Posté par eggus .
En réponse au journal Au voleur.sh.
Évalué à 3.
Dernière modification le 04 août 2017 à 15:07.
OK je pense que nous n'avons pas la même définition de ce qu'est un pare-feu applicatif.
Sur Windows, il s'agit juste d'un pare-feu stateful mais qui permet d'avoir des règles sur l'application source plutôt que seulement les IP et ports. Tu peux faire quelque chose d'équivalent avec iptables, plus précisemment avec l'option --cmd-owner de l'extension owner match.
L'interêt d'un pare-feu qui demande si on souhaite autoriser un trafic est assez limité à mon avis sur un serveur de production :
- C'est de la prod, tu est censé connaître tous les trafic réseau entrants et sortants de ton serveur et donc capable de les autoriser à priori et de bloquer tout le reste.
- Car l'événement déclencheur (l'activation du malware) n'a pas forcement lieu lorsqu'on a une session ouverte dessus.
Dans un contexte de serveurs de production, on devrait normalement avoir une console de supervision qui s'allume comme un sapin de noël si un pare-feu détecte des flux sortants non autorisés. Car il s'agit soit d'un malware, soit d'une application mal configurée donc potentiellement qui ne peut pas rendre le service. Donc un firewall classique aurait dans ce cas mis en lumière cette faille.
[^] # Re: mod_security
Posté par eggus . En réponse au journal Au voleur.sh. Évalué à 3. Dernière modification le 04 août 2017 à 15:07.
OK je pense que nous n'avons pas la même définition de ce qu'est un pare-feu applicatif.
Sur Windows, il s'agit juste d'un pare-feu stateful mais qui permet d'avoir des règles sur l'application source plutôt que seulement les IP et ports. Tu peux faire quelque chose d'équivalent avec iptables, plus précisemment avec l'option --cmd-owner de l'extension owner match.
L'interêt d'un pare-feu qui demande si on souhaite autoriser un trafic est assez limité à mon avis sur un serveur de production :
- C'est de la prod, tu est censé connaître tous les trafic réseau entrants et sortants de ton serveur et donc capable de les autoriser à priori et de bloquer tout le reste.
- Car l'événement déclencheur (l'activation du malware) n'a pas forcement lieu lorsqu'on a une session ouverte dessus.
Dans un contexte de serveurs de production, on devrait normalement avoir une console de supervision qui s'allume comme un sapin de noël si un pare-feu détecte des flux sortants non autorisés. Car il s'agit soit d'un malware, soit d'une application mal configurée donc potentiellement qui ne peut pas rendre le service. Donc un firewall classique aurait dans ce cas mis en lumière cette faille.