Qu'est-ce qu'un firewall ? Définition et fonctionnement du pare-feu

Un firewall, que l'on appelle en français pare-feu, est un dispositif de sécurité informatique qui contrôle les communications entre un ordinateur ou un réseau et le monde extérieur, en particulier Internet. Placé à la frontière, il examine les données qui entrent et qui sortent et décide, selon des règles fixées à l'avance, de les laisser passer ou de les bloquer. Son rôle ressemble à celui d'un poste de contrôle à l'entrée d'un bâtiment : seules les personnes munies d'un badge valable et se rendant à un étage autorisé peuvent franchir la barrière. Présent sous forme de logiciel sur nos ordinateurs, intégré à nos box Internet ou installé sous forme de boîtier dédié dans les entreprises, le firewall constitue l'une des premières lignes de défense contre les intrusions, les connexions indésirables et la propagation de logiciels malveillants. Il ne protège pourtant pas de tout : face à l'attaque DDoS, qui submerge un service sous un déluge de requêtes, ou face à un utilisateur qui ouvre lui-même une pièce jointe piégée, il doit être complété par d'autres protections. Cette définition explique son origine, son fonctionnement, ses différents types, les bonnes pratiques de configuration et ses limites.

Qu'est-ce qu'un firewall ? Définition du pare-feu

Techniquement, un firewall est un programme ou un équipement qui filtre le trafic réseau, c'est-à-dire l'ensemble des données échangées entre machines. Sur Internet, ces données circulent découpées en petits morceaux appelés paquets, un peu comme une lettre qu'on aurait découpée en cartes postales numérotées. Chaque paquet porte une enveloppe avec des informations : l'adresse IP de l'expéditeur et celle du destinataire, qui identifient les machines, le port, un numéro qui désigne le service visé (par exemple le Web sécurisé ou la messagerie), et le protocole utilisé. Le pare-feu lit ces informations, les compare à sa liste de règles et applique la décision prévue : accepter, refuser, ou parfois rejeter en prévenant l'expéditeur. Il sépare en général une zone de confiance, le réseau interne d'une maison ou d'une entreprise, d'une zone jugée hostile, Internet. Il peut aussi cloisonner les différentes parties d'un même réseau, par exemple isoler les ordinateurs de la comptabilité de ceux des visiteurs. Enfin, il enregistre dans des journaux les connexions bloquées ou suspectes, ce qui aide les administrateurs à repérer des tentatives d'intrusion et à comprendre ce qui s'est passé après un incident de sécurité.

D'où vient le mot firewall ?

Le mot firewall vient du vocabulaire du bâtiment : il désigne à l'origine un mur coupe-feu, une paroi construite pour empêcher un incendie de se propager d'une partie d'un immeuble à une autre. L'image a été reprise par les informaticiens à la fin des années 1980, lorsque les réseaux d'universités et d'entreprises reliés à l'Internet naissant ont subi leurs premières attaques, dont le célèbre ver Morris en 1988, qui a paralysé une part importante des machines connectées. Les premiers pare-feu étaient de simples filtres de paquets, intégrés aux routeurs, qui acceptaient ou refusaient le trafic selon les adresses et les ports. Au début des années 1990 apparaissent les passerelles applicatives, qui relaient les connexions en jouant les intermédiaires, puis les pare-feu « à états », capables de suivre une conversation complète et non plus chaque paquet isolément. Le livre de William Cheswick et Steven Bellovin sur les firewalls, publié en 1994, contribue à populariser la notion. Dans les années 2000, les pare-feu deviennent un équipement standard des entreprises et se généralisent sur les ordinateurs personnels, intégrés aux systèmes d'exploitation. Les pare-feu dits de nouvelle génération, capables d'identifier les applications et d'inspecter le contenu, se répandent ensuite au cours des années 2010.

Comment fonctionne un firewall ?

Le cœur d'un firewall est sa liste de règles, lue de haut en bas pour chaque connexion. Une règle ressemble à une phrase simple : « autoriser les ordinateurs du réseau interne à consulter des sites Web », « refuser toute connexion entrante vers le port de partage de fichiers », « autoriser l'administrateur, depuis telle adresse, à se connecter au serveur ». Dès qu'une règle correspond, le pare-feu applique la décision ; si aucune ne correspond, il applique une règle par défaut. La bonne pratique consiste à adopter une politique de refus par défaut : tout ce qui n'est pas explicitement autorisé est interdit. Les critères de filtrage portent d'abord sur les adresses IP d'origine et de destination, les ports et les protocoles, puis, sur les modèles plus avancés, sur l'application utilisée, l'identité de l'utilisateur, le pays d'origine ou même le contenu des échanges. Le firewall surveille généralement les deux sens : le trafic entrant, pour bloquer les intrusions, et le trafic sortant, pour empêcher un logiciel malveillant déjà installé de communiquer avec son centre de commande ou d'envoyer des données à l'extérieur. Les journaux d'événements permettent ensuite de suivre l'activité, de détecter des tentatives répétées et d'ajuster les règles au fil du temps.

Filtrage sans état et inspection avec état

On distingue deux grandes façons de filtrer. Un pare-feu sans état (stateless) examine chaque paquet isolément, sans se souvenir des précédents : il est rapide et simple, mais il faut lui écrire des règles pour chaque sens de communication, et il se laisse plus facilement tromper par des paquets forgés pour ressembler à une réponse légitime. Un pare-feu avec état (stateful) tient au contraire un tableau des connexions en cours. Lorsqu'un ordinateur interne ouvre une connexion vers un site Web, le pare-feu note cette conversation et laisse revenir automatiquement les réponses correspondantes, tout en refusant les paquets entrants qui ne se rattachent à aucune demande. C'est ce mécanisme qui protège, sans réglage particulier, la plupart des box Internet domestiques : les appareils de la maison peuvent naviguer librement, mais personne à l'extérieur ne peut ouvrir de lui-même une connexion vers eux, sauf si l'on a volontairement ouvert un port. Les pare-feu les plus évolués ajoutent l'inspection approfondie des paquets (DPI, pour Deep Packet Inspection), qui regarde le contenu des échanges et pas seulement leur enveloppe, pour reconnaître une application précise ou repérer la signature d'une attaque connue.

Quels sont les différents types de firewall ?

Les firewalls se classent d'abord selon la profondeur de leur analyse. Au filtrage de paquets et à l'inspection avec état s'ajoutent les proxys applicatifs, qui servent d'intermédiaire : l'ordinateur interne ne parle jamais directement au serveur extérieur, il passe par le proxy, qui comprend le protocole utilisé et peut bloquer une requête anormale. Les pare-feu de nouvelle génération, souvent abrégés NGFW, réunissent dans un même équipement l'inspection avec état, la reconnaissance des applications, la détection et la prévention d'intrusions, le filtrage d'adresses Web et parfois l'analyse antivirus. Les pare-feu applicatifs Web, ou WAF, se spécialisent dans la protection des sites et des applications en ligne contre des attaques comme l'injection de code dans les formulaires. Enfin, le pare-feu personnel, installé sur un ordinateur, contrôle quels programmes ont le droit de communiquer. Le tableau ci-dessous résume ces familles, qui se combinent souvent dans une même architecture : chacune répond à un besoin différent, et aucune ne suffit à elle seule à protéger un système d'information complexe.

Pare-feu matériel, logiciel ou dans le cloud

Un firewall peut aussi se distinguer par sa forme. Le pare-feu logiciel s'exécute sur une machine existante : c'est le cas du pare-feu intégré à Windows, du pare-feu applicatif de macOS ou des outils de filtrage du noyau Linux, comme nftables et son prédécesseur iptables. Il protège l'appareil sur lequel il tourne, y compris lorsqu'il se connecte à un Wi-Fi public, ce qui en fait un complément indispensable sur les ordinateurs portables. Le pare-feu matériel prend la forme d'un boîtier dédié placé entre le réseau interne et l'accès Internet ; il protège d'un coup toutes les machines situées derrière lui et dispose de processeurs optimisés pour filtrer de gros volumes de trafic. Chez les particuliers, ce rôle est en partie assuré par la box, qui intègre un filtrage de base. Plus récemment sont apparus les pare-feu virtuels et les services de pare-feu dans le cloud, qui protègent des serveurs hébergés chez un prestataire ou les salariés en télétravail, quel que soit l'endroit où ils se connectent. Ces offres s'intègrent souvent à des approches plus larges, où chaque accès est vérifié individuellement plutôt que de faire confiance à tout ce qui se trouve à l'intérieur du réseau.

Comment bien configurer et utiliser un firewall ?

Un firewall mal réglé peut créer plus de failles qu'il n'en ferme : une règle trop permissive, ajoutée en urgence pour dépanner un service puis oubliée, suffit à ouvrir une brèche. Les spécialistes recommandent donc quelques principes. D'abord, le moindre privilège : n'autoriser que les flux réellement nécessaires, vers les seules machines concernées. Ensuite, documenter chaque règle, avec sa raison d'être et son responsable, et revoir régulièrement la liste pour supprimer ce qui ne sert plus. Il est aussi conseillé de segmenter le réseau en zones de confiance différentes. Les serveurs accessibles depuis Internet, comme un site Web ou une messagerie, sont placés dans une zone intermédiaire appelée DMZ, pour « zone démilitarisée » : si l'un d'eux est compromis, l'attaquant ne se retrouve pas directement au milieu des postes de travail et des données sensibles. Les journaux doivent être conservés et analysés, idéalement par un outil de supervision qui alerte en cas d'anomalie. Enfin, le pare-feu lui-même doit être mis à jour, car ses logiciels comportent eux aussi des failles. Pour un particulier, l'essentiel consiste à laisser activé le pare-feu du système, à ne pas ouvrir de ports sur sa box sans en comprendre l'effet et à installer les mises à jour.

Quelles sont les limites d'un firewall ?

Aussi utile soit-il, le firewall n'est pas une protection absolue. Il ne voit que ce qui traverse la frontière qu'il garde : une attaque menée depuis l'intérieur, par un salarié malveillant ou un ordinateur déjà infecté branché sur le réseau, lui échappe en grande partie. Il ne peut rien non plus contre une menace qui emprunte un chemin autorisé : un courriel d'hameçonnage arrive par la messagerie, flux légitime par définition, et un site piégé se consulte comme n'importe quel autre site. Le chiffrement généralisé des échanges, très bénéfique pour la confidentialité, complique l'inspection du contenu, que seuls certains équipements peuvent analyser en déchiffrant puis rechiffrant le trafic, ce qui pose d'autres questions. Les performances sont un autre enjeu : filtrer finement de gros volumes de données demande une puissance importante, et un équipement sous-dimensionné ralentit tout le réseau. Face à une attaque par saturation de grande ampleur, le pare-feu peut lui-même être débordé, d'où l'intérêt de services spécialisés en amont. Enfin, la complexité de configuration reste la principale faiblesse : dans de nombreuses entreprises, des centaines de règles accumulées au fil des années finissent par se contredire ou par ouvrir des accès dont plus personne ne connaît l'utilité.

Un maillon d'une défense en profondeur

Les spécialistes de la cybersécurité considèrent donc le firewall comme une couche parmi d'autres, au sein d'une stratégie dite de défense en profondeur. Autour de lui s'organisent des outils complémentaires : les antivirus et solutions de détection sur les postes, qui surveillent le comportement des programmes, les systèmes de détection et de prévention d'intrusion, qui repèrent des schémas d'attaque dans le trafic, l'authentification à plusieurs facteurs, qui protège les comptes même si un mot de passe est volé, les sauvegardes régulières et déconnectées, qui permettent de redémarrer après un sinistre, et la mise à jour systématique des logiciels. La sensibilisation des utilisateurs reste tout aussi décisive, car la plupart des intrusions commencent par une erreur humaine. Un exemple illustre bien cette complémentarité : le pare-feu peut empêcher un logiciel malveillant de joindre son serveur de commande, mais il n'empêchera pas un utilisateur de télécharger et d'exécuter lui-même le cheval de Troie caché dans un faux logiciel gratuit ; seuls la vigilance, l'antivirus et des droits d'utilisateur limités viendront alors au secours d'un filtrage réseau pourtant parfaitement configuré.