Les UTM, vigie sécuritaire du réseau d’entreprise

Philipe Pélaprat

01 Réseaux

le 07/06/2007 à 07h00

envoyer
par mail

imprimer
l'article

Selon les cabinets d’études, plus de la moitié des petites entreprises utiliseraient des boîtiers UTM pour assurer la sécurité de leur réseau informatique. Ce marché porteur suscite donc logiquement de nombreuses propositions provenant de spécialistes de la sécurité ou d’équipementiers réseaux. Créée par IDC, l’appellation UTM signifie Unified Thread Management, c’est-à-dire gestion unifiée des menaces. Elle désigne un équipement physique spécifique, qui opère un contrôle des flux de données entrants et sortants et fait fonction à la fois de pare-feu, de VPN, d’antivirus, d’antispam et de filtrage de contenu (URL notamment). L’UTM offre aussi des capacités de gestion de bande passante et de qualité de service.

Pour l’administrateur de réseau, le principal atout de ces produits est la gestion centralisée des fonctions, qui en simplifie l’exploitation et procure une certaine maîtrise des coûts d’acquisition et de maintenance. Nombre d’UTM associent des composants de provenances diverses, en particulier pour ce qui concerne l’antivirus, souvent fourni par un éditeur de référence. On pourra donc sélectionner un produit en s’appuyant sur la réputation des éléments constitutifs tels qu’ils sont fournis par les partenaires du concepteur du boîtier.

Des critères qui varient d’un spécialiste à l’autre

Les critères d’évaluation sont la fiabilité, mais également la périodicité des mises à jour, dont le constructeur-intégrateur n’est pas maître par définition et qui fait souvent l’objet d’un abonnement facturé séparément. Le filtrage de contenu peut s’avérer être un simple contrôle d’URL, tandis que d’autres sont plus complets, tels ceux que propose un spécialiste du domaine, SurfControl, partenaire de Check Point Software. La remarque est identique pour le filtrage de courriers indésirables (spams), compétence pour laquelle certains éditeurs font réellement la différence vis-à-vis du RBL (Real-Time blackhole list), notoirement insuffisant.

Cette distinction entre fonctions a un sens car des entreprises préfèrent se concentrer sur les quatre briques essentielles que sont le pare-feu, le VPN, l’IPS et l’antivirus, et faire appel à des équipements tiers pour d’autres types de filtrage.

Si l’on veut opérer un traitement en profondeur de toutes les données, un matériel bien doté en puissance de calcul s’impose, sinon la latence aura un impact sur l’ensemble du réseau informatique. La durée d’auscultation est particulièrement symptomatique de la performance des systèmes de prévention ou de détection d’intrusion (IPS et IDS), fonctions que les spécialistes estiment être les plus importantes après celles de pare-feu/VPN et d’antivirus. Les IPS et IDS sont souvent complexes et gourmands en ressources, surtout si l’on définit des règles d’analyse en associant diverses méthodes de détection. Il faut aussi savoir que des analyses génériques ou comportementales trop strictes peuvent générer des faux positifs, c’est–à-dire de vrais courriels désignés comme spams, ce qui est aussi contre-productif.

Quoi qu’il en soit, un sous-dimensionnement de puissance entraînera un ralentissement ou un blocage lorsque toutes les règles seront effectivement appliquées. La plupart des firmwares animant les boîtiers UTM sont fondés sur des Linux ou FreeBSD endurcis, l’exception étant Network Engines, qui préfère le système d’exploitation Windows de Microsoft, massivement dégraissé. Il est regrettable que certaines licences Linux utilisées n’adhèrent pas au modèle GPL (Generic Public Licence), ce qui leur interdit de bénéficier du potentiel d’évolution généré par la communauté des développeurs du logiciel libre. La compatibilité avec l’environnement informatique existant est elle aussi fondamentale, notamment pour la prise en compte des applications d’annuaires LDAP ou Active Directory.

Des produits certifiés

Enfin, l’administration est un point qu’il faut analyser avec beaucoup d’attention, de même que les dispositifs de reprises après incident (fail-over) dans le cadre d’architectures actif/passif ou actif/actif. Les tests d’aptitude à la restauration révèlent d’ailleurs souvent quelques surprises. Tous les produits recourent à une interface Web pour activer les fonctions et leur réglage. Cela convient pour les petites structures, mais pas pour les grandes, qui préfèrent une application d’administration traditionnelle, plus lourde.

La plupart des acteurs proposent ce double mode d’administration, et ce point est à étudier avec soin dans les entreprises souhaitant faire appel à un prestataire de services dans le cadre de l’externalisation de leurs solutions de sécurité. La plupart des fabricants d’UTM ont pris la précaution de faire certifier leurs produits selon les critères communs de niveau EAL 2, mais la tendance est d’accéder au niveau 4. Cette certification est une procédure très coûteuse et, si elle rassure le client, elle ne lui garantit nullement qu’aucun pirate ne franchira son UTM. En matière de protection, la gestion des règles reste fondamentale, et le laxisme n’a pas lieu d’être.

agrandir la photo