Qu'est-ce que le filtrage d'adresses IP ?

Le filtrage IP est une fonctionnalité de sécurité de VOS qui filtre le trafic réseau en fonction de la réputation des adresses IP, de la géolocalisation et des listes d'autorisation et de blocage définies par l'administrateur. Elle applique une action (autorisation, alerte, rejet, réinitialisation ou redirection personnalisée) à toute session dont l'adresse source ou de destination correspond à une condition configurée.

Points clés à retenir

• Le filtrage IP bloque le trafic en fonction de la réputation, de la géolocalisation et des listes d'adresses.
• Les profils de réputation prédéfinis couvrent les botnets, le phishing, les scanners et le trafic de déni de service.
• Les actions vont de « autoriser » et « alerter » à « supprimer », « réinitialiser » et « portail captif ».
• Les listes de blocage et d'autorisation prévalent sur les décisions fondées sur la réputation et la géolocalisation.
• Il analyse à la fois le trafic Web et le trafic non Web, au niveau de la couche réseau.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Filtrage IP et Versa · FAQ

Pourquoi le filtrage d'adresses IP est-il important ?

Toutes les menaces ne se manifestent pas nécessairement par le biais d’une URL ou d’un fichier. Les serveurs de commande et de contrôle des botnets, les nœuds de sortie du réseau Tor et les infrastructures de balayage connues sont accessibles via n’importe quel protocole, et pas seulement HTTP ; par conséquent, une pile de sécurité qui se contente d’inspecter les requêtes Web passe complètement à côté de ces menaces. Le filtrage IP comble cette lacune en évaluant l’adresse elle-même – source et destination – à la lumière des données de réputation et de géolocalisation, avant même que toute inspection au niveau de la couche application ne soit lancée.

Cela a également une incidence sur les coûts et la couverture. Comme il fonctionne au niveau de la couche réseau sur le tuple IP, le filtrage IP n’ajoute qu’une latence minimale et s’applique de manière uniforme au trafic Web et non Web – FTP, SMTP ou tout autre protocole transitant par la passerelle. Cela en fait une couche de base naturelle : suffisamment économique pour être appliquée à chaque règle, et suffisamment large pour détecter les infrastructures malveillantes que les contrôles basés sur la catégorie ou le contenu ne parviennent jamais à repérer.

Qu'est-ce que le filtrage d'adresses IP ?

Un profil de filtrage IP évalue l'adresse source et/ou de destination d'une session en fonction de plusieurs critères : des listes de blocage et d'autorisation définies par l'administrateur, des règles de géolocalisation liées à une région, et des règles basées sur la réputation associées à une catégorie de menaces telle que les botnets ou le phishing. Versa gère un flux de réputation mis à jour quotidiennement et en temps réel ; des régions prédéfinies permettent la géolocalisation sans qu'il soit nécessaire de procéder manuellement à une mise en correspondance entre adresses IP et pays.

Chaque entrée peut appliquer sa propre action – autoriser, alerter, rejeter un paquet, interrompre une session ou refuser – les listes de refus et d’autorisation ayant priorité sur les résultats liés à la réputation et à la géolocalisation. Les profils sont associés à une règle de politique de sécurité ; leur application s’effectue donc dans le cadre de l’évaluation normale du contrôle d’accès, et non lors d’une étape distincte. Une recherche inverse d’adresse, facultative, permet de résoudre le tuple IP en un domaine et d’appliquer un filtrage d’URL au résultat, ce qui s’avère utile pour le trafic non HTTP pour lequel aucune URL n’est disponible autrement.

Types de filtrage d'adresses IP

Le filtrage basé sur la réputation identifie les catégories de menaces prédéfinies – botnets, déni de service, hameçonnage, proxys, scanners, sources de spam, attaques Web et failles Windows – issues d’un flux mis à jour en continu. Le filtrage basé sur la géolocalisation applique des mesures en fonction de la région géographique d’origine de la requête, ce qui s’avère utile pour bloquer le trafic provenant de pays avec lesquels il n’existe aucune relation commerciale légitime. Le filtrage par liste utilise des listes d’interdiction et d’autorisation explicites, gérées par l’administrateur, pour des adresses IP individuelles ou des groupes, prévalant ainsi sur les décisions qui auraient autrement été prises en fonction de la réputation ou de la géolocalisation. Le filtrage personnalisé permet aux administrateurs de définir leurs propres actions – notamment des pages de portail captif, des codes PIN de contournement ou des URL de redirection – au lieu de se limiter au jeu d’actions prédéfini.

Filtrage IP et Versa

Sur les appareils VOS, le filtrage IP est configuré via Director sous forme de profils dans les rubriques « Objets » et « Connecteurs », puis appliqué à une règle de politique de sécurité du pare-feu de nouvelle génération. L’ Versa intègre plusieurs profils prédéfinis – notamment le profil recommandé « Versa », qui applique des mesures dans les neuf catégories de réputation – ainsi qu’un ensemble de préréglages plus ciblés tels que « Block DoS » et « Block Scanners » pour les équipes souhaitant une base de référence allégée. Un paramètre « Prioritiser la réputation des URL » permet de s’en remettre aux résultats du filtrage d’URL pour le trafic HTTP/HTTPS, ce qui réduit les faux positifs lorsque la réputation d’une adresse IP est mauvaise mais que le site en question est légitime.

Dans les déploiements « SASE » et «NGFWaaS», il est recommandé d’activer le filtrage IP sur chaque règle de protection Internet, quel que soit le type de trafic, précisément parce qu’il s’agit du seul contrôle qui inspecte les protocoles non Web et n’ajoute qu’une latence négligeable. Les administrateurs surveillent l’application de cette règle via la vue «Analytics» de Director, qui répertorie les principales actions de filtrage IP et permet d’accéder aux journaux de flux correspondants. Reportez-vous aux sections «Configurer le filtrage IP (NGFW)» et «Configurer le filtrage IP» pour connaître les procédures de configuration.

Questions fréquentes

Quelle est la différence entre le filtrage par adresse IP et le filtrage par URL ?

Le filtrage par adresse IP compare les adresses IP source et destination de tout trafic, qu'il s'agisse ou non de trafic Web, à des données de réputation et de géolocalisation. Le filtrage par URL examine la requête HTTP/HTTPS elle-même et compare la catégorie et la réputation du site Web de destination – un contrôle plus restreint mais plus précis.

Quelle est la configuration par défaut du filtrage IP ?

Il n'existe pas de paramètre par défaut unique à l'échelle mondiale ; chaque profil définit sa propre action par défaut, qui s'applique lorsqu'aucune liste de blocage, liste d'autorisation, règle de géolocalisation ou règle de réputation ne correspond. Les profils prédéfinis, tels que le profil recommandé « Versa », sont fournis avec des actions de blocage ou d'alerte basées sur la réputation déjà configurées.

Le filtrage IP permet-il de bloquer le trafic qui n'est pas de type HTTP ou HTTPS ?

Oui. Étant donné qu’il analyse le tuple IP plutôt que le contenu de l’application, le filtrage IP s’applique à tous les protocoles : FTP, SMTP, DNS ou autres. La recherche inversée d’adresse permet d’étendre le contexte basé sur l’URL aux sessions non HTTP en résolvant d’abord le tuple IP en un nom de domaine.

À quel point les données relatives à la réputation des adresses IP sont-elles à jour ?

Versa Networks fournit un flux d'informations sur la réputation mis à jour quotidiennement et en temps réel, couvrant des catégories telles que les botnets, les attaques par déni de service, le phishing, les scanners et les sources de spam. Les administrateurs peuvent également consulter à tout moment la réputation actuelle et la localisation géographique d'une adresse IP donnée, directement depuis Director.

Les listes d'autorisation prennent-elles le pas sur une mauvaise réputation d'adresse IP ?

Oui. Les listes de blocage et d'autorisation sont prises en compte avant les règles basées sur la réputation et la géolocalisation ; ainsi, une adresse figurant explicitement sur la liste d'autorisation est autorisée même si elle présente un mauvais score de réputation, tandis qu'une adresse figurant explicitement sur la liste de blocage est bloquée, quelles que soient ses données de réputation ou de géolocalisation.

En savoir plus sur le filtrage d'adresses IP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au filtrage IP, voici quelques liens qui pourraient vous intéresser.