5 failles de configuration firewall qu'on trouve dans chaque audit

Les firewalls sont configurés, mais sont-ils sécurisés ?

Un firewall mal configuré donne une fausse impression de sécurité. Lors des audits Cenumbra, nous trouvons systématiquement les mêmes erreurs de configuration, quel que soit le constructeur (Palo Alto, Fortinet, Cisco, Check Point...).

Voici les 5 failles les plus fréquentes.

1. Règles "any-any" oubliées

Le problème

Des règles trop permissives (source: any, destination: any, service: any, action: allow) sont souvent créées "temporairement" lors de la mise en place d'une application ou d'un test. Elles ne sont jamais supprimées.

L'impact

Un attaquant qui compromet un poste interne peut atteindre n'importe quelle ressource sans restriction. Le firewall ne filtre rien.

La solution

• Auditez régulièrement les règles de votre firewall
• Supprimez toute règle avec "any" en source ET destination ET service
• Mettez en place une politique de revue mensuelle des règles
• Utilisez les outils d'analyse de règles intégrés (Policy Optimizer sur Palo Alto, par exemple)

2. Pas de segmentation réseau

Le problème

L'ensemble du réseau interne est sur un même segment (ou VLAN) sans filtrage inter-zones. Serveurs, postes utilisateurs, imprimantes, IoT... tout communique librement.

L'impact

Un ransomware qui infecte un poste peut se propager à l'ensemble du SI en quelques minutes. C'est le scénario classique des attaques de type "mouvement latéral".

La solution

• Segmentez par zones : serveurs, postes, DMZ, IoT, management
• Filtrez le trafic inter-zones avec des règles strictes
• Appliquez le principe du moindre privilège : chaque zone ne peut accéder qu'aux ressources nécessaires
• Isolez les systèmes critiques (Active Directory, sauvegardes)

3. Logs non collectés ou non analysés

Le problème

Le firewall génère des logs, mais personne ne les regarde. Soit les logs ne sont pas envoyés vers un SIEM, soit le volume est trop important et les alertes sont ignorées.

L'impact

Une attaque peut passer inaperçue pendant des semaines ou des mois. Le temps moyen de détection d'une compromission est de 200 jours sans supervision active.

La solution

• Envoyez les logs firewall vers un SIEM (Splunk, Sentinel, Elastic...)
• Créez des règles de détection sur les événements critiques : connexions refusées en masse, trafic sortant anormal, accès à des ports inhabituels
• Mettez en place un SOC (interne ou externalisé via Cenumbra) pour analyser les alertes
• Activez les logs sur toutes les règles, y compris les règles "deny"

4. Firmware obsolète

Le problème

Le firmware du firewall n'est pas à jour. Les mises à jour de sécurité ne sont pas appliquées, souvent par peur de casser la production.

L'impact

Des vulnérabilités connues (CVE) permettent à un attaquant de compromettre le firewall lui-même. En 2024-2025, plusieurs vulnérabilités critiques sur Palo Alto (CVE-2024-3400) et Fortinet (CVE-2024-47575) ont été activement exploitées.

La solution

• Maintenez un inventaire des versions firmware
• Abonnez-vous aux bulletins de sécurité de votre constructeur
• Planifiez des fenêtres de maintenance régulières
• Testez les mises à jour en environnement de pré-production quand c'est possible
• En cas de CVE critique : patchez en urgence, pas dans 3 mois

5. Pas de MFA sur l'interface d'administration

Le problème

L'accès à l'interface d'administration du firewall est protégé par un simple couple login/mot de passe, sans authentification multi-facteurs (MFA).

L'impact

Un attaquant qui récupère les identifiants (phishing, credential stuffing, brute force) prend le contrôle total du firewall. Il peut modifier les règles, créer des tunnels VPN, désactiver la supervision.

La solution

• Activez le MFA sur toutes les interfaces d'administration
• Restreignez l'accès d'administration à un réseau dédié (management VLAN)
• Utilisez des comptes nominatifs (pas de compte "admin" partagé)
• Mettez en place des alertes sur les connexions admin

Vérifiez votre configuration avec Cenumbra

Ces 5 failles sont présentes dans la majorité des infrastructures que Cenumbra audite. La bonne nouvelle : elles sont toutes corrigeables rapidement une fois identifiées.

Chez Cenumbra, notre audit de sécurité gratuit inclut une revue de la configuration de vos firewalls. En 48h, vous savez exactement où vous en êtes.

Nos experts certifiés PCNSE (Palo Alto Networks) et CISSP interviennent sur tout type d'infrastructure firewall, open source comme propriétaire.