Kerio Personal Firewall 2.1 Guide de l’utilisateur Kerio Technologies Inc. c 1997-2002 Kerio Technologies. Tout droits réservés. Date de réalisation: le 22 avril 2002 Windows est une marque de Microsoft Corporation. Traduction: J. Calicis ([email protected]) Table des matières 1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 1.1 Système requis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 1.2 Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 2 Administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.1 Composants du Personal Firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2 Sécuriser l’accès à l’Administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.3 Login d’Administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.4 Personal Firewall Status Window . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 Paramètres de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.1 Introduction à TCP/IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.2 Comment fonctionne Kerio Personal Firewall? . . . . . . . . . . . . . . . . . . . . . . . . 3.3 IP Address Groups . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.4 Niveaux de Sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.5 Interaction avec l’utilisateur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.6 Règles de filtrage des packets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.7 Réseau Microsoft . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.8 Application MD5 Signatures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3.9 Internet Gateway Protection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 13 14 15 15 16 18 23 24 26 4 Firewall Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.1 Configuration du loggin . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4.2 Filter.log file . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27 27 28 3 7 7 8 9 9 4 Chapitre 1 Introduction Kerio Personal Firewall est un utilitaire léger et facile destiné à protéger un PC contre les attaques de hackers et le vol de données. Il est basé sur la technologie certifiée ICSA utilisée pour le firewall WinRoute. Le firewall lui-même tourne en fond de tâche, utilisant un driver à un niveau particulièrement bas chargé dans le system kernel. Ce Driver est placé au niveau le plus bas possible au-dessus des drivers hardware du réseau. De cette façon, il a un contrôle absolu sur tous les packets passant et est apte à garantir une protection complète du système sur lequel il est installé. 1.1 Système requis La configuration suivante minimum est recommandée pour Kerio Personal Firewall: • CPU Intel Pentium ou 100% compatible • 32 MB RAM • 3 MB d’espace disque (pour installation seulement); au moins 10 MB d’espace additionnel pour les loggings recommandé • Windows 98 / Me / NT 4.0 / 2000 / XP Kerio Personal Firewall est destiné à la protection des PC n’utilisant pas WinRoute Pro ou WinRoute Lite. Ces produits utilisent la même technologie de sécurité et pourraient entrer en conflit avec Kerio Personal Firewall. 5 Chapitre 1 Introduction 1.2 Installation Pour l’installation, il suffit simplement d’exécuter l’archive d’installation (typiquement kerio-pf-211-en-win.exe). Pendant l’installation, vous pouvez choisir le répertoire d’installation de Kerio Personal Firewall, ou conserver les paramètres par défaut (C:\Program Files\Kerio\Personal Firewall). Il est nécessaire de redémarrer le système après l’installation pour permettre au pilote de bas niveau d’être chargé. 6 Chapitre 2 Administration 2.1 Composants du Personal Firewall Kerio Personal Firewall consiste en trois programmes: Personal Firewall Engine, Personal Firewall Administration et Personal Firewall Status Window. Personal Firewall Engine est le programme qui gère toutes les fonctions du Personal Firewall. Il tourne en fond de tâche (ou comme service pour WinNT/2K/XP) et sa présence est signalée par une icone dans le System Tray. Un clic du droit sur l’icône fait apparaître un menu avec les options suivantes: stoppe tout trafic [Stop All Traffic — si sélectionné, il s’inverse en Enable Traffic (autoriser le trafic) et l’icône du System Tray change pour indiquer que le trafic est bloqué], exécuter l’application Administration ou voir la fenêtre de status (Firewall Status), information sur la version (About) ou stopper le moteur Personal Firewall (Exit). Stopper le moteur arrête bien sûr toute les fonctions de sécurité. Le double clic du gauche sur l’icone ouvre le programme Personal Firewall Status dans une fenêtre. Personal Firewall Administration est l’outil principal de configuration pour le moteur de Personal Firewall, nous reviendrons plus loin aux différentes options. Personal Firewall Status Window présente les informations concernant toutes les applications en cours communiquant via le protocole TCP/IP, c’est également décrit dans un chapitre particulier. 7 Chapitre 2 Administration 2.2 Sécuriser l’accès à l’Administration Pour assurer une sécurité maximum, il est vital que Personal Firewall tourne chaque fois que le PC est branché et que seules les personnes autorisées aient accès à sa configuration. Ceci peut être stipulé dans le programme d’administration de Personal Firewall, à l’onglet Authentication. Section administration Authentication Is Required signifie qu’un mot-de-passe sera exigé pour exécuter le programme d’administration de Personal Firewall. Après avoir valider la fonction, les champs pour entrer le mot-de-passe et sa confirmation vous seront accessibles. Valider Remote Administration permet de gérer la configuration à distance. Statistics and Logs View section Les paramètres pour l’accès et l’accès à distance aux logs et statistiques se règlent ici. Tous les champs sont les mêmes qu’à la section précédente. Configurer ces deux sections séparément permet deux niveaux de droits d’accès différents, soit voir les logs et statistiques uniquement, soit accès complet à l’administration. 8 2.3 Login d’Administration 2.3 Login d’Administration Pour administrer Kerio Personal Firewall ou visualiser tous les logs, démarrez respectivement les applications Personal Firewall Administration ou Personal Firewall Status Window. Notez que le dialogue de connexion suivant apparaîtra uniquement si l’authentification est requise, autrement vous serez connecté directement au moteur local de Kerio Personal Firewall. Vous pouvez choisir ici si vous voulez vous connecter au Personal Firewall tournant sur le PC local (Localhost) ou sur un ordinateur distant spécifié par son identité DNS ou son adresse IP. Vous pouvez choisir d’exécuter le programme d”administration du Personal Firewall (Admin configuration) ou celui de Personal Firewall Status Window (Status Window). Entrez votre mot-de-passe dans le champs correspondant. 2.4 Personal Firewall Status Window Personal Firewall Status Window permet de monitoriser toutes les activités TCP/IP du système et présente une information détaillée concernant les applications connectées. Fenêtre pricipale la fenêtre principale présente les informations concernant un point final local sur une ligne (le point final est défini par son adresse IP, le port et le protocole). Un point final local peut seulement correspondre à une seule application. Cependant, une application peut avoir plusieurs points finaux (par exemple, un serveur FTP écoute les connexions entrant sur les ports 20 et 21). 9 Chapitre 2 Administration Les colonnes séparées présentent les informations sur les points finaux: Application Le nom de l’exécutable de l’application auquel le point final appartient. Le nom peut être indiqué en précisant le chemin complet en sélectionnant Settings / Don’t Cut Pathnames. Protocol Le protocole de communication (soit TCP — protocole connecté ou UDP — protocole datagram non-connecté) Local Address Une adresse IP locale et le port (présenté dans le format suivant — address:port). Dans le menu Settings vous pouvez choisir d’indiquer le nom DNS plutôt que l’adresse IP et service (standard). Remote Address L’adresse IP et le port ne sont pas indiqués si la connexion n’est pas établie. State L’état d’un point local final: end-node: Listening (à l’écoute) — waiting for incoming connection (en attente de connexion entrante), Connected In — connection established from a remote client to a local service (connexion établie depuis un client distant à un service local), Connected Out — connection established by a local application to a remote server (connexion établie par une application locale à un serveur distant). Creation Time L’heure de l’établissement de la connexion ou quand l’application concernée a commencé à recevoir sur un port déterminé. 10 2.4 Personal Firewall Status Window Rx [bytes] La quantité de data reçues par un point final (en bytes) Rx speed [bytes/sec] La vitesse moyenne de transfert de données (en kilobytes par seconde) Tx, Tx speed Idem pour les données sortantes. Menu principal File Connect... connecte au moteur de Personal Firewall (sur un système local ou distant). Utiliser Close pour fermer l’application Personal Firewall Status Window. Logs Affiche la fenêtre log du Firewall ou les statistiques de transferts et les données filtrées. Settings Contient les paramètres des informations à afficher et comment: • Hide Listening Sockets (cacher les sockets à l’écoute) — hides end-nodes that have no established connection [cacher les points finaux sans connexion établie (leur statut est à l’écoute)] • Hide Local Connections (cacher les connexions locales) — hides connections established within a local system (loopback) [cacher les connexions établies à l’intérieur du systeme local (loopback)] • Hide Admin-Firewall Connection — cacher les connexions établies entre les différents composants du Personal Firewall • Don’t Resolve Domain Names — les adresses IP ne seront pas traduites par leur noms DNS • Don’t Show Port Names — les Nř de ports ne seront pas remplacés par les noms des services (pe telnet, SMTP, HTTP) • Displayed Application Name — change le mode d’affichage du nom de l’application: Whole Pathname (nom entier), Cut Pathname (seul le nom du fichier sera indiqué) or File Information (indique le nom de l’application si possible, autrement un nom de fichier abrégé sera affiché) • Update frequency — change le taux de rafraîchissement de la fréquence d’information (Slowest — 5 secondes, Slower — 2 secondes, Normal — 1 seconde, Fast — 0.5 seconde) Help Aide et informations à propos du fabricant du programme et la version. 11 12 Chapitre 3 Paramètres de sécurité 3.1 Introduction à TCP/IP Pour pouvoir configurer et profiter au mieux les foncrtions de Kerio Personal Firewall, il est nécessaire de comprendre le principe des communications TCP/IP. Les utilisateurs avancés peuvent sauter ce chapitre qui est cependant fortement recommandé aux débutants. TCP/IP TCP/IP est l’appellation commune pour protocoles de communication utilisés sur Internet. Les données sont divisées en petites parties appelées packets à l’intérieur de chaque protocole. Chaque packet contient un en-tête et une part de données. Le header (en-tête) contient l’ information (pe. source et adresse de destination ), tandis que la partie data (données) transporte l’information transmise entre les applications. Le protocole est ensuite subdivisé en plusieurs niveaux. Les packets de lower-level protocols (protocoles de bas-niveaux) contiennent des packets de niveaux supérieurs dans leur partie data (pe. les TCP protocol packets sont transférés à l’intérieur des IP packets). IP IP (Internet Protocol) transporte dans sa partie tous les autres protocol packets. La partie la plus importante d’information contenue dans le header est la source et l’adresse IP de destination, c’est l’adresse du computer qui a envoyé le packet et à quel computer il est adressé. ICMP ICMP (Internet Control Message Protocol) transfère les messages de contrôle. Il y en a plusieurs types, pe information concernant la disponibilité d’un ordinateur distant, routing request (requête de routage) ou reply request [réponse à une requête (utilisé dans une commande PING )]. TCP TCP (Transmission Control Protocol) est utilisé pour des transferts de données fiables via un canal virtuel (connexion). Il est utilisé comme protocole porteur pour la plupart des protocoles d’applications, pe SMTP, POP3, HTTP, FTP, Telnet, etc. UDP UDP (User Datagram Protocol) est un non-connected protocol (protocole non connecté), cela signifie qu’il ne crée pas un channel — toutes les data sont transférées via messages individuels (appelés datagrams). UDP n’assure pas la livraison 13 Chapitre 3 Paramètres de sécurité sure et fiable de données car les datagrams peuvent être perdus pendant le transfert. Comparé au TCP protocol, UDP demande beaucoup moins de ressources (il n’y a pas d’établissement ni de fin de connexions, acceptation de data, etc.). UDP protocol est utilisé pour les requêtes de DNS, transferts de données son ou video, etc. Ports La partie la plus importante d’information dans l’en-tête du TCP et UDP packet est le port source et destination. Alors qu’une adresse IP localise un PC sur Internet, un port définit une application tournant sur ce computer. Les ports 1—1023 sont réservés aux services standards, les ports 1024-65535 peuvent être utilisés par n’importe quelle application. Lors d’une communication typique client-serveur le port de destination est connu (une connexion est établie avec ce port ou un UDP packet lui est envoyé) le port source port est habituellement assigné automatiquement par le système. Protocoles d’application les protocoles transportés dans les TCP/UDP packets sont utilisés pour les transferts de données utilisateur (application). Il y a de nombreux protocoles standards d’application (pe SMTP, POP3, HTTP, FTP, etc.). Cependant, un programmeur peut utiliser ses propres (non-standard) moyens de communications. 3.2 Comment fonctionne Kerio Personal Firewall? Toutes les communications Internet sont transportées à l’aide des protocoles TCP/IP. Ces protocoles sont habituellement aussi utilisés pour la communication à l’intérieur des réseaux locaux Le protocole (porteur) principal est l’IP (Internet Protocol), ses packets transportent toutes les autres informations (ils renferment les autres protocoles). Un véritable firewall doit avoir un contrôle complet sur tous les IP packets — il doit être capable de les capturer, de trouver toutes les informations nécessaires à l’intérieur pour les laisser passer ou les filter. Et, bien sûr, il doit pouvoir garder un enregistrement des actions accomplies, attaques détectées, etc. La méthode principale d’un firewall tel que KPF est la stateful inspection. Cela signifie qu’une analyse est effectuée sur chaque packet passant par votre computer et que seul un packet correspondant à cette analyse est autorisé à le traverser. Tous les autres packets sont ignorés. Cela assure que Personal Firewall autorise seulement les communications initiées depuis le réseau local. L’utilisateur/administraeur peut spécifier des conditions de filtrage de packets avec des règles de filtrage. Seuls les packets correspondant aux critères établis sont acceptés. 14 3.3 IP Address Groups 3.3 IP Address Groups Quand on définit certaines règles de filtrage autorisant ou refusant certaines communications, il se peut que la même règle soit applicable a un groupe d’adresses IP (pe plusieurs postes dans un réseau local). Kerio Personal Firewall permet à l’utilisateur de définir un groupe d’adresses IP qui peut facilement être utilisé par la définition de règles de filtrage. Un groupe peut contenir n’importe quel nombre d’adresses IP ou de ranges d’adresse IP ou de sous-réseaux. Le custom address group (groupe d’adresses défini) peut être entré dans la fenêtre Firewall Configuration, onglet Miscellaneous. En pressant, vous pouvez ajouter une seule adresse IP, une range d’adresses (Network / Range) ou un sous-réseau (Network / Mask). Les boutons Edit... et Del permettent respectivement d’éditer ou de supprimer des entrées individuellement. 3.4 Niveaux de Sécurité Kerio Personal Firewall permet 3 niveaux de sécurité de base: 15 Chapitre 3 Paramètres de sécurité Permit Unknown (Don’t Bother Me) Sécurité minimum [Autoriser l’inconnu (ne pas me déranger)]: Personal Firewall autorise toute communication, sauf explicitement refusée par les règles de filtrages. Personal Firewall est totalement transparent s’il n’y a pas de règles de filtrage établies (il se comporte comme s’il n’était pas en fonction du tout). Ask Me First (Me demander d’abord) Toute communication est refusée implicitement à ce niveau. Si une application tente de communiquer ou si quelqu’un essaie d’établir une connexion de l’extérieur, Personal Firewall intercepte la requête et affiche une fenêtre de dialogue demandant si vous acceptez ou refusez la communication. Ceci peut être autorisé une fois seulement ou de façon permanente (recommandé). Deny Unknown (Cut Me Off) [Refuser l’inconnu (Isolez moi)] Toute communication qui n’est pas explicitement autorisée par les règles de filtrage établies est rejetée. Personal Firewall ne demande rien à l’utilisateur. 3.5 Interaction avec l’utilisateur Si le niveau de sécurité Ask Me First est sélectionné, Personal Firewall permet seulement automatiquement les communications autorisées par les règles de filtrage. Si un packet capturé ne correspond à aucune règle, il est présumé que l’utilisateur utilise une nouvelle 16 3.5 Interaction avec l’utilisateur application et une fenêtre de dialogue est présentée où l’utilisateur peut accepter ou refuser une telle communication. La permission ou l’interdiction peut être temporaire ou permanente (en créant une règle appropriée). La fenêtre de dialogue offre les informations suivantes: Incoming / Outgoing Connection Alert! Indique si la requête de connexion est sortante (depuis le réseau local) ou entrante (pe depuis Internet) Time L’heure et la date précises de la requête Remote Information sur le point final distant (adresse IP, port et protocole de communication) Details informations détaillées à propos de la connexion Details about application Informations au sujet de l’application locale concernée (comme client ou comme serveur) Permit Autorise la communication Deny Stoppe (filtre) la communication Create appropriate filter rule... Si cette option est sélectionnée, presser Permit ou Deny crée automatiquement une règle de filtrage, les prochains packets de même type 17 Chapitre 3 Paramètres de sécurité se verront ensuite autoriser ou refuser l’accès. Ceci peut être utilisé lors de la configuration initiale de Personal Firewall — l’utilisateur n’a pas besoin de définir de règles, mais lorsqu’il utilisera ses applications favorites, des règles pourront être créées pour elles de cette façon. Customize rules Ici, un utilisateur avancé peut éditer et peaufiner la règle créée automatiquement. Une règle créée ainsi est toujours validée pour une application déterminée qui envoie ou reçoit un packet (voir les Details au sujet d’application field). Une signature MD5 est aussi créée automatiquement de sorte que lors des exécutions suivantes de l’application du même nom soit comparée avec la signature initiale, ceci pour prévenir un trojan de remplacer son nom par celui du application de confiance, telle que outlook.exe. Des détails sur les signatures MD5 signatures peuvent être trouvés au chapitre 3.8. Par défaut une règle de filtrage pour une application est créée de façon à ce qu’elle puisse communiquer à n’importe quel port local avec n’importe quel computer sur Internet (n’importe quelle adresse distante) et aussi avec n’importe quel port distant. Il est supposé que si l’utilisateur autorise la communication pour cette application une fois, celle-ci est sûre et ne sera plus limitée dans le futur. Cependant, ce n’est pas toujours vrai, c’est pourquoi l’utilisateur peut ajuster la règle à ses besoins. Les règles créées automatiquement peuvent toujours être ajustées ou supprimées plus tard des règles de filtrage dans l’option advanced. Ajuster une règle créée automatiquement Le paramétrage concret d’une règle dépend d’une situation précise, particulièrement quant à l’application concernée par l’autorisation ou le refus. Voici quelques principes généraux: • Seuls des utilisateurs expérimentés, familiarisés avec les communications TCP/IP devraient modifier les paramètres des règles. • Déterminer le port local pour une application n’est pas recommandé, en effet le port local est assigné par le système et n’est pas connu à l’avance dans la plupart des cas. • Applicable également aux ports distants, si nous avons affaire à une application de type serveur (pe un serveur WWW). 3.6 Règles de filtrage des packets Les règles de filtrage définissent quels packets seront autorisés ou refusés à communiquer. Sans ces règles, Kerio Personal Firewall fonctionnerait seulement en 2 modes: toute communication autorisée ou toute communication refusée. 18 3.6 Règles de filtrage des packets Il y a deux façons de créer les règles: soit automatiquement lors de la détection d’un packet inconnu (l’utilisateur doit soit accepter soit refuser un tel packett — voir le chapitre 3.5) ou manuellement dans le programme Personal Firewall Administration. Ici l’utilisateur peut non seulement créer des règles mais aussi les éditer, les supprimer ou les ordonner dans l’ordre de leur priorité. Les règles de filtrage définies sont affichées dans l’onglet Filter Rules (après avoir pressé le bouton Advanced dans la fenêtre principale Personal Firewall Administration, onglet Firewall). Liste des règles de filtrage Les règles sont présentées dans un tableau, chaque ligne représentant une règle. Les colonnes ont la signification suivante: • Checkbox — indique si la règle est active ou non. L’utilisateur peut l’activer ou la désactiver d’un simple clic, inutile de la supprimer ou de l’ajouter. • Application icon — montre l’icône de l’application locale à laquelle la règle est applicable. Si la règle est validée pour toutes les applications, une icône spéciale verte 19 Chapitre 3 Paramètres de sécurité "Any" est affichée à la place. Seulement dans de rares cas une telle règle devrait exister. • Rule Description — la direction et la description d’une règle. Les symboles suivant sont utilisés pour la direction: flèche droite (packet sortant), flèche gauche (packe entrant), flèche double (bi-direction — la règle s’applique aux packets In et Out). La description de la règle peut contenir ce que l’utilisateur désire. Pour les règles créées automatiquement, le nom de l’application est utilisé pour sa description. • Protocol — protocoles de communication utilisés (TCP, UDP, ICMP...). La direction de la communication [In, Out ou Both (les deux)] est aussi indiquée entre parenthèses après le nom du protocole. • Local — port local • Remote — adresse IP distante et port (séparé par un double-point) • Application — l’exécutable de l’application locale incluant le chemin complet. Si l’application est un service du système, le nom indiqué sera SYSTEM. Controls • Add — ajoute une nouvelle règle à la fin de la liste • Insert — insère une nouvelle règle au-dessus de la règle sélectionnée. Cette fonction évite à l’utilisateur le déplacement de la règle dans la liste comme elle permet l’insertion d’une nouvelle règle à l’endroit désiré • Edit — edite la règle sélectionnée • Delete — supprime la règle sélectionnée • Les boutons flèches (à droite de la liste des règles) — autorise le déplacement de la règle sélectionnée dans la liste. Notez que les filtres sont validés de haut en bas, la position d’une règle est donc très importante. Ajouter ou éditer une règle Après avoir pressé le bouton Add, Insert ou Edit, ue boîte de dialogue est affichée pour définir une règle. 20 3.6 Règles de filtrage des packets Options générales • Description — une règle peut être définie par n’importe quel texte. Nous recommandons de décrire les règles sur base de leur fonction (pe. DNS resolution, requête de ping entrant...). Cette option est seulement nécessaire pour les utilisateurs avancés. • Protocol — Le protocole de communication auquel la règle est applicable. TCP, UDP, TCP et UDP, ICMP ou autre (chosir Other ensuite définir le protocole par le nombre dans le header du packet IP). Une option spéciale Any signifie tous les protocoles, pe tous les IP packets. • Si ICMP protocol est choisi, un nouveau bouton Set ICMP... apparaît. Après l’avoir pressé, l’utilisateur peut choisir le type de messages ICMP auquel la règle 21 Chapitre 3 Paramètres de sécurité s’appliquera. Les types d’ICMP choisis sont indiqués dans un champs de texte spécial. • Direction — une direction dans laquelle les packets seront filtrés (Outgoing, Incoming ou Both) Local endpoint section • Port type — le port (seulement si TCP et/ou UDP sont sélectionnés). Les options possibles sont: Any (n’importe quel port), Single Port (un seul port), Port Range or List of ports (une liste de Nř de ports, séparés par des virgules) • Application — indique si la règle s’applique à tous les packets (any application) ou au incoming/outgoing packets d’une application particulière (Only selected below). L’exécutable de l’application doit être entré incluant son chemin complet. Ceci peut être fait manuellement ou à l’aide du bouton Browse. Remote endpoint section • Address type — Adresse IP de l’ordinateur distant. Ceci peut être spécifié comme Any address, Single address (l’adresse d’un PC précis), Network/Mask, Network/Range ou un groupe d’adresses IP défini par l’utilisateur (Custom Address Group). • Port type — port distant. Les options sont les mêmes que définies dans local port. Other parameters • Rule valid — indique si la règles es toujours valide ou seulement à certains moments (In this time interval only). Dans le second cas, l’utilisateur peut déterminer la période en pressant le bouton Set.... L’usage de time intervals requiert un paramétrage correct du systeme temps! • Action — l’action à effectuer — si un packet doit être accepté ou refusé • Log when this rule matches — un packet sera logé s’il correspond à la règle (voir logging options dans la fenêtre Firewall Configuration, onglet Miscellaneous) • Display alert box when this rule matches — si un packet correspond à cette règle, une fenêtre d’information (Firewall Rule Alert) sera affichée contenant une description détaillée du packet et s’il a été accepté ou refusé. 22 3.7 Réseau Microsoft 3.7 Réseau Microsoft Il est courant qu’un PC sous Microsoft Windows soit connecté à un réseau local utilisant le partage de dossiers et d’imprimante pour les réseaux Microsofts. Plusieurs services sont utilisés pour la communication sous cet environnement et la mise en place d’un personal firewall pour des performances optimum et sécurisées dans de telles conditions n’est pas toujours aisée. Kerio Personal Firewall permet des règles séparées pour un environnement Microsoft Network. Ces paramètres sont disponibles dans Advanced section à l’onglet Microsoft Networking. For Microsoft Networking Use These Rules... Cette option signifie que les règles spéciales définies dans cette boîte de dialogue seront utilisées. Allow Microsoft Network Name Resolution Valider cette option permettra l’échange des noms de computers du réseau Windows. From Trusted Addresses Only Le protocole utilisé pour Windows name resolution sera uniquement applicable au groupe d’adresses définies. Ce groupe est généré auto- 23 Chapitre 3 Paramètres de sécurité matiquement par la collecte d’information TCP/IP depuis le système local et peut être modifié si nécessaire. Allow Other Users to Access My Shared... Permet l’accès aux répertoires et imprimantes partagés. From Trusted Addresses Only L’accès est uniquement autorisé aux adresses de confiance définies. Ask Me For Each Access... A chaque tentative de connexion à un répertoire partagé, Personal Firewall demandera si la connexion est accordée ou refusée. Trusted Address Group Un groupe d’adresses défini comme de confiance. En utilisant les boutons Add, Edit et Del l’utilisateur peut ajouter, changer ou supprimer une adresse IP, une range d’adresse IP, ou un sous-réseau complet. La validité pour ce groupe d’adresses IP est limitée à l’onglet Microsoft Networking. Le groupe ne peut être utilisé pour définir d’autres règles. Exemples de paramétrage optimum • Si vous avez un seul PC, non connecté à un réseau local (pe un notebook connecté à Internet via modem), simplement valider cette option For Microsoft Networking Use These Rules Instead Of Filter Rules. Laisser toutes les autres options sur Off. Cela invalidera toutes les communications pour les réseaux Microsoft qui ne s’appliquent pas à ce cas de figure. • Si votre PC est connecté à un LAN où vous faites confiance à vos collègues et désirez leur laisser l’accès à vos répertoires et imprimantes partagés, validez toutes les options sauf Ask Me For Each Access to My Shared Folders. Dans le champs Trusted Address Group définissez votre reseau local (pe comme un sub-network avec un mask correspondant ou avec une range d’adresses IP). • Si vous désirez accorder l’accès à votre matériel partagé tout en ayant un contrôle complet sur qui peut y accéder, procédez comme dans l’exemple précédent mais validez aussi l’option Ask Me For Each Access to My Shared Folders. 3.8 Application MD5 Signatures En plus du contrôle des packets entrants ou sortants Kerio Personal Firewall peut aussi détecter si les packets autorisés sont envoyés par les applications autorisées. Une application pourrait s’infiltrer dans votre computer (pe par email, depuis une disquette, etc.), 24 3.8 Application MD5 Signatures agissant comme un programme connu et correct (il remplace généralement l’exécutable original) et tente d’envoyer des données depuis votre computer. Une telle application est généralement référencée comme cheval de Troye. Habituellement, elle peuvent être découverte lors d’un checking anti-virus/anti-trojans mais il pourrait être déjà trop tard. Kerio Personal Firewall utilise un procedé de création et de surveillance de signatures MD5 des applications. En termes simples, une signature MD est un checksum de l’exécutable d’une application. La première fois qu’une application est lancée (ou lorsque l’application essaie pour le première fois de communiquer via le réseau) Personal Firewall crée une signature MD5 pour cette application. Cette signature est contrôlée à chaque tentative de communication suivante de la-dite application avec le réseau. Si l’exécutable de l’application a été modifié (pe s’il est infecté par un virus ou a été remplacé par un autre programme) Personal Firewall refuse la communication à cette application, présente un avertissement et demande si le changement doit être accepté ou non (pe en cas d’ upgrade de l’application). Les signatures MD5 peuvent être vues et supprimées dans le tableau Application’s MD5. Elles peuvent seulement être créées automatiquement. Les options suivantes sont disponibles dans le tableau Application’s MD5: 25 Chapitre 3 Paramètres de sécurité Check MD5 signature Cette option valide/invalide la création et le checking des signatures MD5 des applications. Delete Supprime la signature MD5 de la/des application(s) sélectionnée(s). Select All Sélectionne toutes les applications de la liste. Check All Paths Contrôle toutes les applications quant à l’existence d’exécutables. Si l’exécutable n’existe pas (pe après une désinstallation) il vous est demandé si la signature MD5 pour l’application doit être supprimée. Check MD5 Now Contrôle la validité des signatures MD5. En cas de non-validité, Personal Firewall demande si un changement doit être accepté ou non. Note: Plusieurs applications peuvent être sélectionnées en utilisant les touches Ctrl or Shift key. 3.9 Internet Gateway Protection Kerio Personal Firewall peut aussi être utilisé pour protéger un Internet gateway, pe. un computer fournissant l’accès Internet à des computers dans un réseau local (un router ou un NAT router). Typiquement, cela peut être fait en combinaison avec l’application Microsoft’s Internet Connection Sharing (ICS), un composant des systèmes Windows 98 SE, Me, 2000 er XP. ICS valide l’accès à Internet pour tous les computers via une seule adresse IP. Cependant, il ne fournit aucune protection contre les attaques extérieures. Associé à Kerio Personal Firewall vous pouvez bénéficier d’une connexion internet partagée sécurisée. Personal Firewall est conçu pour la protection d’un seul computer. Cependant, un grand nombre de packets traverse l’ internet gateway (router) qui ne sont pas destinés à ce computer. De façon à ne pas être contraint à établir des filtrages complexes de packets, Personal Firewall peut être basculé en mode particulier destiné aux Internet gateways. Ceci peut se faire dans la fenêtre Firewall Configuration (après avoir pressé le bouton Advanced sur le tableau Miscellaneous en validant l’option Is running on Internet gateway. Note: Ne validez pas cette option si Personal Firewall ne tourne pas réellement sur un véritable Internet gateway car le niveau de sécurité sur votre computer en sera diminué. 26 Chapitre 4 Firewall Logging 4.1 Configuration du loggin Kerio Personal Firewall permet la création de fichiers log détaillés concernant l’acceptation et le filtrage des packets. L’utilisateur (ou l’administrateur) a une palette d’options pour déterminer quelle information et où la loger. Les logs peuvent être sauvés soit vers un fichier (avec le nom filter.log sauvegardé sous le répertoire d’installation de Personal Firewall — typiquemment C:\Program Files\Kerio\Personal Firewall) ou envoyé à un Syslog server. La configuration de base du log se fait dans la fenêtre Firewall Configuration, onglet Miscellaneous dans la section Firewall. 27 Chapitre 4 Firewall Logging Log Into File (filter.log) Les logs seront sauvegardés dans le fichier filter.log (dans le répertoire d’installation de Personal Firewall). La limite de ce fichier est seulement celle de l’espace disponible sur le disque. Log Into Syslog Les logs seront envoyés à un Syslog server tournant à une adresse IP spécifiée. Log Packets Addressed to Unopened Ports Loge les packets adressés à des ports depuis lesquels aucune application ne tourne (typique d’un portscanning). Log Suspicious Packets Loges les packets que Kerio Personal Firewall considère suspects. Ce sont ea les packets TCP qui n’appartiennent pas à une connexion ouverte et n’initient pas une nouvelle connexion (les TCP PINGS). 4.2 Filter.log file Le fichier filter.log est utilisé pour loger les actions de Kerio Personal Firewall sur un PC local. Il est créé dans le répertoire d’installation de Personal Firewall (typiquement C:\Program Files\Kerio\Personal Firewall). Il est créé lors du premier enregistrement. Filter.log est un fichier texte ou chaque enregistrement est placé sur une nouvelle ligne. Il a le format suivant: 1,[08/Jun/2001 16:52:09] Rule ’Internet Information Services’: Blocked: In TCP, richard.kerio.cz [192.168.2.38:3772]->localhost:25, Owner: G:\WINNT\SYSTEM32\INETSRV\INETINFO.EXE Comment lire cette ligne: • 1 — type de règle (1 = refuser, 2 = accepter) • [08/Jun/2001 16:52:09] — date et heure de détection du packet (vérifier le setting correct du systeme temps de votre PC) • Rule ’Internet Information Services’ — nom de la règle appliquée (d’après le champs Description) • Blocked: / Permittted: — indique si le packet a été accepté ou refusé (correspond au nombre indiqué au début de la ligne) • In / Out — indique un incoming ou outgoing packet 28 4.2 Filter.log file • IP / TCP / UDP / ICMP etc. — protocole de communication (pour lequel la règle a été définie) • richard.kerio.com [192.168.2.38:3772] — nom DNS du computer, depuis lequel le packet a été envoyé, entre crochets l’adresse IP avec le port source après les double-points • locahost:25 — adresse IP de destination (ou nom DNS ) et port (localhost = ce computer) • Owner: — nom de l’application locale à laquelle le packet est adressé (incluant le chemin complet). Si l’application est un system service le nom affiché est SYSTEM. 29 ">
Public link updated
The public link to your chat has been updated.
