Brevet FR2806812A1 — publié le 20010928

PROCEDE ET DISPOSITIF DE CONFIGURATION DE COMMUTATION D'INFORMATIONS DANS UN SYSTEME INFORMATIQUE La presente invention concerne le domaine de la commutation d'informations dans un système informatique, et plus particulièrement 1 domaine de la configuration de pare-feu en vue du contrôle de ladite commutation. L'art antérieur Un pare-feu est une machine ou groupes de machines permettant sécuriser la jonction entre un réseau intérieur et un réseau extérieur qu'Internet contre des intrusions non autorisées, voire malveillantes. Il rappelé qu'Internet consiste en un ensemble de réseaux et machines interconnectes dans le monde entier, permettant à des utilisateurs quatre coins la terre de partager des informations. Le terme machine dans la présente description représente une unité conceptuelle très large, de nature matériel et/ou logiciel. Les machines peuvent être très diverses, telles que des stations de travail, serveurs, routeurs, machines spécialisées et passerelles entre réseaux. Tous 1 messages transitant entre le réseau intérieur et extérieur doivent passer par le pare-feu qui examine chaque message et bloque ceux qui ne répondent pas à des règles de sécurité déterminées. Le pare-feu est un élément d'une politique globale de sécurité, intégré dans un environnement applicatif de plus en plus riche et destiné à protéger ressources d'information. Les pare-feux sont utilisés notamment pour empêcher les utilisateurs d'Internet non autorisés d'accéder à des réseaux internes connectés a Internet, pour donner à un utilisateur d'un réseau interne l'accès à Internet de manière sûre, pour séparer machines publiques d'une entreprise permettant l'accès à Internet son réseau interne, pour réaliser un cloisonnement à l'intérieur d'un reseau donné, pour protéger les segments de réseaux internes cloisonnés. Le pare-feu est matérialisé par exemple par une machine dédiée qui contrôle l'accès aux différentes machines d'un réseau intérieur déterminé. Pour ce faire, le pare- contrôle quelles machines et/ou quels utilisateurs et/ou quels services ou applications d'un réseau intérieur peuvent accéder à quelle machine et/ou quels utilisateurs et/ou quels services ou applications d'un réseau extérieur et inversement. Les critères de filtrage sont par exemple de manière non limitative # l'adresse appelante, # l'adresse appelée, # l'application appelée. Les machines appartenant réseau Internet utilisent le protocole TCP/IP. Dans un réseau TCP/IP, 1 sous-réseaux sont séparés par des passerelles, dont la mission est d'assurer la commutation de paquets TCP/IP. Un paquet TCP/IP est une unité d'information constituée d'une suite d'éléments binaires définies par le protocole TCP/IP. L'acheminement des paquets est réalisé de passerelles en passerelles, au travers des différents sous-réseaux, depuis une machine d'origine jusqu'à une machine destinataire du paquet concerné. chemins que suivent les paquets d'une communication TCP/IP sont succession des sous-réseaux par lesquels les paquets sont acheminés. Les pare-feu sont des passerelles spécialisées dans la sécurité - le pare-feu assure d'une part le filtrage des communications TCP/IP et d'autre part la commutation desdites communications. Dans le cas de réseaux maillés, à savoir de réseaux comportant un nombre important de passerelles (quelques dizaines, voire une centaine ou plus), plusieurs chemins peuvent être suivis par les paquets. Un problèmes posés par les systèmes informatiques actuels est le suivant. administrateur de réseau peut vouloir imposer chemins à certaines communications, ou à l'inverse, les interdire. Les raisons de ces choix sont exemple: 9 critères de sécurité ; en effet, les différents chemins n'offrent généralement pas tous le même degré de sûreté. De plus, certaines communications peuvent présenter un caractère sensible contenir des informations qu'il n'est pas souhaitable de voir divulguer; performances de réseaux ; l'administrateur choisit par exemple un passage par des sous-réseaux offrant par exemple capacités de débit differentes, ou encore une bande passante limitée pour certaines interfaces pare-feu -, *un coût de communication, *une gestion de bande passante du réseau, ... systèmes actuels ne permettent pas de configurer commutation des paquets au niveau des pare-feu. seule solution offerte à ce jour à un administrateur réseau est de configurer une table de commutation intégrée au pare- danslaquelle les règles d'acheminement des paquets vers le pare- suivant sont établies fonction des adresses possibles de destination. Cependant, le seul critere entrant en ligne de compte dans le choix d'acheminement des paquets est l'adresse de destination du paquet : ladite solution ne permet pas de faire intervenir d'autres critères de choix tels qu'une adresse source, un service demandé, un utilisateur demandeur de l'acces ... De plus, si la passerelle au travers de laquelle l'administrateur a choisi de faire passer les paquets en panne, la configuration de l'administrateur n'est plus prise en compte chemin est recalculé et les paquets passent par une autre passerelle. Un des buts de la présente invention est permettre à un administrateur de pare-feu sur un réseau de contrôler commutation de paquets niveau des pare-feu en fonction de critères variés tels que une adresse source (station émettrice de la communication) et/ou des numéros de ports (application demandée), un utilisateur qui demande l'accès, une date et heure de l'accès, ... Résumé de l'invention Dans ce contexte, la présente invention propose un procédé de configuration de pare-feu dans un système informatique comportant des objets, objets pour lesquels une politique de contrôle d'accès est mise en place etant appelés des ressources, caractérisé en qu'il contrôle la commutation des communications dans le système imposant une ou plusieurs interfaces réseau déterminées pour 1 passage d'une communication entre une ressource d'origine et ressource de destination. La présente invention concerne également le système de mise en oeuvre dudit procédé. Présentation des figures D'autres caractéristiques et avantages de l'invention apparaîtront à lumière de la description qui suit, donnée à titre d'exemple illustratif et limitatif de la présente invention, en référence aux dessins annexés dans lesquels: *la figure 1 est une vue schématique du système selon une forme réalisation de l'invention ; *la figure 2 est une copie d'écran d'une interface graphique présentant une contrainte sur la commutation des communications dans le système selon figure 1 -1 *la figure 3 est une copie d'écran d'une interface graphique ne présentant aucune contrainte sur la commutation des communications dans le système selon la figure 1. Description d'une forme de réalisation de l'invention Comme le montrent les figures 1 à 3, la présente invention se rapporte à un procédé et un dispositif 1 de configuration de pare-feu 2 ou équivalent dans un système informatique 3. Le système informatique 3 est distribué et comprend des objets 4, les pare-feu 2 et des utilisateurs. Un objet 4 est une unité conceptuelle très large, de nature matérielle et/ou logicielle. Les objets 4 peuvent être très divers, tels que des réseaux, des sous-réseaux, des stations de travail, des serveurs, des routeurs, des machines spécialisées et passerelles entre réseaux, des applications. Seuls les composants des objets 4 du système 3 caractéristiques de la présente invention seront décrits, les autres composants étant connus de l'homme du métier. L'administrateur définit des zones 5 de cloisonnement : une zone 5 de cloisonnement est une partie du système 3 séparé du reste de celui-ci un ou plusieurs pare-feu. Les zones 5 sont separées par un ou plusieurs pare-feu 2. Chaque pare-feu 2 délimite une ou plusieurs zones 5. Les zones contiennent des réseaux ou sous-réseaux. Dans l'exemple illustré sur la figure 1, le pare-feu est connecté à un sous-reseau 6 interne 11, à un sous-réseau de type zone démilitarisee DMZ,, et au réseau 8 Internet. sous-réseau de type zone démilitarisée un sous-réseau tampon, réalisant une sorte de sas entre un réseau interne et externe pour en renforcer la protection. pare-feu NVV2 est connecté à un sous-réseau 7 de type zone démilitarisée DMZ2, et au réseau 8 Internet. Le pare-feu NVV3 est connecté à un sous-réseau 6 interne 13, à un sous-réseau 9 de liaison NW4-NW3 et au réseau 8 Internet. Le pare-feu NW4 est connecté à un sous-réseau 6 interne un sous-réseau 6 interne 15, au sous-réseau 9 de liaison NW4- NW3 et sous-réseau 7 de type zone démilitarisée pare-feu 2 comprennent des interfaces 10 réseau avec les zones 5 et donc sous-réseaux 6, 7 et réseaux 8.. Selon une forme particulière de réalisation du dispositif 1 illustré sur la figure décrite en détail dans la demande de brevet déposée le même jour présente demande par le présent déposant dont le titre est Procede et dispositif de configuration centralisée de pare-feu dans un système informatique , le système informatique 3 comprend une machine 11 de configuration centrale à partir de laquelle un administrateur 12 définit et place une politique de sécurité globale pour protéger des ressources 13 du système informatique 3. Les ressources 13 sont des objets 4 du systeme 3 entre lesquels des règles de contrôle d'acces constituant la politique sécurité du système 3 sont définies. Comme montré sur la figure 1, la machine 11 configuration centrale comporte les modules suivants : *une interface 14 graphique qui permet à l'administrateur 12 de décrire système 3 et notamment les pare-feu 2 et ressources 13, la politique contrôle d'accès aux ressources 13 du système ainsi que les restrictions sur les zones 5 et donc sur les interfaces réseaux 0 associées ; *un moteur 15 de compilation qui traduit les informations saisies par l'administrateur au moyen de l'interface 14 graphique en règles de contrôle d'accès assimilables par les pare-feu 2 et calcule leur répartition sur les pare-feu 2 appropriés -, *un module 16 de téléchargement et de synchronisation destiné à - assurer le transfert des différentes règles créees sous forme de fichiers par le moteur 9 de compilation vers les pare-feu appropriés et à partir des interfaces réseaux 10 obtenues, - régler la cohérence en communiquant à l'ensemble des pare- feu l'instant auquel les fichiers de règles nouvellement transférés doivent être pris en compte et appliqués. L'administrateur 12 commande la machine 11 configuration centrale au moyen d'un clavier et d'une souris ou de tout autre moyen de saisie équivalent. L'administrateur 12 décrit au moyen de machine 11 de configuration centrale et plus particulièrement de l'interface 14 graphique le système 3 et notamment la liste des pare-feu contrôlés par dispositif 1. La figure 2 montre un exemple de forme de réalisation de l'interface 14 graphique offerte à l'administrateur 12. L'interface 14 graphique comprend: *une barre 17 de menu contenant les menus classiques pour la manipulation fichiers, l'impression et l'accès aux caractéristiques de l'interface 8 ; eune barre 18 d'outils offrant des raccourcis aux menus *une fenetre 19 d'objets contenant les ressources 1 , les pare-feu 2 et des critères particuliers susceptibles d'être utilisés pour créer des règles de contrôle d'accès. Les ressources 13, pare-feu 2 et critères sont classés par onglets *une fenêtre 21 d'attributs présentant des caractéristiques des ressources 1 des pare-feu 2 et des critères sélectionnés dans la fenêtre 19 d'objets ainsi les règles de contrôle d'accès à différentes ressources 13 du système correspondant à l'élément sélectionné. caractéristiques sont classés onglets 22. eune fenetre 23 de règles permettant de composer des règles de contrôle d'acces. Les règles sont saisies dans un tableau de règles. Le tableau 24 de règles comprend une colonne 25 intitulée Name identifiant une règle déterminée, une colonne 26 intitulée Source désignant la ressource 13 d'origine, une colonne Destination désignant la ressource 13 de destination. Le tableau comprend de manière spécifique à l'invention une colonne 28 intitulée RZone désignant une restriction sur le chemin que suit la communication en question. La colonne RZone désigne une zone ou plusieurs zones (un groupe de zones) au travers desquelles la communication ne doit pas passer. Les interfaces réseau interdites des zones indiquées découlent. Dans la forme de réalisation illustrée sur la figure 1, la configuration de la commutation est réalisée de manière cohérente et centralisée à partir de la machine 11 de configuration centrale : la configuration de la commutation pourrait être réalisée au niveau des pare- , chacun d'entre eux disposant d'une interface graphique pour permettre configuration. Le procédé selon la présente invention est décrit dans ce qui suit manière genérale puis appliqué au dispositif illustré sur la figure 1. D'une manière générale, l'administrateur 12 définit une politique d'autorisation ou d'interdiction des accès en fonction de critères de filtrage. La politique d'autorisation ou d'interdiction se présente sous la forme ensemble règles de contrôle d'accès indiquant les différents profils trafic pour lesquels le pare-feu doit autoriser ou interdire le passage. Le procédé selon l'invention consiste à permettre à l'administrateur d'imposer restrictions relatives aux zones traversées et donc aux interfaces réseaux de sortie associées des pare-feu traversés pour le profil de trafic en question, sous forme d'attributs ajoutés aux règles de contrôle d'accès. L'attribut attaché à la règle est constitué par exemple par une zone un groupe de zones, soit par une liste d'interfaces 10 réseaux interdites autorisées. Pour un profil de trafic donné, l'administrateur définit non seulement le contrôle de l'accès, mais également la commutation au travers d'une ou des interfaces 10 réseaux de sortie autorisées ou interdites. la base des informations de définition de la politique de controle d'accès de contraintes sur les interfaces 10 réseaux de sortie, le pare- 2 autorise ou interdit le passage du trafic entre machines et/ou réseaux, mais également autorise ou refuse la transmission du trafic en fonction de l'interface réseau par lequel ledit trafic doit sortir du pare-feu, Le procédé selon l'invention consiste dans un premier temps, à déterminer, en fonction des règles de contrôle d'accès définies l'administrateur 12, si le trafic correspondant au profil de paquet en cours traitement autorisé entre une ressource d'origine et une ressource de destination. Si regle de contrôle d'accès n'autorise pas le trafic, trafic est rejeté et paquets sont détruits par le pare-feu sans être transferés vers la ressource destination. Si regle de contrôle d'accès autorise le trafic, le procédé analyse, dans un deuxième temps, les éventuels critères de restriction interfaces 10 de sortie. Si aucun critère de restriction des interfaces sortie n'est attaché à règle de contrôle d'accès qui régit l'acheminement du trafic en cours de traitement, le trafic est acheminé vers la ressource destination, sans controle supplémentaire. Si un critère de restriction des interfaces de sortie attaché à la règle de contrôle d'accès qui régit le profil de trafic en cours traitement, le procédé cherche dans un troisième temps à déterminer l'interface de sortie théorique laquelle le paquet concerné est émis par pare-feu. Pour cela, le procédé s'appuie sur la configuration de la commutation dans le système utilise les algorithmes de commutation standards. Lesdits algorithmes indiquent notamment à partir de l'adresse destination du paquet à traiter, l'interface réseau par laquelle le trafic est émis pour acheminement vers la ressource de destination. L'interface obtenue est appelée interface de sortie théorique . fois l'interface de sortie théorique déterminée, le procédé, dans un quatrieme temps, vérifie si l'interface de sortie théorique est conforme ou non aux critères de restriction d'interfaces réseaux attachés à la règle de contrôle d'accès en cours. Le procédé analyse si l'interface de sortie théorique fait partie de la liste des interfaces de sortie autorisées ou interdites pour le profil de trafic en cours de traitement. Si l'interface de sortie theorique appartient à ladite liste, le procédé achemine le trafic vers ressource de destination. Dans le cas contraire, le procédé détruit le paquet sans acheminement. dispositif 1 est susceptible d'utiliser des services simples courants tels que ou telnet mais également des services à propriétés étendues 1 que par exemple le service ftp filtrant. L'opération de filtrage définie 1 règle utilise le service adéquat. La dispositif et le procédé selon l'invention peuvent appliquer à la commutation des critères de niveau applicatif supplémentaires compte-tenu des services à propriétés étendues susceptibles d'être utilisés. procédé contrôle au niveau des pare-feu l'aiguillage du trafic, et par voie conséquence, le pilotage sur un réseau des communications en fonction critères supplémentaires tels que l'adresse appelante, l'adresse appelée, l'application appelée, l'utilisateur appelant, un type d'authentification, une période d'application (comme par exemple la date et l'heure l'accès), un niveau de journalisation et/ou une alerte constituée par une action particulière associée à un événement particulier. dispositif 1 permet à un administrateur de réseau de contrôler, d'imposer ou de limiter les chemins et les interfaces réseau par lesquels paquets TCP/IP peuvent sortir d'un pare-feu, en fonction desdits critères supplémentaires. Le pare-feu permet non seulement d'autoriser ou d'interdire les acces entre les machines et/ou les réseaux, mais également d'aiguiller le trafic. La description qui suit se rapporte au procédé selon la présente invention mis en place dans le dispositif illustré sur les figures 1 à 3. La figure 1 présente un exemple de situation dans laquelle un pare- possède plusieurs interfaces réseaux de sortie possibles pour l'acheminement du trafic. Plusieurs chemins sont possibles pour 1 acheminement du trafic émis depuis le sous-réseau 6 interne 15 vers le sous-réseau 6 interne 13. Le trafic peut en effet passer par le sous-reseau 9 liaison NW4-NVV3 ou par le sous-réseau 7 démilitarisé DMZ2. pare- NW4 offre pour ce trafic deux interfaces 10 réseau de sortie possibles : celle attachée à la zone contenant le sous-réseau de liaison NW4- et celle attachée à la zone contenant le sous-réseau démilitarisé DMZ2. On suppose que dans un premier exemple, l'administrateur autorise trafic à passer par n'importe quel chemin. Aucune restriction concernant l'interface de sortie n'est imposée. En revanche, dans un second exemple, l'administrateur souhaite interdire le passage du trafic par la zone contenant sous-réseau démilitarisé DMZ2 (par exemple pour éviter un transit * le reseau Internet ). Les figures 2 et 3 illustrent les règles réglementant les deux accès et la manière dont l'administrateur a la possibilité, au travers de l'interface graphique de la machine 11 de configuration centrale, de traiter cette situation. La colonne 28 RZone du tableau 23 de règles permet dans l'exemple des figures 2 et 3 de désigner une ou plusieurs zones interdites, soient les interfaces 10 réseaux associées interdites. Dans le premier exemple (figure 3), la règle surlignée dans le tableau de règles régissant l'autorisation du trafic ne comporte aucune restriction concernant l'interface de sortie. Quelle que soit la configuration et la decision du système de commutation, le pare-feu autorise l'acheminement trafic. En particulier, en cas de re-configuration de la commutation standard du système, l'interface réseau de sortie pourra être modifiée (statiquement ou dynamiquement) et le trafic pourra être acheminé. Dans le deuxième exemple (figure 2), la règle surlignée dans tableau 23 règles régissant l'autorisation du trafic comporte restriction l'interface 10 réseau de sortie, interdisant l'émission du trafic par la zone DMZ-Paris . La zone DMZ-Paris correspond à la zone DMZ2 de la figure 1. L'interface réseau associée à la zone DMZ-Paris est l'interface 29 connectant le pare-feu NVV4 au sous-réseau DMZ2. Dans ce cas, l'acheminement du trafic ne sera effectué que si la configuration du système de commutation ne désigne pas l'interface réseau 29 comme interface de sortie. En cas de re-configuration de la commutation standard du système, si l'interface réseau de sortie est modifiée (statiquement ou dynamiquement) et prend la valeur d'une interface réseau interdite, le trafic ne pourra être acheminé. Pour un trafic à destination de la zone contenant le sous-réseau interne 13, le procédé au moyen du moteur 15 de compilation interroge le système de commutation de la plate-forme pour connaître l'interface réseau de sortie théorique par laquelle il devrait acheminer le trafic. Si la configuration du système de commutation désigne l'interface 29 attachée au sous-réseau DMZ2 comme interface réseau, le procédé détecte, dans la configuration et les attributs de la règle de contrôle d'accès qu'il utilise, que cette interface réseau est interdite. Le procédé refuse l'accès le pare-feu concerné détruit les paquets sans acheminer le trafic. Si la configuration du système de routage désigne l'interface réseau attachée au sous-réseau de liaison NVV4-NVV3, le procédé au moyen moteur de compilation analyse ladite interface comme autorisée et procède à l'acheminement du trafic vers le sous-réseau interne au travers de ladite interface réseau, via le pare-feu NVV3. La présente invention concerne le procédé de configuration de pare- feu 2 dans le système 3 informatique comportant des objets caractérisé en ce qu'il contrôle la commutation des communications dans système 3 en imposant une ou plusieurs interfaces 10 réseau déterminées pour le passage d'une communication entre une ressource 13 d'origine et une ressource 13 de destination. procédé interdit une ou plusieurs zones 5 de cloisonnement, les interfaces associées par lesquelles le passage est imposé découlant. manière avantageuse, le procédé utilise des services à propriétés étendues pour permettre d'ajouter des critères de commutation applicatifs; supplémentaires. critères en fonction desquels le passage des communications est impose sont l'adresse appelante, l'adresse appelée, l'application appelée, l'utilisateur appelant, un type d'authentification, une période d'application (comme par exemple la date et l'heure de l'accès), un niveau de journalisation et/ou une alerte constituée par une action particulière associee à un événement particulier. procédé définit une politique de contrôle d'acces sous forme de règles contrôle d'accès attachées à des pare-feu et associe auxdites règles critères de restriction des interfaces 10 réseau. procédé détermine l'interface de sortie théorique selon un algorithme de commutation standard et vérifie si elle conforme aux restrictions imposées sur l'interface pour le passage des communications. Le procédé vérifie avant tout si la communication en cours traitement autorisée entre la ressource d'origine et la ressource destination. La presente invention concerne également le dispositif susceptible mettre en ceuvre le procédé décrit ci-dessus. La presente invention se rapporte au dispositif de configuration pare-feu 2 dans le système 3 informatique comprenant au moins une ressource caractérisé en ce qu'il comprend la machine 11 de configuration centrale comportant : # l'interface 4 graphique permettant de décrire le système 3, la politique de controle d'accès aux ressources 13 et les restrictions relatives aux interfaces 0 réseau de pare-feu ; # le moteur 5 de compilation qui traduit les informations saisies au moyen de l'interface 14 en règles de contrôle d'accès -, # le module 16 de téléchargement destiné à assurer le transfert des règles créées le moteur 15 vers les pare-feu appropriés. REVENDICATIONS 1. Procède de configuration de pare-feu (2) dans un système (3) informatique comportant des objets (4), les objets (4) pour lesquels une politique contrôle d'accès est mise en place étant appelés des ressources (13), caractérisé en ce qu'il contrôle la commutation des communications dans le système (3) en imposant une ou plusieurs interfaces 0) réseau déterminées pour le passage d'une communication entre une ressource (Il 3) d'origine et une ressource (Il 3) de destination. 2. Procédé selon la revendication 1, caractérisé en ce qu'il interdit une ou plusieurs zones (5) de cloisonnement, les interfaces associées par lesquelles passage est imposé en découlant. 3. Procède selon l'une des revendications 1 ou 2, caractérisé en ce qu'il utilise services à propriétés étendues pour permettre d'ajouter des critères commutation applicatifs supplémentaires. 4. Procède selon la revendication 3, caractérisé en ce que les critères en fonction desquels le passage des communications est impose sont l'adresse appelante, l'adresse appelée, l'application appelée, l'utilisateur appelant, un type d'authentification, une période d'application (comme exemple la date et l'heure de l'accès), un niveau de journalisation et/ou une alerte constituée par une action particulière associée à un événement particulier. 5. Procédé selon la revendication 1 à 4, caractérisé en ce définit une politique contrôle d'accès sous forme de règles de contrôle d'accès attachées a des pare-feu et associe auxdites règles critères de restriction des interfaces (10) réseau. Procédé selon l'une des revendications 1 à 5, caractérisé en ce qu'i détermine une interface de sortie théorique selon un algorithme commutation standard et vérifie si elle est conforme aux restricti imposées sur l'interface pour le passage des communications. Procédé selon l'une des revendications précédentes, caractérisé ce 'il vérifie avant tout si la communication en cours de traitement autorisée entre la ressource d'origine et la ressource de destination. Dispositif susceptible de mettre en #uvre le procédé selon l'une revendications 1 à 7. Dispositif de configuration de pare-feu (2) dans un système informatique comprenant au moins une ressource (13), caractérisé en ce 'il comprend une machine (11) de configuration centrale comportant : une interface (14) graphique permettant de décrire le système (3), la politique de contrôle d'accès aux ressources (13) et les restrictions relatives à des interfaces (10) réseau de pare-feu ; un moteur (15) de compilation qui traduit les informations saisies au moyen de l'interface (1 4) en règles de contrôle d'accès -, un module (16) de téléchargement destiné à assurer le transfert des règles créées par le moteur (15) vers les pare-feu appropriés.