Pare-feu.

Un pare-feu applique une politique de contrôle d'accès à la frontière d'un réseau en inspectant les paquets et en les autorisant, en les refusant ou en les journalisant selon des règles qui s'appuient sur les adresses IP source et destination, les ports et les protocoles. La technologie a évolué au fil de trois générations : les filtres de paquets sans état, qui jugent chaque paquet isolément ; l'inspection avec état, inaugurée par Check Point FireWall-1 en 1994, qui suit l'état des connexions afin que le trafic retour soit rattaché à une session établie ; et les pare-feu de nouvelle génération (NGFW) qui ajoutent l'identification applicative, l'inspection TLS, la prise en compte de l'identité des utilisateurs et un IPS intégré.

Les pare-feu périmétriques présentent des angles morts bien connus : ils ne peuvent pas inspecter le trafic est-ouest chiffré à l'intérieur d'un réseau plat, et une seule règle trop permissive ou masquée peut compromettre l'ensemble de la politique. La mauvaise configuration est le principal mode de défaillance dans le monde réel — la fuite de données Capital One en 2019, qui a exposé environ 100 millions d'enregistrements, provenait d'un rôle de web-application-firewall trop permissif détourné via une SSRF pour atteindre les métadonnées du cloud. Un déploiement efficace suppose des jeux de règles en deny par défaut, des règles à privilège minimal, une recertification périodique pour supprimer les entrées obsolètes, une gestion du changement et une journalisation centralisée alimentant un SIEM afin de détecter les dérives et les déplacements latéraux. Les architectures modernes associent les pare-feu à la micro-segmentation et à des passerelles zero trust plutôt que de s'appuyer sur un unique périmètre rigide.

flowchart TD
  P[Paquet entrant] --> S{Correspond à la table d'état ?}
  S -- Oui --> A[Autoriser le flux établi]
  S -- Non --> R{Correspond à une règle ?}
  R -- Autoriser --> L[Autoriser, journaliser, ajouter à la table d'état]
  R -- Refuser --> D[Rejeter ou refuser, journaliser]
  R -- Aucune correspondance --> DD[Refus par défaut]