Qu'est-ce qu'un pare-feu de nouvelle génération (NGFW) ?

Un pare-feu de nouvelle génération (NGFW) est un pare-feu qui intègre, en plus du filtrage traditionnel des paquets avec suivi d'état, la reconnaissance des applications, la prévention des intrusions et l'inspection du contenu. Cela permet d'appliquer les règles en fonction de l'identité de l'application et de l'utilisateur ou du groupe, plutôt qu'en se basant uniquement sur l'adresse IP, le port et le protocole.

Points clés à retenir

• Le NGFW étend le filtrage « stateful » grâce à une politique de couche 7 tenant compte des applications.
• Il regroupe les fonctionnalités IPS, le filtrage d'URL et l'inspection TLS au sein d'un seul point de contrôle.
• Les applications sont identifiées grâce à l'analyse des signatures, à l'analyse heuristique et à l'analyse statistique.
• Les déploiements vont des appliances de périmètre aux solutions NGFWaaS fournies dans le cloud.
• VersaLe module NGFW de […] fonctionne au sein de VOS, dans le cadre de sa pile de sécurité.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · NGFW et Versa · FAQ

Pourquoi le NGFW est-il important ?

Les pare-feu classiques avec état déterminent ce qu’ils autorisent en fonction de l’adresse IP source et de destination, du port et du protocole. Ce modèle était pertinent lorsque chaque application disposait de son propre port, mais il perd toute efficacité lorsque des dizaines d’applications – autorisées ou non – partagent le même port HTTPS et apparaissent identiques au niveau de la couche 4. Un pare-feu qui ne distingue que le « trafic sur le port 443 » ne peut pas faire la différence entre une application SaaS, un site de partage de fichiers ou un canal caché de logiciels malveillants.

Le NGFW est essentiel car il comble ce manque de visibilité. En inspectant le trafic jusqu’à la couche applicative, il identifie l’application et l’utilisateur derrière une session, met en œuvre une prévention des intrusions contre les failles connues, filtre les destinations par catégorie d’URL et inspecte l’intérieur des sessions chiffrées – le tout à partir d’un seul point de contrôle. Cette consolidation réduit le nombre d’outils de sécurité distincts qu’un réseau doit coordonner et permet aux politiques de s’adapter à la nature réelle du trafic, et non pas uniquement à sa destination.

Qu'est-ce qu'un NGFW ?

Un NGFW est un pare-feu qui ajoute l'inspection approfondie des paquets et l'identification des applications au filtrage avec suivi d'état classique. Un pare-feu traditionnel se contente de comparer une session à l'adresse source/destination, au port et au protocole, sans aller plus loin. Un NGFW poursuit l'évaluation : il applique des méthodes basées sur des signatures, heuristiques et statistiques pour déterminer quelle application a généré la session – même si celle-ci est acheminée via un port courant –, puis applique la politique correspondante à cette identité.

À cela s’ajoutent les fonctionnalités qui donnent son nom au NGFW : la prévention des intrusions, qui bloque les exploits connus ; le filtrage des URL et du Web, qui classe les destinations par catégorie ; le décryptage TLS/SSL, qui inspecte les sessions cryptées au lieu de les laisser passer sans contrôle ; et les contrôles de qualité de service (QoS) liés à l’application identifiée. Ensemble, ces fonctionnalités transforment le pare-feu en un point de contrôle unique couvrant les couches 3 à 7.

Types de déploiement des pare-feu de nouvelle génération (NGFW)

Les fonctionnalités NGFW se déclinent sous plusieurs formes distinctes. Les NGFW sur appliance fonctionnent sur du matériel dédié, situé au périmètre du réseau ou à la périphérie d’une succursale – il s’agit du modèle traditionnel, dimensionné en fonction du débit du site. Les NGFW virtuels exécutent le même moteur d’inspection sous forme de machine virtuelle ou de conteneur au sein d’un centre de données, d’un cloud privé ou d’un cloud public, remplaçant ainsi un boîtier physique par une capacité de calcul évolutive. Le NGFW fourni dans le cloud, souvent commercialisé sous l’appellation « firewall-as-a-service » ou « NGFWaaS », applique les politiques à partir de points de présence cloud distribués plutôt que d’un emplacement fixe ; c’est ainsi que les fonctionnalités NGFW sont généralement utilisées au sein d’une architecture « SASE » ou SSE. Un quatrième modèle, le NGFW intégré à un dispositif de périphérie SD-WAN, intègre le pare-feu directement à la périphérie du WAN – c’est le modèle utilisé par la plateforme VOS d’ Versa.

NGFW & Versa

VersaLe NGFW est un module de sécurité intégré au système d’exploitation «Versa », qui permet de distinguer le trafic au-delà de la simple correspondance entre ports, protocoles et adresses IP. Il comprend un pare-feu applicatif, un système de prévention des intrusions, l’inspection du trafic chiffré TLS/SSL, le filtrage des sites Web, ainsi que la gestion de la qualité de service (QoS) et de la bande passante. Les administrateurs le configurent en créant un profil de politique d’accès (une liste de contrôle d’accès, ou ACL) et des règles répondant à des critères de couches 3 et 4 ainsi qu’à des critères de couche 7 (catégorie d’application et d’URL), à l’aide d’objets prédéfinis et personnalisés pour les applications, les filtres d’applications, les groupes, les services, les catégories d’URL et la réputation des URL.

La fonctionnalité NGFW est activée au niveau de chaque périphérique VOS via son groupe de nœuds de service, puis au niveau de chaque locataire via les limites de l’organisation. Les règles de stratégie appliquent ensuite des profils de sécurité au trafic correspondant : filtrage IP, antivirus, gestion des vulnérabilités/IPS, filtrage d’URL, filtrage DNS, CASB, DLP, ATP et RBI. Les données relatives aux menaces sont transmises aux tableaux de bord d’ Versa Analytics, qui fournissent des rapports sur les catégories d’URL et l’activité des règles. Reportez-vous à la section « Configurer le pare-feu de nouvelle génération (NGFW) » pour connaître le flux de travail complet.

Questions fréquentes

Quelle est la différence entre un pare-feu de nouvelle génération (NGFW) et un pare-feu traditionnel ?

Un pare-feu traditionnel filtre le trafic uniquement en fonction de l'adresse IP source/destination, du port et du protocole. Un pare-feu de nouvelle génération (NGFW) ajoute à cela l'identification des applications, la prévention des intrusions et le filtrage des URL ; ainsi, la politique de sécurité repose sur la nature réelle de l'application, et non sur le port qu'elle utilise.

Comment un pare-feu de nouvelle génération (NGFW) identifie-t-il les applications au sein du trafic réseau ?

Les pare-feu de nouvelle génération (NGFW) combinent la reconnaissance de signatures, l’heuristique et l’analyse statistique pour identifier l’application à l’origine d’une session, même lorsque celle-ci est acheminée via un port courant tel que le 443. Le pare-feu de nouvelle génération d’ Versaapplique ces méthodes dès les premiers paquets d’une session, puis associe la politique de sécurité à l’application identifiée.

Un pare-feu de nouvelle génération (NGFW) peut-il inspecter le trafic chiffré (TLS/SSL) ?

Oui. La plupart des pare-feu de nouvelle génération (NGFW) intègrent une fonctionnalité de déchiffrement TLS/SSL, généralement via une interception par proxy de transfert, ce qui permet aux profils IPS, de filtrage d'URL et antivirus d'inspecter un contenu qui, sans cela, resterait opaque et échapperait à tout contrôle. Le module VOS NGFW de Versaprend en charge ce déchiffrement, qui fait partie de ses fonctions essentielles d'inspection du trafic.

Un pare-feu de nouvelle génération (NGFW) remplace-t-il un système IPS et une solution de filtrage d'URL autonomes ?

En règle générale, oui, pour l'application des politiques : l'IPS et le filtrage d'URL sont généralement fournis sous forme de profils intégrés, appliqués par les règles du pare-feu de nouvelle génération (NGFW), plutôt que sous forme d'appareils autonomes. Dans le système VOS d'Versa, ces deux fonctionnalités sont configurées en tant que profils de sécurité directement associés aux règles de politique d'accès du NGFW.

Un NGFW est-il uniquement un appareil matériel ?

Non. La fonctionnalité NGFW est également disponible sous forme de machine virtuelle, de conteneur ou de service fourni dans le cloud (NGFWaaS), utilisé dans le cadre d’une architecture « SASE » ou SSE, en plus de pouvoir être intégrée à un périphérique SD-WAN de type VOS.

En savoir plus sur les pare-feu de nouvelle génération (NGFW)

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux pare-feu de nouvelle génération (NGFW), voici quelques articles qui méritent d'être consultés ensuite.