Limitations
Pare-feu

En général placé à la frontière d’un réseau privé, un pare-feu n’est pas en mesure de contrôler les échanges effectués en interne. Il reste donc inefficace contre la majorité des attaques qui sont réalisées par les employés eux‐mêmes. On estime à 75 % le taux d’actes de malveillance commis en interne.

Les pare-feu ne permettent pas de filtrer les applications pour lesquelles il n’existe pas de passerelle applicative. Parmi les applications non filtrées, on peut citer l’application propriétaire Lotus Notes, les protocoles NTP et DNS. De plus, la protection offerte par les pare-feu est très limitée vis-à-vis des attaques portant sur le contenu du trafic, comme des programmes, des applets Java ou des fichiers infectés par un virus. Mettre en place un tel niveau de protection allourdirait considérablement le travail des passerelles applicatives, sans pour autant offrir de garantie quant à la détection des attaques. N’oublions pas qu’un virus n’est détectable que s’il a une forme connue et qu’un antivirus a été développé.

Par malveillance ou pour des raisons d’ordre pratique, un employé peut vouloir contourner le filtrage effectué au niveau du pare-feu de son entreprise en créant un tunnel. Les équipements mettant en œuvre ce tunnel sont à placer de part et d’autre du pare-feu. De cette façon, si le pare-feu se limite à un filtre de paquets 4, la plupart du temps, seule l’enveloppe du tunnel sera filtrée. Ainsi, tout type d’informations encapsulées dans le tunnel pourra transiter au travers du pare-feu, aussi bien du ICMP, que du finger... À noter que cette technique nécessite que l’employé dispose des droits administrateurs pour effectuer l’installation et la configuration du logiciel de tunneling. Il faut aussi qu’il bénéficie de la collusion d’un partenaire extérieur à l’entreprise capable, lui aussi, d’installer ce logiciel sur un équipement. Parmi les logiciels de tunneling existants, on peut citer SSH (Secure Shell) ou SSF (Shell Sécurisé...