Protection de votre serveur contre les attaques de réseau

• Protection firewall
• Protection contre les chevaux de Troie
• Protection antivandale
• Adresses bloquées et adresses de confiance

• Accéder à la table des matières principale

En plus de ses puissantes fonctions de protection contre les maliciels, VirusBarrier Server 3 protège votre serveur contre les attaques de réseau à l'aide d'outils répartis en deux groupes.

• Les outils de firewall qui déterminent les communications de réseau autorisées par votre serveur.
• Les outils antivandales qui détectent et préviennent différents types d'attaques de réseau.

Ensemble, ces outils vous protègent contre pratiquement tous les types d'attaques possibles, y compris les chevaux de Troie ou les attaques Ping et Port Scans.

Protection firewall

VirusBarrier Server 3 comprend un firewall bidirectionnel qui filtre les paquets de données échangés entre votre serveur et Internet ou un réseau TCP/IP local. Il protège également contre les Troyens en bloquant les ports spécifiques utilisés.

Pour afficher ou modifier vos réglages de firewall, cliquez sur l'onglet Firewall.

Quand vous cliquez sur le bouton Firewall, VirusBarrier Server 3 présente le contrôle des réglages de firewall en mode Simple. Les cinq réglages prédéterminés couvrent toutes les situations rencontrées en usage normal ; chacun est accompagné d'une animation expliquant l'effet de son application. L'écran le plus proche de vous représente votre serveur ; le globe représente Internet ; l'écran intermédiaire représente la limite de votre réseau local. Ici, le réglage par défaut, Sans restriction, montre comment votre ordinateur peut envoyer et recevoir des informations sans aucun blocage dans un sens ou l'autre.

Les cinq réglages du firewall sont :

• Sans restriction : le firewall de VirusBarrier Server 3 autorise l'échange de toutes les données de réseau entrantes et sortantes.
• Déconnexion réseau : le firewall de VirusBarrier Server 3 empêche tout échange de données entre votre serveur et Internet ou un réseau TCP/IP local.
• Client, serveur local : le firewall de VirusBarrier Server 3 permet le fonctionnement de votre serveur comme client et comme serveur sur un réseau local. Votre serveur peut accéder à Internet en tant que client (mais pas en tant que serveur) et peut fonctionner à la fois comme client et comme serveur sur un réseau local.
• Mode serveur : le firewall de VirusBarrier Server 3 autorise le fonctionnement de votre serveur seulement comme serveur : toutes les fonctions de client, y compris votre capacité à surfer sur Internet à partir de cet ordinateur, sont bloquées.
• Mode client : le firewall de VirusBarrier Server 3 autorise le fonctionnement de votre serveur seulement comme client sur un réseau local ou sur Internet. Les fonctions de serveur et de partage de fichiers de votre serveur sont bloquées.

Si ces cinq réglages sont suffisants pour la plupart des usages, vous pouvez toutefois contrôler le firewall de manière plus précise en activant le mode avancé de VirusBarrier Server 3.

Mode Avancé

VirusBarrier Server 3 propose également un mode de firewall avancé que vous pouvez utiliser pour créer vos propres règles, afin de spécifier exactement les types de trafic à autoriser ou à bloquer vers ou depuis votre serveur. Pour plus d'informations sur l'utilisation du mode Avancé, reportez-vous à la section Création de règles de firewall personnalisées.

Protection contre les chevaux de Troie

VirusBarrier Server 3 est capable de repérer les actions des chevaux de Troie les plus courants et de les arrêter. Certains de ces programmes transmettent à un serveur central des informations relatives aux habitudes de navigation de l'utilisateur ; d'autres chevaux de Troie ouvrent des "portes dérobées" dans l'ordinateur, laissant ainsi la voie libre à la prise de contrôle par des pirates ou au vol de fichiers. VirusBarrier Server 3 reconnaît en outre les actions des chevaux de Troie Windows. Vous êtes ainsi protégé lorsque vous exécutez une machine virtuelle Windows (avec un programme comme VMware Fusion ou Parallels Desktop) et que vous partagez la connexion Internet de votre serveur en mode NAT.

Pour afficher les commandes de VirusBarrier Server 3 destinées aux chevaux de Troie, cliquez sur l'onglet Troyen en haut de l'écran Firewall.

Pour activer la protection contre les chevaux de Troie, réglez le curseur Protection anti-troyen sur Activée, puis cochez les cases des chevaux de Troie concernés pour les sélectionner. Les boutons Activer Tous et Désactiver Tous, en bas du panneau, sont des raccourcis pratiques pour cocher ou décocher toutes les cases à la fois.

Vous pouvez aussi activer le blocage d'un cheval de Troie individuel ou de tous les chevaux de Troie en cliquant à l'aide du bouton droit de la souris sur le nom d'un cheval de Troie, puis en choisissant la commande appropriée dans le menu contextuel qui s'affiche.

Protection antivandale

L'outil antivandale de VirusBarrier Server 3 surveille et filtre toutes les données entrant dans votre serveur pour détecter tout signe d'intrusion. Ce filtrage est transparent : vous ne constaterez son fonctionnement que lorsqu'il détectera des données suspectes et affichera une alerte. Sinon, la protection antivandale surveille de manière silencieuse et en permanence l'activité réseau de votre serveur.

Pour afficher l'écran Antivandale, cliquez sur l'onglet Antivandale.

L'onglet Politique de sécurité permet de contrôler la façon dont les données qui entrent dans votre ordinateur sont filtrées. Les onglets Adresses bloquées et Adresses de confiance enregistrent les hôtes spécifiques, ou adresses IP, que vous jugez suspects ou dignes de confiance.

Politique de sécurité

Le panneau Politique de sécurité dispose d'outils permettant d'éviter six types d'intrusions.

• Attaques par dépassement de buffer : attaques qui peuvent se produire lorsqu'un logiciel présente des défauts de gestion de mémoire qui permettent à des utilisateurs malveillants d'accéder à votre serveur.
• Tentatives d'intrusion : tentatives d'accès à votre serveur au moyen d'un nombre prédéterminé de saisies de mot de passe incorrectes dans un délai de temps donné. Différents réglages sont disponibles pour AppleShare IP (ASIP), FTP, HTTP, IMAP, POP et SMTP.
• Attaques Ping : votre serveur reçoit un nombre ou une fréquence de demandes ping tellement élevés que le fait d'y répondre le mettrait à rude épreuve.
• Attaques Ping Broadcast : demandes ping de diffusion d'adresses, où un seul ping est multiplié à travers votre réseau local.
• Port Scans : ordinateurs distants tentant de découvrir des vulnérabilités sur les ports de votre serveur. Si l'ordinateur fonctionne comme serveur, vous pouvez choisir de ne pas cocher cette case.
• SYN Flooding : multiples demandes TCP envoyées par un attaquant qui ne termine pas le stade final de l'échange, ce qui entraîne une forte consommation de ressources pour l'ordinateur cible.

La protection contre chaque type d'intrusion est activée ou désactivée en cliquant sur la case qui l'accompagne. Par défaut, le fait de cliquer sur le nom de n'importe quel type d'intrusion entraîne l'affichage de la notification et des politiques d'action pour tous les types d'intrusion dans le mini-panneau de droite. Vous pouvez mettre en œuvre des politiques distinctes pour chaque type d'intrusion en modifiant un réglage dans les options antivandales : pour plus de détails, reportez-vous à la section "Unification des options de politique" ci-dessous.

Les deux réglages vous permettent de déterminer la durée de blocage d'une adresse et de décider si vous devez être informé de l'action par courrier électronique. Pour recevoir les notifications d'alerte par message électronique, vous devez en configurer les réglages. Dans la section Politique, cliquez sur Options, puis sur le bouton Configurer... Saisissez les données nécessaires pour votre compte de courrier dans la zone de dialogue Préférences d'e-mail affichée. (Avant d'envoyer un message électronique, VirusBarrier Server 3 attend 30 secondes pour voir si d'autres tentatives d'intrusion surviennent. Il peut ainsi rassembler toutes les tentatives dans un seul message plutôt qu'envoyer des messages séparés pour toutes les tentatives.)

Lorsqu'un type d'intrusion est sélectionné, le fait de cliquer sur l'onglet Avancé dans le panneau de droite permet d'afficher des options supplémentaires propres au type concerné. Il s'agit des options suivantes :

• Attaques par dépassement de buffer : pas de réglages avancés.
• Tentatives d'intrusion : réglage séparé du nombre de tentatives de mot de passe incorrect permises pour AppleShare IP (ASIP), FTP, HTTP, IMAP, POP et SMTP.
• Attaques Ping : sensibilité aux attaques Ping, mesurée en millisecondes (ms) permises entre les tentatives de ping. Si votre ordinateur est en réseau, il est normal que l'administrateur de système lui envoie des pings de temps en temps. Mais si votre ordinateur est isolé, les pings sont plus rares. La seule exception concerne les connexions par câble ou DSL où le fournisseur d'accès Internet peut envoyer un ping à votre ordinateur pour vérifier s'il est en ligne.
• Attaques Ping Broadcast : pas de réglages avancés.
• Port Scans : un curseur permet de régler la sensibilité de faible à élevée, par incréments selon un calcul interne.
• SYN Flooding : sensibilité mesurée en nombre de tentatives de connexions permises par seconde.

Options

Cliquez sur le bouton Options dans le coin inférieur gauche de l'écran Politique de sécurité pour effectuer des réglages de filtrage supplémentaires. Les options apparaissent à droite, dans le panneau.

• Ne pas répondre aux pings : l'ordinateur est invisible pour les autres ordinateurs sur Internet ou un réseau local. Cependant, il n'est pas anonyme ; toutes les demandes envoyées à d'autres hôtes portent son adresse IP.
• Arrêter les protocoles inconnus : VirusBarrier Server 3 bloque automatiquement tous les protocoles inconnus si cette case est cochée.
• Refuser tout contrôle via Apple Remote Desktop : VirusBarrier Server 3 bloque tous les accès à votre serveur à partir d'Apple Remote Desktop si cette case est cochée.
• Autoriser le mode PORT : vous pouvez effectuer des transferts FTP lors du fonctionnement en "Mode client" du Firewall.

La seconde partie de cet écran permet d'être averti par message électronique en cas de détection d'une attaque (pour en savoir plus, voir section précédente).

Unification des options de politique

À chaque type d'intrusion correspondent des réglages permettant de déterminer les mesures à prendre en cas de détection.

La case Utiliser la même politique pour toutes les attaques permet d'unifier toutes les notifications et actions. Si cette case n'est pas cochée, vous pouvez, par exemple, choisir de recevoir un message en cas de détection d'attaque par dépassement de buffer, mais pas en cas de tentative d'intrusion. Cocher cette case indique à VirusBarrier Server 3 que vous voulez le même type de réponse, quel que soit le type d'intrusion.

Si vous activez cette option, une boîte de dialogue s'affiche pour demander quels sont les réglages qui doivent servir de modèle pour les autres types d'intrusion.

Adresses bloquées et adresses de confiance

La liste Adresses bloquées garantit qu'une fois la tentative d'attaque ou d'intrusion déjouée, aucune communication ne se produira entre la machine attaquante et votre serveur pendant la durée que vous définissez.

La liste des Adresses de confiance est l'opposé de la liste des Adresses bloquées : elle contient la liste des ordinateurs "amis" qui sont autorisés à se connecter à votre serveur. Alors que la liste des Adresses bloquées vous protège de vos ennemis, la liste des Adresses de confiance ouvre la porte à vos amis. L'outil Antivandale de VirusBarrier Server 3 ne bloque pas l'accès aux ordinateurs figurant dans la liste Adresses de confiance ni ne déclenche d'alertes du fait de leurs actions. Cependant, les ordinateurs de la liste des Adresses de confiance restent sensibles à toutes les règles actives du firewall.

L'interface de la fenêtre Adresses de confiance est très similaire à celle de la fenêtre Adresses bloquées, c'est pourquoi nous allons les examiner en même temps, en insistant sur les différences éventuelles. Voici la fenêtre Adresses bloquées.

Le panneau à gauche comprend des informations sur les éventuelles adresses IP présentes dans la liste des Adresses bloquées ou dans la liste des Adresses de confiance.

• Case à cocher : vous pouvez désactiver temporairement une adresse bloquée/de confiance en décochant cette case, qui est cochée par défaut lors de l'ajout aux listes. Quand l'élément est désactivé, vous le réactivez en cliquant dessus. (Cette case apparaît seulement si l'adresse IP est réglée pour être bloquée en permanence.)
• Intrus/Hôte : la seconde colonne contient l'adresse IP intruse (dans la liste des Adresses bloquées) ou amie (dans la liste des Adresses de confiance).
• Temps restant : si vous avez réglé cette adresse IP pour qu'elle soit bloquée/autorisée pour une durée spécifique, cette colonne indique le temps restant, à la seconde près. Sinon, la colonne affiche Hôte permanent pour indiquer que l'adresse IP va rester jusqu'à ce que vous la supprimiez manuellement.

Informations sur une adresse bloquée/de confiance

Si vous cliquez sur un élément des listes Adresses bloquées/de confiance, des informations supplémentaires apparaissent sur la droite du panneau. Lorsque vous double-cliquez sur un élément, une nouvelle fenêtre contenant les mêmes informations s'ouvre.

• Hôte : adresse IP de l'hôte. Si vous avez ouvert une nouvelle fenêtre en double-cliquant sur un élément, vous pouvez modifier manuellement l'adresse IP de la liste. En cliquant sur le bouton de recherche DNS (?), vous passez de l'adresse IP numérique au nom de domaine de l'attaquant, le cas échéant. Pour afficher l'adresse en gros caractères, placez le curseur sur le mot Hôte, cliquez, puis sélectionnez Grande police dans le menu contextuel qui apparaît.
• Raison : pourquoi l'adresse IP a été ajoutée à la liste des Adresses bloquées. Ce texte n'apparaît pas dans la liste des Adresses de confiance, vu que tous les éléments y sont ajoutés manuellement.
• Temps total : c'est la durée pendant laquelle l'ordinateur va rester dans la liste Adresses bloquées/de confiance. Cliquer sur Temps total a pour effet d'afficher le Temps restant ; un nouveau clic permet d'afficher le Temps écoulé indiquant la durée de présence de l'attaquant dans la liste Adresses bloquées. Si vous cliquez sur Temps écoulé, le Temps total est à nouveau affiché.
• Arrivée: pourquoi l'adresse a été ajoutée à la liste des Adresses bloquées/de confiance.
• Départ : Si vous avez précisé la durée de séjour d'une adresse IP dans la liste des Adresses bloquées/de confiance, le moment du départ va s'afficher.
• Note : tous les commentaires que vous avez entrés pour cette adresse IP. VirusBarrier Server 3 ajoute automatiquement des commentaires à ce champ quand il place un élément dans la liste Adresses bloquées.

Note à propos des recherches DNS

Vous verrez à divers endroits de l'interface de VirusBarrier Server 3 un point d'interrogation inscrit dans un cercle sombre. En cliquant dessus, les informations voisines passent de l'adresse IP numérique au nom de domaine associé et vice versa.

Attention, les adresses IP n'ont pas toujours de relation univoque avec les noms de domaine. Par exemple, un domaine important pourrait avoir www.exemple.com hébergé sur une adresse IP, forums.exemple.com hébergé sur une autre et blog.exemple.com hébergé sur une troisième adresse.

Cependant, les petits domaines partagent souvent une même adresse IP avec d'autres, tous étant hébergés comme "domaines virtuels" sur un seul ordinateur. Dans ces cas, la recherche de domaine donne une adresse IP qui conduit en fait au nom d'une machine plus importante et inattendue, par exemple, apache2-vat.market.exemple.com.

Par conséquent, le fait d'entrer une adresse IP pourrait bloquer (ou autoriser) du trafic venant de domaines inattendus, tandis que le fait d'entrer un domaine pourrait ne pas bloquer (ou ne pas autoriser) tout le trafic désiré. Cela est dû à la nature même de la structure des domaines Internet et ne constitue pas une erreur de la part de VirusBarrier Server 3. Si vous constatez des problèmes de trafic bloqué ou autorisé de manière inattendue, essayez d'utiliser un nom de domaine plutôt qu'une adresse IP ou vice versa.

Ajout d'adresses

Il existe deux manières d'ajouter manuellement des adresses à la liste des Adresses bloquées/de confiance. (VirusBarrier Server 3 peut aussi ajouter automatiquement des adresses à la liste Adresses bloquées en réponse à des attaques, conformément à la politique de sécurité.)

La première manière d'ajouter une adresse à la liste Adresses bloquées ou Adresses de confiance consiste à choisir une adresse IP dans la fenêtre Historique, puis à sélectionner Ajouter aux adresses bloquées ou Ajouter aux adresses de confiance dans le menu contextuel. Pour plus d'informations à ce sujet, reportez-vous à la section Utilisation des outils de surveillance de VirusBarrier Server 3.

Vous pouvez également ajouter manuellement des adresses à la liste Adresses bloquées/de confiance en cliquant sur le bouton + situé en bas de la liste. Une fenêtre apparaît.

Saisissez une adresse IP dans le champ Hôte, puis choisissez la durée de maintien de cette adresse dans la liste Adresses bloquées (ou la liste Adresses de confiance) en tapant un nombre dans le champ Durée. Choisissez une unité de temps dans le menu déroulant. Si vous ne connaissez pas l'adresse IP numérique de l'hôte que vous souhaitez ajouter, entrez son nom et cliquez sur le bouton ?. VirusBarrier Server 3 interroge alors votre serveur DNS et introduit le numéro correct dans le champ. Un champ Notes est prévu pour accueillir vos commentaires tels que la raison de l'ajout de l'adresse. Si vous décidez de ne pas ajouter cette adresse à la liste Adresses bloquées/de confiance, cliquez sur Annuler.

Utilisation de jokers

L'utilisation de jokers permet d'indiquer des intervalles d'adresses IP dans la liste des Adresses bloquées ou des Adresses de confiance. Pour cela, entrez la première partie de l'adresse IP à bloquer, suivie d'astérisques. Par exemple, 192.168.1.* va bloquer toutes les adresses IP de 192.168.1.0 à 192.168.1.255 inclus ; 192.168.*.* va bloquer les adresses IP de 192.168.[0-255].[0-255] ; et ainsi de suite.

Suppression et transfert d'adresses

Pour supprimer une adresse de la liste Adresses bloquées ou Adresses de confiance, cliquez sur l'adresse concernée, puis sur le bouton -.

Vous pouvez aussi supprimer une adresse en cliquant dessus à l'aide du bouton droit de la souris, puis en sélectionnant Supprimer... dans le menu contextuel affiché. À partir de ce menu contextuel, vous pouvez transférer une adresse de la liste des Adresses bloquées vers la liste des Adresses de confiance ou vice versa.

Modification d'une adresse

Il existe trois façons de modifier une adresse dans la liste des Adresses bloquées ou dans la liste des Adresses de confiance :

• cliquez sur l'adresse à modifier, puis sur le bouton Éditer... dans le coin inférieur gauche du panneau ;
• double-cliquez sur l'adresse ou
• cliquez sur l'adresse à l'aide du bouton droit de la souris, puis sélectionnez Éditer... dans le menu contextuel.

L'Éditeur d'adresses bloquées/de confiance apparaît. Vous pouvez modifier l'adresse, ajouter ou modifier des notes ou modifier la durée de maintien dans la liste des Adresses bloquées/de confiance.

‹‹ Protection de votre serveur contre les virus et les maliciels Utilisation des outils de surveillance de VirusBarrier Server 3 ››

© 2012 Intego. Tous droits réservés.