Sécurité réseau

Configurer le DNS manuellement

En manipulant les entrées DNS, il est possible d’affecter les opérations qui s’appuient dessus (tel que potentiellement l’établissement des tunnels VPN ou l’obtention des mises à jour). Si les serveurs DNS sont définis par DHCP, il n’est plus possible de garantir les informations DNS. Afin de restreindre le risque lié à la manipulation d’enregistrements DNS, les serveurs DNS utilisés par les équipements doivent être des serveurs de confiance. Il est recommandé d’utiliser des serveurs DNS statiques et déterminés de confiance (idéalement internes ou ceux du FAI).

Désactiver le serveur DHCP

L’allocation d’adresses par DHCP sans contrôles complémentaires (par exemple NAC) permet d’intégrer une machine exogène au réseau, sous seule condition de disposer d’un accès physique. Pour limiter les accès non autorisés au réseau, il est recommandé de ne pas activer les fonctionnalités de serveur DHCP sur les routeurs « distants ». Si toutefois le DHCP doit être activé pour des contraintes terrain, il est nécessaire de contrôler les terminaux qui se connectent sur le réseau.

Désactiver le serveur d’application

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Désactiver l’agent SNMP

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques.
Si la supervision SNMP n’est pas mise en place, il est recommandé de désactiver l’agent SNMP.

Désactiver le serveur NTP

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Désactiver EticFinder

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Désactiver le portail WEB

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Désactiver M2Me_Connect

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Désactiver le serveur Modbus TCP

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Désactiver le serveur OPC-UA

Plus l’équipement est exposé, plus les sources possibles d’accès illégitimes sont nombreuses, et notamment les scans automatiques. Afin de restreindre l’exposition de l’équipement, il doit être désactivé.

Bloquer les ports non utilisés

L’accès physique à l’équipement peut parfois être compromis, il convient alors de bloquer les ports inutilisés physiquement, afin qu’une personne mal intentionnée ayant un accès physique à l’équipement ne puisse pas utiliser ces ports.

Désactiver les interfaces non utilisées

L’accès physique à l’équipement peut parfois être compromis, il convient alors de désactiver les interfaces inutilisées, afin qu’une personne mal intentionnée ayant un accès physique à l’équipement ne puisse pas utiliser ces interfaces.

Blocage des flux entrants WAN vers LAN

Tout service exposé sur internet est susceptible d’être la cible d’une attaque, qu’elle soit ciblée ou générique, opportuniste ou automatisée. Les flux entrants depuis un réseau public (Internet/WAN) devraient être limités au maximum. Dans le contexte de VPN site à site sans accès direct sur les sites distants, aucun flux direct WAN vers LAN ne doit être autorisé.

Blocage des flux sortants LAN vers WAN

Les accès Internet non contrôlés peuvent être source de menaces sur le réseau ou d’exfiltration de données. Dans le contexte de VPN site à site sans accès direct sur les sites distants, aucun flux direct depuis le réseau local (LAN) de ces sites vers Internet (WAN) ne doit être autorisé.

Blocage des flux entrants VPN vers LAN

Les flux provenant du VPN à destination du LAN sont également à sécuriser, car la zone d’origine n’est pas forcément une zone de confiance. Il convient de maîtriser tous les flux à destination du LAN afin d’éviter toute tentative d’attaque provenant d’un actif compromis hors LAN. Des besoins de communications entre les équipements du LAN et ceux de l’infrastructure centrale peuvent être nécessaires (supervision, sauvegarde, etc). Il est donc primordial de les lister, de les renseigner dans un référentiel, puis de les implémenter de manière claire et précise. Toute règle trop permissive abaisse le niveau de sécurité globale du SI.

Blocage des flux sortants LAN vers VPN

Les flux provenant du LAN à destination du VPN doivent être précis et non pas ouverts sans restriction. En cas de compromission, des flux précis permettent de ralentir la propagation d’un attaquant au travers du SI. Un important travail d’identification des flux est à faire en amont afin d’éviter toute interruption de service dû à des règles trop strictes ou à un oubli. Il est nécessaire de lister les communications entre le LAN et les réseaux distants, de les renseigner dans un référentiel, puis de les implémenter de manière claire et précise. Toute règle trop permissive abaisse le niveau de sécurité globale du SI.

Activer le filtre anti Déni de Service

L’acheminement excessif de paquets vers le port d’administration peut entraîner un potentiel déni de service (DoS), entraînant ainsi une indisponibilité de la page web.
Il faut donc pouvoir identifier et bloquer les paquets malicieux.

Désactiver les conntrack helpers

Un problème de contournement des règles iptables fixées par utilisateur peut survenir avec l’utilisation de règles firewall RELATED,ESTABLISH trop génériques et le chargement de helper de service non présent ou non utilisé sur la machine (par exemple FTP actif, SIP, IRC …).
Il est donc recommandé de désactiver les conntrack helpers.

Usage d’une PKI de confiance

L’identification des équipements et les authentifications VPN s’appuient sur les certificats. Une compromission de la PKI peut donc remettre en cause la totalité de la chaîne de confiance.

La gestion des certificats doit être effectuée par une PKI maîtrisée par l’entreprise ou reconnue de confiance. Cela permet une définition fine de l’usage et du format des certificats. Les certificats doivent de plus être créés avec des algorithmes de chiffrement à l’état de l’art, afin d’éviter les faiblesses des algorithmes obsolètes (cassage…) (SDE-NT-35/ANSSI/SDE/NP).

Dans le menu : Accueil > Configuration > Sécurité > Magasin de certificats

L’ajout et la suppression de Certificats, de clés privées et de certificats d’autorité de certification sont possibles dans les différents tableaux. Voir la partie « Router firmware / Certificate Store » du guide de configuration pour de plus amples informations.

Nous recommandons : une fonction de hachage utilisée pour la signature des certificats doit être de la famille SHA-2 et la clé de signature des certificats doit être au moins de 3072 bits pour RSA et de 256 pour ECC.

Pour une gestion fine d’une PKI, se reporter aux annexes B du RGS (Annexes B1 et B2 du RGS).

Certificats des équipements

La réutilisation d’un certificat pour plusieurs clients empêche d’identifier celui qui l’utilise, augmente l’exposition du certificat, et en cas de compromission de celui-ci, la révocation/réémission du certificat impacte plusieurs clients. Les certificats doivent être uniques et individuels par machine pour une meilleure traçabilité et permettre la révocation sans effets de bords en cas de besoin. Utilisés pour les communications HTTPS, ils doivent avoir une durée de validité de 13 mois maximum.

Dans le menu : Accueil > Configuration > Sécurité > Magasin de certificats

L’ajout et la suppression de Certificats, de clés privées et de certificats d’autorité de certification sont possibles dans les différents tableaux. Voir la partie « Router firmware / Certificate Store » du guide de configuration pour de plus amples informations.

L’ensemble des services nécessitant un certificat du routeur viendront les récupérer dans le magasin de certificats.

Révocation des certificats

Un certificat qui n’est plus utilisé est potentiellement moins protégé, et représente donc une source de risque tant qu’il est valide. Les certificats dont l’objet n’a plus lieu d’être doivent être révoqués. L’objectif est de garder le contrôle sur son parc de certificat.