Bonjour !
Dans la leçon précédente, nous avons appris à sécuriser le périmètre d'un serveur Linux en configurant le pare-feu ufw. Nous avons établi que la meilleure pratique est de tout bloquer par défaut et de n'autoriser que les connexions explicitement nécessaires.
Aujourd'hui, nous allons transposer ces compétences dans l'écosystème Windows, qui est omniprésent en entreprise. L'objectif est d'apprendre à configurer le pare-feu Windows Defender pour autoriser ou bloquer des applications. Bien que l'outil soit différent, vous verrez que les principes de sécurité fondamentaux restent les mêmes. Maîtriser le pare-feu sur les deux plateformes est une compétence essentielle pour un administrateur systèmes et réseaux.
1. Introduction au Pare-feu Windows Defender
Le Pare-feu Windows Defender est l'équivalent sous Windows du couple iptables/ufw que nous avons vu sous Linux. C'est un composant de sécurité intégré qui analyse et filtre le trafic réseau entrant et sortant de votre serveur.
Une différence majeure avec la configuration simple de ufw est le concept de profils réseau. Le pare-feu Windows adapte ses règles en fonction du type de réseau auquel le serveur est connecté.
Prise en main du pare-feu Windows Defender - IT-Connect
Pour bien comprendre cette notion de profils, je vous propose de lire ce court extrait de l'article 'Prise en main du pare-feu Windows Defender' sur le site IT-Connect. Il définit clairement les trois profils que vous rencontrerez systématiquement.
Lisez la section 'II. Les profils'. Retenez bien la distinction entre les profils 'Domaine', 'Privé' et 'Public'. C'est la clé pour comprendre pourquoi une règle s'applique dans un contexte et pas dans un autre.
En résumé :
- Domaine : S'applique lorsque l'ordinateur est connecté à un réseau d'entreprise géré par un contrôleur de domaine Active Directory. C'est le profil le plus courant pour un serveur en entreprise.
- Privé : Pour les réseaux de confiance, comme votre réseau domestique.
- Public : Le plus restrictif, pour les réseaux non sécurisés (Wi-Fi public, etc.). Par défaut, Windows applique ce profil pour plus de sécurité.
2. Autoriser une application : la méthode simple
La tâche la plus courante est d'autoriser un programme légitime (comme un serveur web ou une base de données) à communiquer à travers le pare-feu. Windows propose une interface simplifiée pour cela.
Pour y accéder, vous pouvez passer par l'application "Sécurité Windows".
Une fois que vous cliquez sur ce lien, vous obtenez une liste de programmes que vous pouvez autoriser en cochant simplement des cases pour les profils réseau concernés (Privé et/ou Public).
Pour voir cette interface en action et bien comprendre son fonctionnement, regardons une démonstration vidéo.
Configurer et utiliser le firewall (pare-feu) de Windows
Cette vidéo de malekal.com est très complète. Nous allons nous concentrer sur la partie qui explique l'interface de base pour autoriser des applications.
Regardez la vidéo de 05:01 à 12:49. Concentrez-vous sur les points suivants : L'accès au panneau de configuration du Pare-feu Windows. La signification concrète des profils réseau « Privé » et « Public ». Le fonctionnement de la liste « Autoriser une application » pour cocher ou décocher des programmes. La procédure pour ajouter une application qui n'est pas déjà dans la liste en utilisant le bouton 'Autoriser une autre application...'.
3. Créer des règles personnalisées avec les paramètres avancés
L'interface simplifiée est pratique, mais pour un contrôle total, un administrateur doit utiliser la console des Paramètres avancés. C'est ici que vous pouvez créer des règles très précises, non seulement pour des programmes, mais aussi basées sur des ports, des protocoles (TCP/UDP) ou des adresses IP.
Cette console est l'outil de prédilection des professionnels. Elle vous permet d'appliquer le principe du moindre privilège avec une grande finesse.
Prise en main du pare-feu Windows Defender
Pour apprendre à naviguer dans cette console avancée, nous allons à nouveau nous appuyer sur l'excellent guide d'IT-Connect. Il vous montrera comment créer une règle personnalisée de A à Z.
Lisez les sections 'A. Accéder à la console de configuration du pare-feu' et 'B. Créer une règle pour autoriser le ping'. Portez attention aux éléments suivants : La distinction entre 'Règles de trafic entrant' et 'Règles de trafic sortant'. Les étapes de l'assistant : Type de règle (Programme, Port, etc.), Protocole et ports, Action (Autoriser/Bloquer), Profil. L'exemple concret pour autoriser le 'ping' (protocole ICMP). Notez la remarque à la fin : la même logique s'appliquerait pour autoriser un port spécifique comme le '8080/TCP' pour une nouvelle application, ce qui est un cas d'usage très fréquent.
La logique est la même que pour ufw :
- Direction : La règle s'applique-t-elle au trafic entrant ou sortant ?
- Sujet : Qu'est-ce qui est visé ? Un programme ? Un port (ex:
443/tcp) ? Un protocole (ex: ICMP) ? - Action : Doit-on autoriser ou bloquer ce trafic ?
- Contexte : À quels profils réseau (Domaine, Privé, Public) cette règle s'applique-t-elle ?
4. Exercice pratique
Il est temps de mettre cela en pratique sur votre machine virtuelle Windows Server. Dans un module précédent, vous avez normalement installé le rôle de serveur web (IIS). Par défaut, Windows a créé automatiquement les règles de pare-feu pour autoriser le trafic HTTP. Nous allons jouer avec ces règles.
- Ouvrez les Paramètres avancés du Pare-feu (recherchez "Pare-feu Windows Defender avec fonctions avancées de sécurité" dans le menu Démarrer).
- Cliquez sur Règles de trafic entrant dans le volet de gauche.
- Triez les règles par nom et trouvez celles nommées "Services de publication World Wide Web (trafic HTTP entrant)". Vous devriez en voir une pour chaque profil.
- Faites un clic droit sur la règle active et choisissez "Désactiver la règle".
- Depuis votre ordinateur hôte (pas la VM), ouvrez un navigateur web et essayez d'accéder à l'adresse IP de votre VM Windows Server. La connexion devrait échouer ou expirer.
- Retournez dans le pare-feu, faites un clic droit sur la même règle et choisissez "Activer la règle".
- Rafraîchissez la page dans votre navigateur. Le site web par défaut d'IIS devrait maintenant s'afficher.
Cet exercice simple mais efficace démontre l'impact direct et immédiat des règles de pare-feu sur l'accessibilité des services.
Conclusion
Vous savez maintenant comment contrôler le trafic réseau sur un serveur Windows, une compétence complémentaire indispensable à celle que vous avez acquise sur Linux.
Les points clés à retenir sont :
- Le Pare-feu Windows Defender est l'outil natif pour sécuriser un serveur Windows.
- Les règles sont appliquées différemment selon le profil réseau actif (Domaine, Privé, Public), ce qui permet une sécurité contextuelle.
- Il existe une interface simplifiée pour rapidement autoriser/bloquer des applications connues.
- La console des Paramètres avancés offre un contrôle granulaire (par port, protocole, IP) et constitue l'outil principal de l'administrateur système.
- La meilleure pratique reste la même que sur Linux : bloquer les connexions entrantes par défaut et n'autoriser que ce qui est explicitement nécessaire.
Nous avons sécurisé l'accès à nos serveurs Linux et Windows. Mais que se passe-t-il une fois la connexion autorisée ? Comment protéger les données qui transitent ? C'est ce que nous aborderons dans la prochaine leçon, en nous plongeant dans les principes fondamentaux du chiffrement symétrique et asymétrique.