Nous avons audité plus de 400 configurations de pare-feu dans des organisations sud-africaines. Le pare-feu d'entreprise moyen comporte 847 règles. Parmi celles-ci, environ 23 % sont redondantes, 11 % sont masquées et au moins 4 % contiennent des instructions trop permissives « any-any » qui annulent effectivement l'objectif du pare-feu.
Par Neil Beulecke, Directeur Général — Layer7 Networking
Le problème de la prolifération des règles
Les règles de pare-feu s'accumulent comme de la roche sédimentaire. Chaque projet, chaque déploiement de fournisseur, chaque changement d'urgence ajoute des règles. Presque personne ne les supprime. Après cinq ans, un pare-feu d'entreprise typique porte des centaines de règles que personne ne comprend entièrement, et aucune personne ne peut expliquer la justification métier de chacune.
Ce n'est pas une préoccupation théorique. Dans nos évaluations d'Assurance et Conformité de Pare-feu (FAC), nous trouvons régulièrement :
- Règles masquées — des règles qui ne correspondent jamais au trafic car une règle plus large au-dessus capture tout en premier. Elles indiquent que l'auteur de la règle ne comprenait pas la politique existante. C'est du bruit, mais c'est aussi la preuve d'une mauvaise gestion des changements.
- Règles redondantes — plusieurs règles qui produisent le même effet. Elles augmentent la charge de traitement et compliquent les audits.
- Règles trop permissives — la classique règle « toute source, toute destination, tout service, autoriser » ajoutée lors d'une session de dépannage à 2 heures du matin et jamais supprimée. Nous avons trouvé une organisation avec 17 de ces règles sur ses pare-feux de production.
- Règles référençant des hôtes décommissionnés — des serveurs retirés il y a des années mais ayant encore des règles de pare-feu autorisant le trafic vers leurs anciennes adresses IP, qui peuvent maintenant être attribuées à d'autres systèmes.
Why This Matters
A firewall with 800+ unreviewed rules isn't a security control — it's a compliance checkbox. Attackers don't need to bypass your firewall if your rules already permit the traffic they need. Lateral movement, command-and-control callbacks, data exfiltration — if your rules are permissive enough, the firewall logs the traffic and waves it through.
We've seen breaches where the forensic investigation revealed that every single step of the kill chain traversed the firewall legitimately — because the rules allowed it.
The Review Cadence Problem
Most organisations we work with have no formal firewall rule review process. Those that do typically review annually — which is insufficient given the pace of infrastructure change. Best practice is quarterly review of all rules, with monthly review of any rule flagged as high-risk (broad permissions, internet-facing, or critical asset access).
The challenge is that manual rule review doesn't scale. Reading 800 rules line by line is tedious, error-prone, and requires deep knowledge of both the network topology and the business context for each rule. This is why automated policy analysis tools exist — and why they should be part of every organisation's security toolkit.
Layer7's FAC Approach
Our Firewall Assurance and Compliance service takes a structured approach:
- Audit de base. Nous ingérons l'ensemble complet des règles et exécutons une analyse automatisée pour identifier les règles masquées, redondantes, trop permissives et orphelines. Cela réduit généralement l'ensemble des règles de 20 à 30 % dès la première passe.
- Cartographie du contexte métier. Nous travaillons avec les équipes réseau et applications du client pour associer les règles restantes à des justifications métier. Toute règle qui ne peut être justifiée est signalée pour suppression.
- Priorisation basée sur le risque. Toutes les violations de règles ne sont pas égales. Une règle any-any sur un VLAN de gestion interne est moins risquée qu'une sur le périmètre exposé à internet. Nous notons et priorisons les constats en conséquence.
- Gouvernance continue. Nous établissons un processus de gestion des changements pour les règles de pare-feu — aucune règle n'est ajoutée sans justification métier documentée, date d'expiration et propriétaire. Les règles sont révisées selon une cadence définie.
- Rapports et conformité. Les rapports mensuels présentent les métriques d'hygiène des règles, les tendances de changement et la posture de conformité. Cela fournit aux RSSI les données nécessaires pour les rapports au conseil et la préparation aux audits.
Auto-évaluation rapide
Répondez à ces cinq questions sur votre parc de pare-feux :
- Quand chaque règle a-t-elle été révisée et justifiée pour la dernière fois ?
- Combien de règles contiennent « any » dans le champ source, destination ou service ?
- Avez-vous un processus documenté pour le retrait des règles ?
- Pouvez-vous identifier quelles règles sont associées à des systèmes décommissionnés ?
- Chaque règle a-t-elle un propriétaire désigné et une justification métier ?
Si vous avez répondu « non » ou « je ne sais pas » à trois questions ou plus, vos règles de pare-feu sont probablement votre plus grand risque non géré. La bonne nouvelle : c'est entièrement corrigible et le ROI est mesurable.
Le service d'Assurance et Conformité de Pare-feu de Layer7 Networking aide les organisations sud-africaines à reprendre le contrôle de leurs politiques de pare-feu depuis 2003. Contactez-nous pour une évaluation initiale gratuite.