Qu’est-ce qu’un Firewall-as-a-Service (FWaaS) ?

Le Firewall-as-a-Service est un pare-feu informatique délivré sous forme de service cloud

Le Firewall-as-a-Service (FWaaS) est un pare‑feu informatique hébergé dans le cloud, délivré sous forme d’instance, au même titre qu’un service cloud traditionnel.

Il forme une barrière à l’entrée du réseau d’entreprise, protégeant chacun de ses sites physiques (bureaux, magasins, agences) mais aussi ses applications hébergées en cloud. Sa fonction principale est d’empêcher les accès non autorisés, de bloquer les menaces en temps réel et de détecter les cyberattaques (voir plus bas) grâce à une inspection de contenu approfondie.

Il rassemble ainsi des fonctionnalités comme le filtrage Web (blocage des sites & applications dangereuses par leurs urls, DNS ou signature applicative), un système de prévention des intrusions (l’IPS visant à bloquer les fichiers intrusifs comme les ransomware et chevaux de troie) en temps réel et l’inspection approfondie des paquets (DPI) dont le trafic chiffré SSL.

Quelle différence entre le FWaaS et le NGFW ?

En dépit de leurs fonctionnalités avancées partagées, le FWaaS (Firewall-as-a-Service) se distingue fondamentalement d’un pare-feu de nouvelle génération (NGFW) par sa méthode de déploiement et de gestion.

Alors qu’un NGFW traditionnel utilise des appliances physiques ou logiciels installés sur site, le FWaaS s’appuie sur une infrastructure cloud pour gérer la sécurité de votre réseau.

Le Firewall-as-a-Service permet ainsi aux administrateurs de contrôler les règles de filtrages et d’assigner de manière homogène les politiques de sécurité, à partir d’un seul emplacement. Les règles s’appliquent ainsi uniformément au travers du SI, à chaque plateforme, application ou utilisateur (sans restriction sur la localisation géographique).

Pour une entreprise composée de plusieurs succursales avec des collaborateurs à distance, le Firewall-as-a-Service garantit une application cohérente des politiques de sécurité. Surtout, le FWaaS offre un véritable confort aux équipes IT. Avec un modèle cloud, pas de firewall physique à installer ou maintenir sur chaque site. Un soulagement pour vos équipes !

Avec un forte capacité d’adaptation à l’infrastructure existante de l’entreprise, le Firewall-as-a-Service s’intègre logiquement à des stratégies de cloud hybride ou à des architectures réseaux basées sur le cloud comme SD-WAN ou SASE. Aussi, l’ajout de nouveaux sites ou de nouvelles VM à protéger n’entraîne aucun upgrade d’infrastructure.

Fonctionnement général du FWaaS

Le FWaaS inspecte le trafic entrant et sortant d’un réseau informatique, détecte et traite les potentielles menaces. Il agît à l’image d’un proxy de sécurité, distribué dans l’infrastructure.

Avant d’être routé vers leurs destinations finales, les paquets de données transitant par le réseau livrent des informations quant à leur origine, le chemin programmé vers le point de destination et d’autres éléments pouvant révéler un caractère malveillant.

Pour exemple, des sites de destinations sont référencés dans le firewall comme dangereux, illégaux ou litigieux (pornographie, jeux d’argent, trafic d’armes…). Lorsqu’un utilisateur tente de s’y connecter, il peut s’en voir bloquer l’accès. Dans le sens entrant, certaines IP connues comme malveillantes peuvent être bloquées par défaut. Un utilisateur peut aussi choisir d’exclure le trafic en provenance de certains pays ou régions.

Par ailleurs, le Firewall analyse chaque paquet pour reconnaître des “signatures”, c’est-à-dire des fichiers ou applications, référencées comme malveillantes. L’éditeur de firewall tient donc à jour une liste de millions de “signatures” référencées par leur niveau de fiabilité / dangerosité.

La qualité d’un fournisseur est donc mesurée à la profondeur de sa base de signature et à sa réactivité en cas de nouvelle menace. La notion de “Zero-day threat” traduit ainsi le premier jour d’identification d’une nouvelle menace. Le fournisseur doit être réactif sur l’intégration de ces nouvelles menaces.

Enfin, le Firewall permet la création de tunnels IPSec ou VPN SSL, pour relier des utilisateurs ou des sites distants de manière sécurisée. Un réseau privé d’entreprise est ainsi créé et tous les utilisateurs bénéficient du même niveau de sécurité, où qu’ils se trouvent.

Là où le Firewall-as-a-Service innove, réside dans sa gestion centralisée et unifiée des politiques de sécurité. On peut dès lors décider quand, où et comment déployer des protections en fonction des caractéristiques de l’infrastructure et des ressources à protéger.

Articulation et mécanique de fonctionnement du Firewall-as-a-Service

1. Connexion via tunnels sécurisés (IPsec, SSL)
   Les sites distants, les utilisateurs nomades ou les ressources cloud sont connectés à la plateforme FWaaS via des tunnels chiffrés (tunnel VPN), permettant de garantir l’intégrité et la confidentialité du trafic en transit dans le système.
2. Inspection des flux réseaux et des paquets de données
   Le FWaaS analyse le trafic entrant et sortant en réalisant une inspection approfondie des paquets (DPI) et ceci depuis l’infrastructure cloud opérée par le fournisseur. Les paquets sont redirigés vers un point de présence (PoP), site physique ou datacenter, mis en place par le fournisseur réseau ou cloud, où pourront s’appliquer les politiques de sécurité. Après déchiffrement, le trafic sera rechiffré pour poursuivre son chemin dans le réseau.
3. Politique de sécurité centralisée
   A chaque point de présence, s’appliquent l’ensemble des règles de filtrage, de blocage ou de prévention des intrusions. Celles-ci sont définies de façon centralisée, par la DSI de l’entreprise. Cela permet notamment la reconnaissance et la mise à jour des signatures des cybermenaces potentielles, la détection des anomalies de trafic, etc. Cette gestion centralisée évite ainsi une configuration manuelle firewall par firewall, que l’on retrouve notamment avec l’utilisation de NGFW.
4. Scalabilité et haute disponibilité
   La particularité du FWaaS, de par son architecture cloud native, est qu’il bénéficie d’une répartition des charges réseaux et d’une élasticité de sa capacité (CPV/RAM). Cela permet d’absorber automatiquement une montée en charge, d’offrir une haute disponibilité des réseaux et de bénéficier d’une tolérance aux pannes intégrées. Ainsi, si un centre de données tombe en panne, le trafic va pouvoir basculer automatiquement vers un autre site pour être analysé.

Firewall en entreprise, le maillon central de la sécurité informatique

Firewall-as-a-Service : une protection élargie face aux cyberattaques critiques

Avec l’utilisation croissante des services cloud et des applications distribuées en entreprise, le FireWall-as-a-Service offre la flexibilité, l’évolutivité et la gestion centralisée qui manquait jusqu’ici au NGFW.

Dans une utilisation avancée, il permet de protéger les données et les actifs numériques de l’entreprise contre une large diversité de menaces émergentes, tout en garantissant une sécurité homogène dans chaque couche de l’infrastructure.

Voici les attaques cyber les plus communes, mais aussi les plus critiques, face auxquelles un FWaaS peut protéger votre entreprise.

Plus bas, vous trouverez un tableau qui liste les mesures de protection déployées par un Firewall-as-a-Service, par type d’attaque.

Réponses et mesures de protection du FWaaS pour chaque type de cyberattaque

Télécharger le tableau sur les mesures de protection du FWaaS au format markdown (.md)