connexions établies, ce qui facilite la détection des demandes illégitimes, même si elles sont formées différemment ou proviennent d’ordinateurs différents.

Les pare-feux nouvelle génération (NGFW) offrent divers avantages, soit :

• Une protection renforcée contre les cyberattaques – Les NGFW assurent une inspection et une analyse plus approfondies du trafic que les pare-feux traditionnels, et peuvent notamment détecter et prévenir une plus grande variété de cyberattaques. Un NGFW pourra par exemple détecter tout trafic ciblant de façon malveillante le réseau et empêchera toute intrusion, en bloquant le trafic ou en le plaçant en quarantaine.
• Le respect des mandats de conformité réglementaire – Les NGFW empêchent tout utilisateur non autorisé à accéder aux ressources sur le réseau. C’est une clause importante des réglementations en matière de confidentialité et de protection des données, comme la loi HIPAA (Health Insurance Portability and Accountability Act) aux États-Unis et le RGPD (Règlement général sur la protection des données) en UE.
• Une architecture réseau rationalisée – Les NGFW offrent une protection avancée contre les menaces, ainsi que des fonctionnalités de pare-feu classique. Le fait de réunir les fonctionnalités de plusieurs appareils et appliances sur une seule plateforme contribue à réduire la complexité de l’infrastructure réseau.

La gestion unifiée des menaces (UTM) englobe des services de sécurité comme la détection et l’atténuation des programmes malveillants (antivirus, hameçonnage, chevaux de Troie, logiciels espions, etc.) ou encore le filtrage de contenu web (restriction de l’accès des utilisateurs à certains types de contenu ou de site web). Les NGFW, quant à eux, combinent des services UTM et des fonctionnalités de pare-feu afin d’offrir une protection complète sur une seule et même plateforme.

Un pare-feu nouvelle génération protège l’entreprise du risque de fuite de données et des cyberattaques. Il convient, par conséquent, de s’assurer que le NGFW choisi puisse tenir ses promesses. Les meilleurs NGFW sont rigoureusement testés et homologués par des organismes indépendants de certification de produits technologiques, comme ICSA Labs. Vérifiez que le laboratoire d’essais applique des critères de test objectifs pour évaluer les performances des produits.

Lors de l’étude des solutions, notez que le meilleur NGFW peut être intégré à une solution étendue. Ainsi, la plateforme HPE Aruba Networking EdgeConnect SD-WAN associe des fonctionnalités SD-WAN avancées à une segmentation du trafic basée sur l’identité et les rôles, renforcée par un pare-feu nouvelle génération intégré (comme l’IDS/IPS et d’autres fonctions de sécurité). HPE Aruba Networking est également le premier fournisseur SD-WAN à avoir obtenu la certification ICSA Labs Secure SD-WAN, validant son pare-feu intégré nouvelle génération et ses fonctionnalités de sécurité avancées.