Bloquer les téléchargements illégaux sur votre réseau tout en préservant les pièces jointes email : guide SysAdmin

Équilibrer sécurité réseau et productivité demande une approche par couches. Vous voulez stopper les téléchargements à risque (médias piratés, logiciels non autorisés, vecteurs malware) sans casser les workflows légitimes comme la réception de pièces jointes email. Voici une stratégie pratique, grade entreprise, utilisant l'infrastructure réseau standard.

Couche 1 : Filtrage DNS (Première ligne de défense)

Interceptez les requêtes avant qu'elles ne quittent votre réseau.

• Outils : Cisco Umbrella, Quad9, NextDNS, Pi-hole (auto-hébergé), Cloudflare Gateway.
• Action : Activez blocs catégories « Domaines nouvellement enregistrés », « Parkés », « P2P/Partage fichiers », « Logiciels/Tech - Illégal », « Malware ».
• Whitelist : autorisez explicitement domaines votre fournisseur email (outlook.com, gmail.com, proofpoint.com, mimecast.com) et CDN connus (akamai.net, cloudfront.net).
• Avantage : zéro config client ; couvre tous appareils (IoT, BYOD, invités).

Couche 2 : Pare-feu Next-Gen / UTM Contrôle applicatif (Inspection couche 7)

Identifiez le trafic par signature applicative, pas seulement port.

• Plateformes : Palo Alto, FortiGate, Sophos XG, pfSense + Snort/Suricata, OPNsense.
• Règles :
  • Bloquer : BitTorrent, eDonkey, Gnutella, Direct Connect, Soulseek, Popcorn Time, Stremio, IPs sites warez/torrent connus.
  • Limiter/Inspecter : FTP, SFTP, téléchargements HTTP/HTTPS (voir Couche 3).
  • Autoriser : SMTP/IMAP/POP3/Exchange ActiveSync/MAPI/HTTPS vers hôtes mail approuvés.
• Inspection SSL (Critique) : déployez un certificat CA de confiance sur endpoints gérés. Sans déchiffrer TLS, vous ne pouvez distinguer une pièce jointe email 50 Mo d'un téléchargement film 50 Mo sur TCP 443.

Couche 3 : Proxy Web / Secure Web Gateway (SWG) pour inspection contenu

Contrôle granulaire sur transferts fichiers HTTP/S.

• Proxy explicite (PAC/WPAD) ou Transparent : forcez tout HTTP/S via proxy.
• Blocage par type fichier : bloquez par type MIME / magic bytes / extension : .exe, .msi, .dmg, .pkg, .apk, .iso, .torrent, .mp3, .mp4, .mkv, .avi, .flac, .zip, .rar, .7z (ajustez selon politique).
• Règles d'exception : autorisez extensions bloquées UNIQUEMENT depuis :
  • Domaines approuvés (portails téléchargement fournisseurs : adobe.com, microsoft.com, vendor.com).
  • Domaines pièces jointes webmail (attachments.googleusercontent.com, outlook.office365.com/attachments).
• Intégration DLP : scan exfiltration données sensibles simultanément.

Couche 4 : Contrôles endpoint (Défense en profondeur)

Les contrôles réseau échouent pour appareils hors site/itinérants.

• EDR/XDR : CrowdStrike, SentinelOne, Defender for Endpoint — bloquent exécution binaires non signés/non fiables quelle que soit la source.
• AppLocker / WDAC (Windows) / Santa (macOS) : imposent allowlists exécutables permis.
• Politiques navigateur (GPO/Intune/Jamf) : désactivez « Enregistrer sous » sur sites risqués ; forcez scan téléchargement par AV.

Couche 5 : Sauvegardes spécifiques email (Préserver pièces jointes)

• Passerelle : Proofpoint, Mimecast, Microsoft Defender for Office 365, Barracuda.
• Politique : supprimez uniquement extensions haut risque (.exe, .scr, .bat, .ps1, .jar, .vbs) au niveau passerelle mail. Livrez .pdf, .docx, .xlsx, .zip, .jpg, .png après scan AV/sandbox malware.
• Expérience utilisateur : quarantaine pièces jointes suspectes avec workflow « Demander libération » — garde le flux mail, stoppe les menaces.

Monitoring & Itération

• NetFlow/sFlow : identifiez top talkers, ports inhabituels, gros transferts vers ASN inconnus.
• Logs Proxy/Pare-feu : revue quotidienne catégories bloquées ; affinez faux positifs (ex. CDN mise à jour logiciel légitime bloqué).
• Boucle retour utilisateur : formulaire simple « Demander accès » (Teams/Slack/Jira) pour ressources légitimes bloquées. SLA : <4 h.

Matrice politique exemple

Type trafic	Action	Mécanisme
Protocoles Torrent/P2P connus	BLOQUER	FW App-ID / Sig IPS
Téléchargements exécutables (source inconnue)	BLOQUER	SWG Type fichier + Réputation
Fichiers médias (sites streaming)	BLOQUER / QUOTA	Catégorie DNS + SWG MIME
Pièces jointes email (mail entreprise)	AUTORISER + SCANNER	Passerelle email AV/Sandbox
Mises à jour logicielles (WSUS/Intune/Apple/Google)	AUTORISER	Allowlist destination
Stockage cloud (OneDrive/Drive/Box - Entreprise)	AUTORISER	Allowlist destination + DLP

Principe clé : défaut-refus pour téléchargements code/exécutables ; défaut-autorisation avec scan pour types documents business via canaux approuvés (email, cloud sanctionné). Revue trimestrielle.