MISSION / DURCISSEMENT RÉSEAU

Pare-feu sous tension

Fermez les accès dangereux. Gardez les services disponibles.

INSTALLATION INDIVIDUELLE

Après des tentatives d’intrusion, vous reprenez le filtrage d’une petite infrastructure. Construisez vos règles, testez leurs effets, puis validez la protection. Une coupure générale ne résout pas la mission.

01 / Les connexions face au pare-feu

Suspendre l’animation

ORIGINE / SOURCEPREMIÈRE CORRESPONDANCECIBLE / DESTINATION

Testez vos règles pour observer les connexions et leurs décisions.

Pare-feu central entre zones routées distinctes : externe, administration, application, base et DNS. Les connexions représentées traversent toutes ce filtre. Les adresses sources sont supposées fiables : l’usurpation d’adresse n’est pas modélisée.

03 / Éditeur de règles

0 / 32 règles

Lecture de haut en bas : la première règle qui correspond décide. Sans correspondance, la politique par défaut s’applique. * signifie « tous ». Les CIDR doivent désigner le réseau : 192.0.2.0/24, pas 192.0.2.8/24.

N°	Source IPv4 / CIDR	Destination IPv4 / CIDR	Protocole	Port destination	Action	Ordre / suppression

Sans correspondance

VÉRIFICATION CÔTÉ SERVEUR

Commencez avec une politique de blocage et autorisez les communications nécessaires.

Flag individuel :

04 / Journal des connexions et résultats

OBSERVATIONS SIMULÉES

Heure	Connexion	Observation	Résultat obtenu	Attendu	Décision responsable
16:14:00	`192.0.2.237 → 10.69.10.182:443`TCP	Consultation du site public	Non testé	Autoriser	—
16:14:04	`198.51.100.226 → 10.69.10.182:22`TCP	Tentative d’administration externe	Non testé	Bloquer	—
16:14:08	`10.69.30.24 → 10.69.10.182:22`TCP	Maintenance depuis le réseau autorisé	Non testé	Autoriser	—
16:14:12	`10.69.10.182 → 10.69.20.137:3306`TCP	Requête applicative vers la base	Non testé	Autoriser	—
16:14:16	`198.51.100.226 → 10.69.20.137:3306`TCP	Accès direct externe à la base	Non testé	Bloquer	—
16:14:20	`10.69.10.182 → 10.69.40.211:53`UDP	Résolution DNS applicative	Non testé	Autoriser	—
16:14:24	`10.69.20.137 → 10.69.40.211:53`TCP	Résolution DNS de la base en TCP	Non testé	Autoriser	—
16:14:28	`10.69.10.182 → 203.0.113.28:53`UDP	Requête vers un résolveur non prévu	Non testé	Bloquer	—
16:14:32	`192.0.2.237 → 10.69.10.182:443`UDP	Mauvais protocole pour le service web	Non testé	Bloquer	—
16:14:36	`10.69.30.24 → 10.69.20.137:3306`TCP	Accès à la base depuis un autre poste	Non testé	Bloquer	—

Comprendre le modèle et la validation

Chaque règle filtre une source, une destination, un protocole TCP/UDP et un port de destination. Le protocole « Tous » signifie TCP et UDP dans cet exercice. Une IPv4 seule équivaut à /32 ; 0.0.0.0/0 couvre tout IPv4.

Seuls les débuts de connexions fictives sont évalués : aucun suivi des connexions, paquet de réponse, NAT ou IPv6. Il ne faut pas ajouter de règles de réponse. Les ports hors 1–65535 ne font pas partie du modèle. Les réseaux incluent toutes les adresses du préfixe pour le filtrage.

La validation complète couvre tous les flux du modèle, y compris les adresses absentes du journal. Plusieurs configurations peuvent réussir : le comportement compte, pas le nombre de règles ou une solution unique. Les contrôles restent sur le serveur.

Le réseau d’administration est une zone distincte de l’application et de la base. Le résolveur est dans une zone dédiée. Tout autre service, destination ou source non autorisé par les objectifs doit être bloqué.