Fonctions de Clavister Firewall


Pas de système d’exploitation

Clavister Firewall n’utilise pas de système d’exploitation. Ceci signifie que le danger que le pare-feu soit lui-même sujet aux attaques est presque inexistant ; puisque, tout simplement, il n’y a rien à attaquer. Ceci signifie également que la procédure d’installation est simple et rapide ; les systèmes d’exploitation sous-jacents ne nécessitent pas de "renforcement" de quelque manière que ce soit. Ceci élimine également le problème des mises à niveau de système d’exploitation ou des connexions qui peuvent perturber le fonctionnement du pare-feu.

Performances inégalées

L’absence de système d’exploitation permet à Clavister Firewall d’utiliser toute la capacité possible du matériel, ce qui en fait un des pare-feu les plus rapides disponibles sur le marché.

Stateful Inspection

Clavister Firewall utilise l’inspection dynamique des paquets ("stateful inspection") , qui permet au pare-feu de fonctionner rapidement et efficacement. La "stateful inspection" place moins de demandes sur la puissance de l’unité centrale que dans le cas de pare-feu proxy. Ceci fait plus que doubler les performances et exige des caractéristiques matérielles considérablement inférieures. La "stateful inspection" signifie également que le pare-feu est invisible pour le réseau protégé. Les hôtes protégés n’ont donc pas besoin d’être informés de la présence du pare-feu, car aucun paramètre de proxy n’est exigé. Ceci facilite la configuration de Clavister Firewall pour la gestion de nouveaux protocoles ; vous n’avez pas besoin d’un troisième fournisseur pour développer de nouveaux proxys pour de nouveaux protocoles.

64 interfaces séparées

Clavister Firewall version 7.0 prend en charge jusqu’à 64 adaptateurs réseau, p. ex. une connexion externe à l’Internet, une interface vers le réseau interne et un ou plusieurs réseaux séparés avec des serveurs protégés qui doivent être accessibles publiquement.

Modelage du trafic

Clavister Firewall contient un module avancé de modelage du trafic, qui peut être utilisé pour limiter, garantir ou gérer les priorités du trafic réseau passant par le pare-feu.

Grande disponibilité

Un système de pare-feu redondant peut être créé en ajoutant l’option de grande disponibilité (Clavister High Availability Option).

Configuration et commande à distance

Le procédé de configuration est conduit par l’intermédiaire d’une application Windows, Clavister Firewall Manager, dont la configuration est elle-même enregistrée dans une base de données compatible ODBC ou basée sur des fichiers. Afin d’augmenter la sécurité, les transferts vers Clavister Firewall utilisent le chiffrement 128-bits.

Les données de configuration sont ainsi enregistrées à deux endroits – le pare-feu lui-même et la base de données. Si, pour quelque raison, le matériel du pare-feu tombe en panne, toutes les données requises pour installer un nouveau pare-feu peuvent être trouvées dans la base de données, rendant cette tâche facile.

Filtres

Clavister Firewall fournit des filtres configurables pour :

• Les adresses sources et destinataires
• Les interfaces sources et destinataires
• Les adresses IP "spoofées"
• Le type de protocole IP
• Les numéros de ports TCP et UDP
• Les types de messages ICMP
• Les nouvelles connexions / connexions établies
• Les types d’options aussi bien dans l’IP que dans le TCP
• Les combinaisons d’indicateur dans l’IP et le TCP
• Fragments superposés et autres fragments illégaux
• ID VLAN

DMZ – (Demilitarized Zones) Zones Démilitarisées

Les serveurs accessibles au public peuvent être placés dans des Zones Démilitarisées, reliées par un adaptateur réseau séparé dans Clavister Firewall. Ceci fournit aux serveurs certaines mesures de protection, tout en protégeant le réseau interne. De cette façon, les serveurs accessibles au public ne peuvent pas être utilisés comme intermédiaires pour lancer une attaque contre le réseau interne. Avec Clavister Firewall, il est possible de créer plusieurs zones distinctes reliées par des interfaces de pare-feu séparées.

NAT – (Network Address Translation) Traduction d’adresse réseau Clavister Firewall fournit une véritable traduction dynamique d’adresse – souvent nommée "NAT Hide", "NAT Dynamic" ou"IP masquerading".

Les adresses IP sur les réseaux protégés sont cachées de l’extérieur ; tout le trafic sortant apparaît comme venant d’une seule adresse – l’adresse IP externe du pare-feu. Il est également possible d’indiquer quelle adresse les différents utilisateurs utiliseront comme leur adresse source.


SAT – (Static Address Translation) Traduction d’adresse statique SAT, la traduction d’adresse statique, également connue sous le nom de NAT statique, permet au pare-feu d’éditer une ou plusieurs adresses IP par l’intermédiaire d’un adaptateur réseau externe puis de transférer des données à d’autres adresses IP sur un réseau interne. Ce processus peut également faire une traduction des adresses qui ne sont pas éditées sur le pare-feu à condition que le trafic vers ces adresses soit conduit par le pare- feu. L’une des utilisations est de permettre aux serveurs internes avec des adresses privées d’être consultées depuis Internet ; une autre est de fournir une traduction d’adresse provisoire lorsqu’un hôte est déplacé.

Uniformité de paquet

Chaque paquet passant par le pare-feu est soumis à une série de tests structuraux concernant les tailles d’en-tête, les options, la fragmentation et les indicateurs. Ces tests protègent le réseau contre les piratages les plus répandus au niveau du transport :

"Denial of Service" (refus de service), par exemple WinNuke, Teardrop, Boink, Land, Jolt, Nestea et les variations de ceux-ci.

Conception symétrique

Clavister Firewall est complètement "symétrique". Ce qui signifie que le pare-feu ne présuppose pas que n’importe quelle interface soit reliée à un "intérieur", à un "extérieur" ou à toute autre chose. Ceci signifie qu’il peut être utilisé pour relier des organismes ou des services qui ne se font pas confiance, de la même manière qu’il peut être utilisé pour protéger une organisation contre Internet.

Cacher les informations

Un aspect important de la sécurité du réseau est de cacher autant d’informations que possible sur le réseau protégé.
La traduction d’adresse en est une facette, mais des tentatives doivent également être faites pour cacher les informations sur le système d’exploitation et les versions des logiciels utilisés. De cette façon, les intrus ne peuvent pas obtenir d’informations sur le type d’attaque efficace.

Il est important de noter que bien que cacher une telle information en soi n’assure aucune protection. Cela augmente cependant la quantité de travail que les intrus potentiels devront fournir pour atteindre leur but, ce qui augmente de façon significative leurs risques d’être découverts.

Clavister Firewall comporte une protection active pour "Operating System Fingerprinting" (l’empreinte digitale du système d’exploitation) et "Firewalking".

IPsec VPN

En ajoutant le module optionnel Clavister VPN, on transforme le pare-feu en une passerelle de sécurité VPN entièrement conforme aux standards IPsec et hautement performante. Toute la configuration est intégrée dans Clavister Firewall Manager, ce qui permet une administration transparente des connexions VPN et des politiques de pare-feu.