Les règles d’accès, appliquées par interface ou globalement, sont votre première ligne de défense. Vous pouvez supprimer, lors de l’entrée, des types de trafic spécifiques ou le trafic provenant d’hôtes ou de réseaux spécifiques. Par défaut, l’ASA permet au trafic de circuler librement d’un réseau interne (niveau de sécurité supérieur) vers un réseau externe (niveau de sécurité inférieur).

Vous pouvez appliquer des critères d’accès pour limiter le trafic de l’intérieur vers l’extérieur ou autoriser le trafic de l’extérieur vers l’intérieur.

Les règles d’accès de base contrôlent le trafic à l’aide d’un « 5-tuple » de l’adresse source et du port, de l’adresse et du port de destination et du protocole. Consultez Règles d’accès et Listes de contrôle d’accès.

Le filtrage d’URL refuse ou autorise le trafic en fonction de l’URL du site de destination.

Vous pouvez mettre en œuvre un certain nombre de mesures pour vous protéger contre l’analyse, le déni de service (DoS) et d’autres attaques. Un certain nombre de fonctionnalités ASA aident à protéger contre les attaques en appliquant des limites de connexion et en abandonnant des paquets TCP anormaux. Certaines fonctionnalités sont automatiques, d’autres sont configurables, mais ont des valeurs par défaut appropriées dans la plupart des cas, tandis que d’autres sont entièrement facultatives et vous devez les configurer si vous le souhaitez.

Voici les services de protection contre les menaces disponibles avec l’ASA.

• Protection contre la fragmentation des paquets IP : l’ASA effectue le réassemblage complet de tous les messages d’erreur ICMP et le réassemblage virtuel des fragments IP restants qui sont acheminés par l’ASA, et rejette les fragments qui échouent au contrôle de sécurité. Aucune configuration n’est nécessaire.

• Limites de connexion, normalisation TCP et autres fonctionnalités liées à la connexion : configurez les services liés à la connexion tels que les limites et les délais d’expiration de connexion TCP et UDP, aléatorisation du numéro de séquence TCP, la normalisation TCP et le contournement de l’état TCP. La normalisation TCP est conçue pour abandonner les paquets qui ne semblent pas normaux. Consultez Paramètres de connexion.

  Par exemple, vous pouvez limiter les connexions TCP et UDP et les connexions amorces (une demande de connexion qui n’a pas terminé l’établissement de liaison entre la source et la destination). La limitation du nombre de connexions et de connexions amorces vous protège contre les attaques DoS. L’ASA utilise la limite amorce pour déclencher l’interception TCP, qui protège les systèmes internes contre une attaque DoS perpétrée en inondant une interface de paquets SYN de TCP.

• Détection des menaces : mettez en œuvre la détection des menaces sur l’ASA pour recueillir des statistiques afin d’identifier les attaques. La détection de base des menaces est activée par défaut, mais vous pouvez mettre en œuvre des statistiques avancées et une détection des menaces d’analyse. Vous pouvez bloquer les hôtes identifiés comme une menace d’analyse. Consultez Détection des menaces.

Les environnements virtuels déploient des serveurs en tant que machines virtuelles, par exemple, dans VMware ESXi. Les pare-feu dans un environnement virtuel peuvent être des périphériques matériels classiques ou des pare-feu de machines virtuelles, comme ASA virtuel.

Les services de pare-feu traditionnel et de nouvelle génération s’appliquent aux environnements virtuels de la même manière qu’ils s’appliquent aux environnements qui n’utilisent pas de serveurs de machines virtuelles. Cependant, les environnements virtuels peuvent présenter des défis supplémentaires, car il est facile de créer et de démonter des serveurs.

En outre, le trafic entre les serveurs au sein du centre de données peut nécessiter autant de protection que le trafic entre le centre de données et les utilisateurs externes. Par exemple, si un agresseur prend le contrôle d’un serveur dans le centre de données, cela pourrait ouvrir des attaques sur d’autres serveurs du centre de données.

Les services de pare-feu pour les environnements virtuels ajoutent des fonctionnalités pour appliquer une protection de pare-feu spécifiquement aux machines virtuelles. Voici les services de pare-feu disponibles pour les environnements virtuels :

• Contrôle d'accès basé sur les attributs : vous pouvez configurer des objets réseau pour qu’ils correspondent au trafic en fonction des attributs et utiliser ces objets dans les règles de contrôle d’accès. Cela vous permet de dissocier les règles de pare-feu de la topologie du réseau. Par exemple, vous pouvez autoriser tous les hôtes avec l’attribut Engineering à accéder aux hôtes avec l’attribut Lab Server. Vous pourriez ensuite ajouter ou supprimer des hôtes avec ces attributs et la politique de pare-feu serait appliquée automatiquement sans qu’il soit nécessaire de mettre à jour les règles d’accès. Pour en savoir plus, consultez Contrôle d’accès basé sur les attributs.

L’une des fonctions principales de la traduction d’adresses réseau (NAT) est de permettre aux réseaux IP privés de se connecter à Internet. La NAT remplace une adresse IP privée par une adresse IP publique, en transformant les adresses privées du réseau privé interne en adresses légales et routables qui peuvent être utilisées sur l’Internet public. De cette façon, la NAT conserve les adresses publiques, car elle peut être configurée pour annoncer au moins une adresse publique pour l’ensemble du réseau vers le monde extérieur.

Les autres fonctions de la NAT comprennent :

• Sécurité : le fait de garder les adresses IP internes masquées détourne les attaques directes.

• Solutions de routage IP : les adresses IP qui se chevauchent ne sont pas un problème lorsque vous utilisez la NAT.

• Souplesse : vous pouvez modifier les schémas d’adressages IP internes sans affecter les adresses publiques disponibles en externe. par exemple, pour un serveur accessible à Internet, vous pouvez conserver une adresse IP fixe pour l’utilisation d’Internet, mais à l’interne, vous pouvez modifier l’adresse du serveur.

• Traduction entre IPv4 et IPv6 (mode routé uniquement) : si vous souhaitez connecter un réseau IPv6 à un réseau IPv4, la NAT vous permet de traduire entre les deux types d’adresses.

La NAT n’est pas requise. Si vous ne configurez pas la NAT pour un ensemble donné de trafic, ce trafic ne sera pas traduit, mais toutes les politiques de sécurité seront appliquées normalement.

Voir :

• Traduction d’adresses réseau (NAT)

• Exemples et références de NAT

Des plateformes d’inspection sont nécessaires pour les services qui intègrent des renseignements d’adressage IP dans le paquet de données des utilisateurs ou qui ouvrent des canaux secondaires sur des ports attribués de manière dynamique. Ces protocoles obligent l’ASA à effectuer une inspection approfondie des paquets, à ouvrir les passages requis et à appliquer la traduction d’adresses réseau (NAT).

La politique d’ASA par défaut applique déjà l’inspection globalement pour de nombreux protocoles courants, tels que DNS, FTP, SIP, ESMTP, TFTP, etc. Les inspections par défaut peuvent être tout ce dont vous avez besoin pour votre réseau.

Cependant, vous devrez peut-être activer l’inspection pour d’autres protocoles ou affiner une inspection. De nombreuses inspections comprennent des options détaillées qui vous permettent de contrôler les paquets en fonction de leur contenu. Si vous connaissez bien un protocole, vous pouvez appliquer un contrôle fin à ce trafic.

Vous utilisez des politiques de service pour configurer l’inspection des applications. Vous pouvez configurer une politique de service globale ou appliquer une politique de service à chaque interface, ou les deux.

Voir :

• Politique de service

• Premiers pas avec l’inspection du protocole de la couche application

• Inspection des protocoles Internet de base

• Inspection des protocoles vocaux et vidéo

• Inspection des réseaux mobiles.