Firewall XP

"tibo" <bartol_78@yahoo.com> wrote in message
news:17ee0675.0408020000.32af5620@posting.google.com...

Bonjour.

Je m'interroge sur la fiabilité du firewall XP.
J'ai pas trouvé grand chose sur les archives du forum...

A ma connaissance, vous ne trouverez pas grand chose sur la fiabilité du
pare feu.

Apparement, le firewall XP est stateful, contrairement au firewall
2000.

Windows 2000 ne contient pas de pare feu intégré. Eventuellement, des
filtres IPSec peuvent être mis en place, cela permet de spécifier quels sont
les protocoles et les directions autorisées. Le pare feu de Windows XP est
effectivement stateful.

Est-ce que, d'après vous, il assez bon pour bloquer toutes les
tentatives d'intrusions, les troyens, vers, etc. venant du net sachant
que la machine sur laquelle il sera activé ne contiendra qu'une appli
de QoS (donc quelques ports ouverts)?

L'ancien pare feu (Internet Connection Firewall) comme le nouveau (Windows
Firewall) ne bloque que le traffic entrant. Tout le traffic sortant peut
sortir sans pouvoir être bloqué, par contre il peut être enregistré dans le
journal.

Je me pose aussi la question sous l'angle des failles de sécurité (en
plus de l'aspect stateful). Est-ce que le firewall XP contient des
failles qui le rendraient sensible à certains exploits ?

Si on considère le "by design" du pare feu : il ne comporte pas de faille de
sécurité. Maintenant, il ne filtre pas les sorties : à partir du moment où
un code malicieu est exécuté sur la machine ce code peut faire ce qu'il
souhaite. Notez que ce programme ne pourra pas ouvrir de port sur
l'interface externe (Windows Firewall affiche une boîte de dialogue
demandant si vous souhaitez autoriser ce programme à ouvrir le port :
Débloquer, Me demander ultérieurement ou Maintenir le blocage). Pour filtrer
le traffic sortant vous pouvez utiliser un logiciel tiers ou les filtres
IPSec (édition Pro).

Finalement, existe-t-il un soft comme packetfilter, qui permet de
contrôler le firewall XP (plus exactement le filtre de paquets) sans
passer par l'interface XP ?

Avec le SP2, le pare feu de Windows XP est entièrement configurable :
=> par l'interface graphique
=> Net shell et le contexte firewall (pour IPv4 et IPv6)
=> par GPO au niveau d'AD
=> par le fichier de configuration pour le déploiement du SP2 ou en post
installation SP2.

Enfin, notez que si le pare feu est désactivé (manuellement ou par un
programme) le centre de sécurité apparaît pour vous notifier la
désactivation du pare feu (tout comme pour les anti-virus et les mises à
jour automatiques).

Cordialement

--
Thierry MILLE
www.lab-os.com

Thierry MILLE <msnews@lab-os.com> wrote in message news:<4110a00e$0$15269$636a15ce@news.free.fr>...

"tibo" <bartol_78@yahoo.com> wrote in message
news:17ee0675.0408020000.32af5620@posting.google.com...

Windows 2000 ne contient pas de pare feu intégré. Eventuellement, des
filtres IPSec peuvent être mis en place, cela permet de spécifier quels sont
les protocoles et les directions autorisées. Le pare feu de Windows XP est
effectivement stateful.

J'avais compris que Windows 2000 avait aussi un firewall, sur la base
d'un autre fil de discussion dans ce même forum :

Topic : "Firewall integre a Windows 2000 (was: Proces a Microsoft)",
voir ma réponse du 28 juillet 2003

(http://groups.google.fr/groups?dq=&hl=fr&lr=&ie=UTF-8&threadmee0675.0407280120.72e09d92%40posting.google.com&prev=/groups%3Fhl%3Dfr%26lr%3D%26ie%3DUTF-8%26group%3Dfr.comp.securite)

Ainsi que d'après ce site, qui donne l'impression que 2000, XP et 2003
Server ont le même firewall :

http://www.hsc.fr/ressources/outils/pktfilter/index.html.fr

L'ancien pare feu (Internet Connection Firewall) comme le nouveau (Windows
Firewall) ne bloque que le traffic entrant. Tout le traffic sortant peut
sortir sans pouvoir être bloqué, par contre il peut être enregistré dans le
journal.

Apparement, avec l'outil proposé sur le site plus haut, on peut aussi
filtrer les flux sortant sur une interface. Donc ce serait possible au
niveau du "pilote de filtrage IP" de Windows, mais pas en passant par
l'interface graphique standard de Windows... (ils ne précisent pas si
c'est SP1 ICF ou SP2 Windows Firewall).

Si on considère le "by design" du pare feu : il ne comporte pas de
faille de

sécurité. Maintenant, il ne filtre pas les sorties : à partir du moment où
un code malicieu est exécuté sur la machine ce code peut faire ce qu'il
souhaite. Notez que ce programme ne pourra pas ouvrir de port sur
l'interface externe (Windows Firewall affiche une boîte de dialogue
demandant si vous souhaitez autoriser ce programme à ouvrir le port :
Débloquer, Me demander ultérieurement ou Maintenir le blocage).

C'est une fonctionnalité du Windows Firewall sur XP SP2 ? Il ne me
semble pas l'avoir vue avec l'ICF sur XP SP1.

Pour filtrer
le traffic sortant vous pouvez utiliser un logiciel tiers ou les filtres
IPSec (édition Pro).

N'y a-t-il pas un risque de conflit entre les deux ? (Vous allez me
dire que non, si je ne fais que du filtrage entrant avec l'ICF, et que
du filtrage sortant avec un logiciel tiers).

Finalement, existe-t-il un soft comme packetfilter, qui permet de
contrôler le firewall XP (plus exactement le filtre de paquets) sans
passer par l'interface XP ?

Avec le SP2, le pare feu de Windows XP est entièrement configurable :
=> par l'interface graphique
=> Net shell et le contexte firewall (pour IPv4 et IPv6)
=> par GPO au niveau d'AD
=> par le fichier de configuration pour le déploiement du SP2 ou en post
installation SP2.

Mon problème, c'est que je dois sécuriser des machines faisant des
tests de QoS en XP SP1 où le déploiement du SP2 n'est pas possible.

C'est pour ça que je recherche une solution (Windows ou autres)
intégrant ces caractéristiques sur XP SP1 :
- Stateful
- Filtrage entrant et filtrage sortant
- Filtrage par interface.

Merci.

tibo <bartol_78@yahoo.com> wrote:

Ainsi que d'après ce site, qui donne l'impression que 2000, XP et 2003
Server ont le même firewall :

http://www.hsc.fr/ressources/outils/pktfilter/index.html.fr

Il y a deux firewalls dans Windows XP.

Celui qui a été écrit pour trier les paquets pour IPSEC à partir de
Windows 2000: c'est celui la qui est paramétré par pktfilter. Ce filtre
n'est pas à états.

L'autre, celui que tout le monde voit, l'est (enfin c'est un bien grand
mot parce que visiblement quand on émet un paquet vers le port 53, il
accepte les réponses depuis n'importe quel machine et n'importe quel
port).

"tibo" <bartol_78@yahoo.com> a écrit dans le message de

Mon problème, c'est que je dois sécuriser des machines faisant des
tests de QoS en XP SP1 où le déploiement du SP2 n'est pas possible.

C'est pour ça que je recherche une solution (Windows ou autres)
intégrant ces caractéristiques sur XP SP1 :
- Stateful
- Filtrage entrant et filtrage sortant
- Filtrage par interface.

Correctif. Après vérif auprès de l'admin. des machines, il apparaît que le
déploiement de la SP2 est envisageable.

"tibo" <bartol_78@yahoo.com> wrote in message
news:17ee0675.0408040712.61c7629@posting.google.com...

Thierry MILLE <msnews@lab-os.com> wrote in message
news:<4110a00e$0$15269$636a15ce@news.free.fr>...

"tibo" <bartol_78@yahoo.com> wrote in message
news:17ee0675.0408020000.32af5620@posting.google.com...

Windows 2000 ne contient pas de pare feu intégré. Eventuellement, des
filtres IPSec peuvent être mis en place, cela permet de spécifier quels
sont
les protocoles et les directions autorisées. Le pare feu de Windows XP
est
effectivement stateful.

J'avais compris que Windows 2000 avait aussi un firewall, sur la base
d'un autre fil de discussion dans ce même forum :

Oui j'ai pu lire ce fil, néanmoins concernant les produits Microsoft, le
mieux est de se référer aux documentations en provenant, par exemple, la
fiche
http://support.microsoft.com/?id1832

On peut y lire :
"SUMMARY
The Internet Protocol Security (IPsec) feature in Windows 2000, Windows XP
and Windows Server 2003 was not designed as a full-featured host-based
firewall. It was designed to provide basic permit and block filtering by
using address, protocol and port information in network packets. IPsec was
also designed as an administrative tool to enhance the security of
communications in a way that is transparent to the programs. Because of
this, it provides traffic filtering that is necessary to negotiate security
for IPsec transport mode or IPsec tunnel mode, primarily for intranet
environments where machine trust was available from the Kerberos service or
for specific paths across the Internet where public key infrastructure (PKI)
digital certificates can be used.

C'est le premier exemple que j'ai trouvé, il en existe d'autres comme le
challenge OpenHack IV :
www.microsoft.com/france/securite/conference/pg05mai.asp (diapo : Composants
mis en jeux).

A ma connaissance, Microsoft n'a jamais vendu Windows 2000 en indiquant
qu'il y avait un pare feu intégré, mais un filtre de paquets (qui existait
déjà sous NT4 d'ailleurs).

Par contre pour Windows XP et 2003 : oui, il y a un pare feu ne filtrant que
le traffic entrant.

Ainsi que d'après ce site, qui donne l'impression que 2000, XP et 2003
Server ont le même firewall :

http://www.hsc.fr/ressources/outils/pktfilter/index.html.fr

Jean Baptiste Marchand qui était également speaker aux journées de la
sécurité en mai dernier au CNIT n'emploie pas le mot firewall dans son
document à propos de son outil (j'ai juste réalisé une recherche avec AR sur
le mot firewall).

L'ancien pare feu (Internet Connection Firewall) comme le nouveau
(Windows
Firewall) ne bloque que le traffic entrant. Tout le traffic sortant peut
sortir sans pouvoir être bloqué, par contre il peut être enregistré dans
le
journal.

Apparement, avec l'outil proposé sur le site plus haut, on peut aussi
filtrer les flux sortant sur une interface. Donc ce serait possible au
niveau du "pilote de filtrage IP" de Windows, mais pas en passant par
l'interface graphique standard de Windows... (ils ne précisent pas si
c'est SP1 ICF ou SP2 Windows Firewall).

Notez que ce programme ne pourra pas ouvrir de port sur
l'interface externe (Windows Firewall affiche une boîte de dialogue
demandant si vous souhaitez autoriser ce programme à ouvrir le port :
Débloquer, Me demander ultérieurement ou Maintenir le blocage).

C'est une fonctionnalité du Windows Firewall sur XP SP2 ? Il ne me
semble pas l'avoir vue avec l'ICF sur XP SP1.

C'est effectivement une nouvelle fonctionnalité du SP2, avec ICF le port
n'était pas ouvert (ma grand mère avait du mal à faire fonctionner
Netmeeting ;-)).

Pour filtrer
le traffic sortant vous pouvez utiliser un logiciel tiers ou les filtres
IPSec (édition Pro).

N'y a-t-il pas un risque de conflit entre les deux ? (Vous allez me
dire que non, si je ne fais que du filtrage entrant avec l'ICF, et que
du filtrage sortant avec un logiciel tiers).

Il est déconseillé d'utiliser deux logiciels faisant office de pare feu sur
une même machine. Maintenant avec Windows Firewall cela devrait être mieux
géré (pas écrit supporté).

Finalement, existe-t-il un soft comme packetfilter, qui permet de
contrôler le firewall XP (plus exactement le filtre de paquets) sans
passer par l'interface XP ?

L'outil de configuration développé par HSC ne se base pas sur le pare feu de
Windows XP.

Avec le SP2, le pare feu de Windows XP est entièrement configurable :
=> par l'interface graphique
=> Net shell et le contexte firewall (pour IPv4 et IPv6)
=> par GPO au niveau d'AD
=> par le fichier de configuration pour le déploiement du SP2 ou en post
installation SP2.

Mon problème, c'est que je dois sécuriser des machines faisant des
tests de QoS en XP SP1 où le déploiement du SP2 n'est pas possible.

Le SP2 n'apporte que des améliorations en matière de sécurité. Il existera
certainement des failles trouvées utlérieurement, mais cela devrait faire
moins mal que sur les OS actuellement commercialisés par MS (pare feu activé
sur toutes les interfaces par défaut, encouragement à utiliser les mises à
jour automatique et un AV (à jour), réduction de la surface d'attaque de
certains composants, ...).

C'est pour ça que je recherche une solution (Windows ou autres)
intégrant ces caractéristiques sur XP SP1 :
- Stateful
=> Oui

- Filtrage entrant et filtrage sortant
=> ICF et Windows Firewall ne font pas de filtrage sortant (by design).

- Filtrage par interface.
=> Oui

Le pare feu de Windows XP est très bien à condition de contrôler quelles
sont les applications qui sont exécutées sur l'hôte (aussi bien processus
serveurs que clients).

Cordialement

--
Thierry MILLE
www.lab-os.com

"tibo" <bartol_78@yahoo.com> wrote in message
news:17ee0675.0408040712.61c7629@posting.google.com...

Je reprend le message sans le résumé en anglais ;-))

Windows 2000 ne contient pas de pare feu intégré. Eventuellement, des
filtres IPSec peuvent être mis en place, cela permet de spécifier quels
sont
les protocoles et les directions autorisées. Le pare feu de Windows XP
est
effectivement stateful.

J'avais compris que Windows 2000 avait aussi un firewall, sur la base
d'un autre fil de discussion dans ce même forum :

Oui j'ai pu lire ce fil, néanmoins concernant les produits Microsoft, le
mieux est de se référer aux documentations en provenant, par exemple, la
fiche
http://support.microsoft.com/?id1832

Lisez le résumé (supprimé par rapport à la modération de ce groupe de
discussion), et le reste si cela vous dit.

C'est le premier exemple que j'ai trouvé, il en existe d'autres comme le
challenge OpenHack IV :
www.microsoft.com/france/securite/conference/pg05mai.asp (diapo : Composants
mis en jeux).

A ma connaissance, Microsoft n'a jamais vendu Windows 2000 en indiquant
qu'il y avait un pare feu intégré, mais un filtre de paquets (qui existait
déjà sous NT4 d'ailleurs).

Par contre pour Windows XP et 2003 : oui, il y a un pare feu ne filtrant que
le traffic entrant.

Ainsi que d'après ce site, qui donne l'impression que 2000, XP et 2003
Server ont le même firewall :

http://www.hsc.fr/ressources/outils/pktfilter/index.html.fr

Jean Baptiste Marchand qui était également speaker aux journées de la
sécurité en mai dernier au CNIT n'emploie pas le mot firewall dans son
document à propos de son outil (j'ai juste réalisé une recherche avec AR sur
le mot firewall).

L'ancien pare feu (Internet Connection Firewall) comme le nouveau
(Windows
Firewall) ne bloque que le traffic entrant. Tout le traffic sortant peut
sortir sans pouvoir être bloqué, par contre il peut être enregistré dans
le
journal.

Apparement, avec l'outil proposé sur le site plus haut, on peut aussi
filtrer les flux sortant sur une interface. Donc ce serait possible au
niveau du "pilote de filtrage IP" de Windows, mais pas en passant par
l'interface graphique standard de Windows... (ils ne précisent pas si
c'est SP1 ICF ou SP2 Windows Firewall).

Notez que ce programme ne pourra pas ouvrir de port sur
l'interface externe (Windows Firewall affiche une boîte de dialogue
demandant si vous souhaitez autoriser ce programme à ouvrir le port :
Débloquer, Me demander ultérieurement ou Maintenir le blocage).

C'est une fonctionnalité du Windows Firewall sur XP SP2 ? Il ne me
semble pas l'avoir vue avec l'ICF sur XP SP1.

C'est effectivement une nouvelle fonctionnalité du SP2, avec ICF le port
n'était pas ouvert (ma grand mère avait du mal à faire fonctionner
Netmeeting ;-)).

Pour filtrer
le traffic sortant vous pouvez utiliser un logiciel tiers ou les filtres
IPSec (édition Pro).

N'y a-t-il pas un risque de conflit entre les deux ? (Vous allez me
dire que non, si je ne fais que du filtrage entrant avec l'ICF, et que
du filtrage sortant avec un logiciel tiers).

Il est déconseillé d'utiliser deux logiciels faisant office de pare feu sur
une même machine. Maintenant avec Windows Firewall cela devrait être mieux
géré (pas écrit supporté).

Finalement, existe-t-il un soft comme packetfilter, qui permet de
contrôler le firewall XP (plus exactement le filtre de paquets) sans
passer par l'interface XP ?

L'outil de configuration développé par HSC ne se base pas sur le pare feu de
Windows XP.

Avec le SP2, le pare feu de Windows XP est entièrement configurable :
=> par l'interface graphique
=> Net shell et le contexte firewall (pour IPv4 et IPv6)
=> par GPO au niveau d'AD
=> par le fichier de configuration pour le déploiement du SP2 ou en post
installation SP2.

Mon problème, c'est que je dois sécuriser des machines faisant des
tests de QoS en XP SP1 où le déploiement du SP2 n'est pas possible.

Le SP2 n'apporte que des améliorations en matière de sécurité. Il existera
certainement des failles trouvées utlérieurement, mais cela devrait faire
moins mal que sur les OS actuellement commercialisés par MS (pare feu activé
sur toutes les interfaces par défaut, encouragement à utiliser les mises à
jour automatique et un AV (à jour), réduction de la surface d'attaque de
certains composants, ...).

C'est pour ça que je recherche une solution (Windows ou autres)
intégrant ces caractéristiques sur XP SP1 :
- Stateful
=> Oui

- Filtrage entrant et filtrage sortant
=> ICF et Windows Firewall ne font pas de filtrage sortant (by design).

- Filtrage par interface.
=> Oui

Le pare feu de Windows XP est très bien à condition de contrôler quelles
sont les applications qui sont exécutées sur l'hôte (aussi bien processus
serveurs que clients).

Cordialement

--
Thierry MILLE
www.lab-os.com
PS : Je vous avais répondu hier soir, il semble que l'équipe de modération
n'a pas approuvé le message (il comportait un court extrait en anglais).