What is a Stateless Firewall?

Fonctionnement d'un pare-feu sans état

L'objectif d'un pare-feu est de limiter l'accès à un réseau protégé. Un pare-feu est installé en ligne avec le trafic entrant et sortant du réseau protégé, ce qui lui permet d'inspecter chaque paquet entrant ou sortant. Le pare-feu prend la décision d'autoriser ou de rejeter un paquet sur la base de son ensemble de règles intégré.

Bien qu'il existe différents types de pare-feu, un pare-feu sans état est un pare-feu qui évalue chaque paquet uniquement sur la base des données qu'il contient, normalement l'en-tête du paquet. L'en-tête du paquet contient des adresses IP, des numéros de port et d'autres informations que le pare-feu peut utiliser pour déterminer si le paquet est autorisé ou non.

Un pare-feu peut être configuré avec des règles qui limitent l'ensemble des adresses IP autorisées à accéder au réseau protégé ou qui n'autorisent que certains protocoles réseau à entrer ou sortir du réseau. Par exemple, un pare-feu sans état peut être configuré pour autoriser les connexions HTTPS entrantes mais bloquer les connexions SSH entrantes. De même, un pare-feu peut être configuré pour bloquer le trafic en provenance de certaines régions géographiques ou d'adresses IP connues pour être mauvaises.

Avantages et inconvénients des pare-feu sans état d'âme

Un pare-feu sans état est conçu pour traiter uniquement les en-têtes des paquets et ne stocke aucun état. Cela présente un certain nombre d'avantages, dont les suivants :

• Vitesse : Un pare-feu sans état effectue relativement peu d'analyses du trafic réseau par rapport à d'autres types de pare-feu. Par conséquent, il peut offrir une latence plus faible que le pare-feu avec état.
• Évolutivité : Le traitement limité des pare-feu sans état a également une incidence sur leur évolutivité. Le même matériel peut être en mesure de traiter plus de connexions avec un pare-feu sans état, en raison des exigences limitées du pare-feu en matière de traitement et de données.
• Coût : les pare-feu sans état sont moins complexes que les autres types de pare-feu. Par conséquent, ils peuvent être disponibles à un prix inférieur à celui des pare-feu plus sophistiqués.

Cependant, si un pare-feu sans état présente des avantages, ceux-ci sont contrebalancés par des inconvénients importants. Les pare-feu sans état sont incapables de détecter de nombreux types d'attaques courantes, notamment les suivantes :

• Paquets hors séquence : Les paquets sans état manquent de visibilité sur l'état actuel d'une connexion réseau et ne peuvent pas détecter les paquets légitimes envoyés délibérément hors séquence. Par exemple, un pare-feu sans état serait incapable de détecter de nombreux types de balayages TCP (ACK, FIN, etc.) ou d'identifier une réponse DNS envoyée sans demande correspondante.
• Logiciel malveillant intégré : Les pare-feu sans état n'inspectent que les en-têtes des paquets réseau, et non leur contenu. Il leur est donc impossible d'identifier si un contenu malveillant, tel qu'un logiciel malveillant, est contenu dans la charge utile d'un paquet.
• Attaques au niveau de l'application : Le fait que les pare-feu sans état se concentrent sur les en-têtes des paquets les rend également aveugles aux attaques effectuées au niveau de la couche application. Par exemple, l'exploitation de la vulnérabilité des applications Web ou les attaques contre l'infrastructure cloud seraient invisibles pour ces pare-feu.
• Attaques par déni de service distribué (DDoS) : Une attaque DDoS consiste généralement à envoyer un volume massif de paquets de spam à une cible. Étant donné que ces paquets semblent légitimes et qu'un pare-feu sans état examine chaque paquet individuellement, ce type d'attaque ne serait pas détecté.

Les pare-feu sans état peuvent être plus efficaces que les pare-feu avec état. Cependant, ils sont totalement aveugles à la plupart des attaques modernes et n'apportent qu'une valeur limitée à l'organisation.