Les pare-feu sur hôte s’exécutent sur des ordinateurs individuels ou des appareils connectés à un réseau et protègent les hôtes individuels contre les virus et les logiciels malveillants. Cela contribue à contenir et à contrôler la propagation d’infections nuisibles susceptibles d’infiltrer l’ensemble du réseau.
Dans l’environnement réseau d’entreprise, les pare-feu sur hôte sont généralement utilisés parallèlement à des pare-feu périmétriques. Cette approche en couches garantit que, même si des acteurs malveillants parviennent à franchir le périmètre extérieur, les ordinateurs et appareils individuels restent protégés.
Comment fonctionnent les pare-feu sur hôte ?
Les pare-feu sur hôte sont installés directement sur les ordinateurs individuels. Le pare-feu Windows est l’un des pare-feu sur hôte les plus connus : il est intégré à chaque système d’exploitation Windows. Les Mac sont également livrés avec des pare-feu Apple préinstallés. Il est aussi possible d’installer des pare-feu sur hôte supplémentaires. Ces logiciels tiers proposent souvent des fonctionnalités supplémentaires par rapport aux options de pare-feu par défaut préinstallées sur les ordinateurs.
Les pare-feu sur hôte protègent les utilisateurs contre les acteurs malveillants et les pirates lorsqu’ils accèdent à Internet, en contrôlant le trafic réseau qui entre dans l’ordinateur et en sort. Le trafic que le pare-feu identifie comme potentiellement malveillant est bloqué afin d’empêcher l’installation de virus, de logiciels malveillants et d’autres codes problématiques sur l’ordinateur.
La nature des pare-feu sur hôte permet de protéger les ordinateurs lorsqu’ils sont utilisés sur plusieurs réseaux, ce qui les rend idéaux pour des appareils comme les ordinateurs portables. Ces machines sont peut-être mieux protégées lorsqu’elles sont connectées à un réseau d’entreprise doté d’une sécurité périmétrique adéquate, mais elles restent protégées dans une certaine mesure quel que soit le réseau auquel elles sont connectées, y compris les réseaux Wi-Fi publics.
Certains pare-feu sur hôte peuvent également protéger contre les attaques visant les applications, ce qui peut rassurer les entreprises qui craignent que leurs employés installent des logiciels, des plug-ins et d’autres applications tierces indésirables.
Pare-feu sur hôte ou pare-feu réseau
Il est judicieux de bien comprendre les principales différences entre les pare-feu sur hôte et les pare-feu réseau. Comme leur nom l’indique, les pare-feu réseau protègent les réseaux, et non un ordinateur hôte individuel.
Avec un pare-feu réseau, le trafic est contrôlé au niveau des paquets. Seuls les paquets autorisés peuvent atteindre les serveurs et les ressources informatiques. Toutefois, comme tout pare-feu peut être contourné par des pirates compétents, la combinaison de pare-feu réseau et de pare-feu sur hôte est bien plus sûre que l’utilisation d’un seul de ces deux types.
L’utilisation la plus courante d’un pare-feu réseau consiste à en faire un équipement en bordure d’Internet protégeant un réseau local (LAN) de l’ensemble d’Internet. De plus en plus, les entreprises adoptent des pare-feu de nouvelle génération. Ces outils de sécurité plus avancés sur le plan technologique inspectent le trafic au niveau des applications afin de détecter des menaces telles que les virus, les tentatives d’intrusion et les attaques par injection SQL, entre autres.
Avantages des pare-feu sur hôte
Les pare-feu sur hôte offrent de nombreux avantages, notamment la flexibilité de l’environnement, la personnalisation des configurations, la mobilité et la protection contre les menaces internes.
Flexibilité
Les pare-feu sur hôte sont toujours installés sur un ordinateur ou un appareil individuel, quel que soit l’environnement dans lequel celui-ci est utilisé. Même les machines virtuelles peuvent être déplacées d’un environnement à un autre tout en conservant leur pare-feu sur hôte.
Personnalisation
Un ordinateur ou un appareil peut être configuré en fonction de besoins individuels précis grâce à des règles de pare-feu personnalisées. Pour les réseaux d’entreprise, cela signifie que chaque ordinateur protégé peut être configuré différemment selon le rôle de l’employé et adapté au fil du temps si nécessaire.
Mobilité
Les pare-feu sur hôte protègent les ordinateurs et les appareils où qu’ils se trouvent physiquement. Ils assurent ainsi une protection supplémentaire lorsque les employés travaillent à distance ou se connectent à des réseaux pendant leurs déplacements.
Protection contre les menaces internes
Un pare-feu sur hôte correctement personnalisé peut bloquer les attaques provenant de l’intérieur de l’entreprise en bloquant les appareils non autorisés et en filtrant le trafic sortant potentiellement problématique avant qu’il n’atteigne sa destination interne.
Inconvénients des pare-feu sur hôte
Outre leurs fonctionnalités limitées aux protocoles TCP et UDP, les pare-feu sur hôte présentent certains inconvénients, notamment des capacités de journalisation insuffisantes et des vulnérabilités liées aux manipulations externes comme à celles des employés.
Filtrage simplifié des paquets
Les pare-feu sur hôte ne sont généralement pas assez sophistiqués pour filtrer les paquets en dehors des protocoles IP courants comme TCP et UDP, des adresses IP source et de destination et des informations de protocole telles que les numéros de port. Les paquets entrants qui n’entrent pas dans ces catégories peuvent contourner la protection du pare-feu.
En savoir plus sur les pare-feu filtrant les paquets.
Absence de capacités de journalisation
Les pare-feu sur hôte n’intègrent généralement pas de fonctionnalités de journalisation. Cela peut poser problème lorsque des employés effectuent, sur leurs machines individuelles, des tâches soumises à une réglementation sectorielle alors qu’ils ne sont pas connectés au réseau de l’entreprise. Par exemple, si des employés accèdent à des informations personnelles identifiantes concernant des clients depuis leurs machines individuelles sans être connectés au réseau de l’entreprise, la réglementation exige que la société conserve des traces de cet accès. Les pare-feu sur hôte ne permettent généralement pas ce type de conservation des données.
Vulnérabilité liée à l’accès à distance
Les attaquants qui ont obtenu un accès de niveau administrateur à un ordinateur ou à un appareil hôte peuvent désactiver les pare-feu.
Vulnérabilité aux manipulations des employés
Des employés avertis peuvent être capables de contourner les protections du pare-feu sur hôte afin d’accéder à des contenus web restreints, notamment à des téléchargements susceptibles de contenir du code malveillant. Le contournement du pare-feu expose l’ordinateur individuel au risque de devenir un vecteur de réintroduction de logiciels malveillants au bureau.
Recommandations pour les pare-feu sur hôte
Ces bonnes pratiques peuvent être appliquées lors de l’installation d’un pare-feu sur hôte sur une machine individuelle. Chaque ordinateur ou appareil doit être considéré séparément, car les besoins de protection et les restrictions du pare-feu peuvent varier selon l’utilisateur, y compris au sein d’une même entreprise.
- Déployez des pare-feu sur hôte sur tous les appareils utilisés pour accéder au réseau de l’entreprise.
- Pour assurer le meilleur niveau de protection, bloquez tout le trafic entrant qui n’est pas explicitement nécessaire à l’utilisation prévue de l’appareil.
- N’oubliez pas les appareils réseau tels que les imprimantes, qui doivent eux aussi disposer d’un pare-feu sur hôte activé.
- Limitez l’accès à distance. Les employés qui n’en ont pas besoin doivent en être privés au moyen de contrôles d’accès. Dans le cas contraire, limitez l’accès à distance à un nombre déterminé d’adresses IP ou de sous-réseaux. Envisagez d’utiliser un VPN pour les connexions à distance.
- Chaque pare-feu sur hôte doit être configuré de manière à autoriser l’analyse réseau par les plateformes de sécurité du réseau d’entreprise.
- Limitez le trafic sortant afin de réduire le risque de sabotage interne ou les dangers liés aux erreurs humaines. Cette mesure est particulièrement pertinente pour les appareils mobiles susceptibles d’être égarés ou volés. La restriction du trafic sortant sur la machine peut contribuer à ralentir un acteur malveillant potentiel.
- Si le pare-feu le permet, configurez les paramètres pour journaliser l’activité du pare-feu. Les journaux qui incluent les éléments suivants sont particulièrement utiles : adresses IP et ports source/de destination, application, protocole, direction, date et heure, et règle.
- Examinez régulièrement les paramètres des pare-feu sur hôte individuels.
- Intégrez une formation sur les pare-feu à la formation des employés et mettez en place des règles leur interdisant de modifier eux-mêmes les paramètres du pare-feu.
5 principaux fournisseurs de pare-feu sur hôte
Ces neuf fournisseurs de pare-feu sur hôte comptent parmi les plus populaires et les mieux notés :
- Microsoft Defender : propose différents niveaux de protection, des particuliers aux entreprises.
- Zone Labs : permet de configurer les pare-feu en classant les paramètres réseau.
- Comodo : propose une sécurité unifiée et gérée grâce à la détection et à la réponse sur les terminaux.
- GlassWire : une solution gratuite de surveillance et de sécurité réseau dotée d’un pare-feu intégré.
- Sophos : une protection pare-feu de niveau entreprise avec déchiffrement TLS 1,3, protection approfondie des paquets et accélération des applications.
En conclusion : atténuer les risques liés à l’accès à distance
En matière de sécurité réseau, la meilleure approche en matière de pare-feu repose sur une défense en couches : les pare-feu sur hôte installés sur les machines et appareils individuels sont utilisés dans un cadre de sécurité plus large incluant des pare-feu réseau. Ainsi, les données malveillantes qui franchissent le pare-feu périmétrique extérieur peuvent encore être bloquées au niveau de l’appareil.
Les pare-feu sur hôte sont indispensables aux travailleurs à distance qui se connectent fréquemment à des réseaux différents, chez eux ou dans des lieux publics, où des acteurs malveillants attaquent régulièrement les appareils connectés non protégés. Non seulement l’appareil individuel est exposé, mais les employés peuvent également introduire du code malveillant dans l’ensemble du réseau lorsqu’ils s’y reconnectent. C’est aussi pourquoi il est essentiel de sensibiliser les employés à l’utilisation des pare-feu.
Chaque fois que des pare-feu sont utilisés, il est important d’établir de bonnes pratiques, notamment pour maintenir les configurations à jour. Un pare-feu n’est efficace qu’à hauteur de sa dernière mise à jour.
En savoir plus :7 types de pare-feu et options de déploiement expliqués