Qu'est-ce qu'un pare-feu SPI ?

Un pare-feu empêche l'accès non autorisé au réseau d'une entreprise. Un pare-feu SPI (Stateful Packet Inspection) va au-delà de l'examen par un système de filtrage sans état de seulement l'en-tête d'un paquet et du port de destination pour l'authentification, en vérifiant le contenu complet du paquet avant de déterminer s'il faut autoriser son passage dans le réseau. Ce niveau de scrutin accru fournit une sécurité beaucoup plus robuste et des informations pertinentes sur le trafic réseau qu'un système de filtrage sans état.

Faiblesses de l'inspection de paquets sans état

Dans un article de février 2002 pour Security Pro News, l'auteur Jay Fougere note que si les filtres IP sans état peuvent acheminer efficacement le trafic et imposent peu de demandes sur les ressources informatiques, ils présentent de graves lacunes en matière de sécurité réseau. Les filtres sans état ne fournissent pas d'authentification de paquet, ne peuvent pas être programmés pour ouvrir et fermer des connexions en réponse à des événements spécifiés, et offrent un accès réseau facile aux pirates utilisant l'usurpation d'IP (IP spoofing), dans laquelle les paquets entrants portent une adresse IP falsifiée que le pare-feu identifie comme provenant d'une source de confiance.

Comment un pare-feu SPI régule l'accès au réseau

Un pare-feu SPI enregistre les identifiants de tous les paquets que son réseau transmet et lorsqu'un paquet entrant tente d'accéder au réseau, le pare-feu peut déterminer s'il s'agit d'une réponse à un paquet envoyé depuis son réseau ou s'il est non sollicité. Un pare-feu SPI peut utiliser une liste de contrôle d'accès (ACL), une base de données d'entités de confiance et de leurs privilèges d'accès réseau. Le pare-feu SPI peut référencer l'ACL lors de l'examen de tout paquet pour déterminer s'il provient d'une source de confiance, et le cas échéant, où il peut être routé dans le réseau.

Réponse au trafic suspect

Le pare-feu SPI peut être programmé pour rejeter tout paquet envoyé depuis des sources non listées dans l'ACL, aidant à prévenir une attaque par déni de service (DoS), dans laquelle un attaquant inonde le réseau avec du trafic entrant dans le but de saturer ses ressources et de le rendre incapable de répondre aux demandes légitimes. Le site Web de Netgear note dans son article "Sécurité : Comparaison NAT, Filtrage de contenu statique, SPI et Pare-feux" que les pare-feux SPI peuvent également examiner les paquets pour des caractéristiques de ceux utilisés dans des exploits de piratage connus, tels que les attaques DoS et l'usurpation d'IP, et rejeter tout paquet qu'il reconnaît comme potentiellement malveillant.

Inspection profonde de paquets

L'inspection profonde de paquets (DPI) offre une fonctionnalité avancée par rapport au SPI et est capable d'examiner le contenu des paquets en temps réel tout en allant assez profond pour récupérer des informations telles que le texte complet d'un e-mail. Les routeurs équipés de DPI peuvent se concentrer sur le trafic provenant de sites spécifiques ou vers des destinations spécifiques, et peuvent être programmés pour effectuer des actions spécifiques, telles que la journalisation ou le rejet de paquets, lorsque les paquets répondent à un critère de source ou de destination. Les routeurs compatibles DPI peuvent également être programmés pour examiner des types particuliers de trafic de données, tels que la VoIP ou les médias en streaming.