Bloquer les programmes malveillants et le phishing à la périphérie du réseau

Bonjour et bienvenue dans ce point technique de Purple. Je suis votre hôte et, aujourd'hui, nous plongeons au cœur d'une décision d'architecture essentielle pour les exploitants de sites : Bloquer les logiciels malveillants et le phishing à la périphérie du réseau. Nous nous adressons aux responsables informatiques, aux architectes réseau, aux CTO et aux directeurs des opérations qui gèrent des réseaux dans les hôtels, les chaînes de magasins, les stades et les espaces publics. Si vous gérez un accès WiFi invité ou de grands réseaux publics, vous connaissez la complexité liée aux appareils non managés. Vous ne pouvez pas installer d'agent de point de terminaison sur le smartphone d'un client, et vous ne pouvez certainement pas contrôler les liens sur lesquels il clique. Quelle est donc la solution ? La protection à la périphérie du réseau. En déplaçant le point d'application de la sécurité vers la passerelle, vous bloquez les menaces avant même qu'elles n'atteignent l'appareil. Analysons l'architecture technique, en commençant par le filtrage DNS. Lorsqu'un appareil se connecte à votre réseau et tente d'accéder à un domaine malveillant - par exemple, un lien de phishing masqué dans un SMS - la requête DNS arrive d'abord sur votre passerelle périphérique. Au lieu de résoudre l'adresse IP et de laisser passer le trafic, la passerelle périphérique vérifie le domaine par rapport à des flux de renseignements sur les menaces en temps réel. S'il est signalé comme malveillant, la requête DNS est redirigée vers un trou noir (sinkholed). La connexion est interrompue avant même qu'un seul octet de logiciel malveillant ne soit téléchargé. C'est une démarche proactive et non réactive. Prenons un scénario réel. Prenons l'exemple d'une grande chaîne de magasins proposant un accès WiFi invité gratuit. Pendant la période des fêtes, la fréquentation explose et des milliers d'appareils non managés se connectent chaque jour. Une campagne de phishing ciblée touche la région, usurpant l'identité d'un service de livraison populaire. Sans protection périphérique, un client clique sur le lien, son appareil est compromis alors qu'il est sur votre réseau, et soudain la réputation de votre adresse IP s'effondre, ou pire, une tentative de mouvement latéral est lancée contre votre VLAN de terminaux de paiement. Avec la protection à la périphérie du réseau, dès que ce client clique sur le lien malveillant, la requête DNS est interceptée. La passerelle périphérique détecte que le domaine a été enregistré il y a trois heures et qu'il a été signalé par les renseignements sur les menaces. La connexion est bloquée, le client voit une page de blocage sécurisée et votre réseau reste protégé. Aucun agent de point de terminaison n'est requis. Cette architecture simplifie également la conformité. Que vous soyez confronté aux normes PCI-DSS dans le commerce de détail, au GDPR en Europe ou à la conformité IWF pour les réseaux WiFi publics au Royaume-Uni, le filtrage périphérique fournit la journalisation centralisée et l'application des règles requises pour les audits. Vous disposez d'une piste d'audit complète des requêtes DNS et des menaces bloquées. Parlons maintenant de l'implémentation. Le piège le plus courant est le sur-blocage, qui génère des tickets d'assistance et frustre les visiteurs. La clé réside dans l'application granulaire des politiques. Vous ne voulez pas d'un blocage général de tous les domaines récemment enregistrés si votre équipe marketing déploie fréquemment des sites de campagne temporaires. Vous avez besoin d'une approche multicouche. La couche 1 est le renseignement sur les menaces en amont - le blocage des acteurs malveillants connus, des serveurs de commande et de contrôle de botnets et des points de distribution de logiciels malveillants. La couche 2 est le filtrage de contenu basé sur des catégories, assurant la conformité avec les réglementations locales. La couche 3 est le contrôle d'accès, appliquant différentes politiques en fonction du rôle de l'utilisateur. Un invité bénéficie d'une politique restrictive, tandis que le personnel de l'établissement sur un SSID d'entreprise bénéficie d'une politique différente. Qu'en est-il du DNS chiffré ? Les protocoles comme le DNS sur HTTPS (DoH) et le DNS sur TLS (DoT) peuvent contourner le filtrage de périphérie traditionnel s'ils ne sont pas gérés correctement. Votre architecture de périphérie doit en tenir compte, soit en bloquant les résolveurs DoH publics connus pour forcer le repli sur votre DNS sécurisé, soit en implémentant l'inspection SSL pour les appareils gérés, bien que cette dernière option ne soit pas réalisable pour les réseaux d'invités. Pour le WiFi invité, forcer le trafic à travers votre DNS sécurisé et bloquer les ports alternatifs est l'approche standard. Passons à une séance de questions - réponses rapide basée sur les questions courantes des clients. Question 1 : Le filtrage de périphérie ajoute-t-il de la latence ? Réponse : Minimale. Une passerelle de périphérie robuste met en cache les réponses DNS et utilise le routage anycast vers le nœud de renseignement sur les menaces le plus proche. La latence ajoutée est généralement de l'ordre de quelques millisecondes, imperceptible pour l'utilisateur. Question 2 : Quel est l'impact sur le ROI ? Réponse : Le ROI se mesure par la réduction des incidents et la simplification de la gestion. Vous éliminez le coût des licences par appareil de la sécurité des terminaux pour les appareils BYOD. Vous réduisez également considérablement les heures d'assistance passées à enquêter sur des appareils compromis ou à gérer des adresses IP sur liste noire. Question 3 : Cela peut-il protéger les appareils IoT ? Réponse : Oui. C'est un avantage considérable. Les téléviseurs intelligents dans les chambres d'hôtel, l'affichage dynamique dans les commerces de détail ou les terminaux de point de vente ne peuvent souvent pas exécuter d'agents de terminaux. La protection de périphérie les couvre automatiquement car tout leur trafic doit passer par la passerelle. En résumé, la protection uniquement basée sur les terminaux est insuffisante pour les réseaux d'établissements modernes. Vous avez besoin d'un point d'application unique pour tout le trafic. La protection de la périphérie du réseau est proactive, rentable et couvre tous les appareils, gérés ou non. C'est la norme architecturale pour un WiFi invité et des réseaux d'établissements sécurisés. Merci d'avoir écouté ce briefing technique. N'oubliez pas de consulter le guide de référence complet pour obtenir des schémas d'architecture détaillés, les étapes de mise en œuvre et des lectures complémentaires sur l'analyse WiFi et les déploiements spécifiques à chaque secteur. Restez en sécurité.