DMZ sécurité des données

[seithein]

Bonjour,

Il y a quelque chose que je ne comprend pas bien dans la notion de DMZ.
Prenons l'exemple du partage de fichier. Des utilisateurs partagent des fichiers dans un réseau local. Ils souhaitent pouvoir consulter l'ensemble de leurs fichiers depuis l'extérieur. Je vais devoir installer un serveur dans la DMZ. Ce serveur contiendra les mêmes données que le serveur local. Par défaut on peut considérer que la DMZ est plus vulnérable que la zone local, que les données sont accessibles aux hackers confirmés. La DMZ permet donc de rendre des données accessible depuis l'extérieur tout en préservant l'intégrité du réseau local, mais elle ne protége pas complétement la confidentialités des données. Biensure l'accès à la DMZ peut-être bien protégé (VPN).

Je ne pense pas que ce que j'écris soit faux (surtout reprennez moi si c'est le cas). En faite je me pose des questions sur l'architecture à mettre en place dans ce cas. Problème théorique de la confidentialité (théorique car je n'ai jamais été confronté à un cas similaire mettant en cause des données hautement confidentielles). Problème pratique, la réplication de donnée par exemple. Pour résumé j'aimerai bien avoir des exemples d'application, que certains ont pu mettre en place.
Merci

[Steve2]

Bonjour

AAAHHH, ça fait plaisir une question intelligente, sur laquelle nous allons pouvoir débattre à loisir, merci.

Ton propos ne contient pas de grosses abérations, mais demande quelques mises au point.

La DMZ sert surtout à interdire l'accès direct au LAN depuis l'extérieur. Les machines qui s'y trouvent sont plus vulnérables que les autre au sens ou ce sont les seules qui sont visibles de l'extérieur, mais il faut relativiser le risque que cela représente. En terme de sécurité, il faut mettre en rapport la valeur de ce qu'il y a à protéger, les moyens à mettre en oeuvre pour obtenir un certain niveau de sécurité, et les moyens que devrait mettre en oeuvre un pirate pour casser cette protection relativement à ce que represente pour lui la valeur des informations protégées.

Pour revenir plus concrètement à ton problème, si tu fait ce que tu a dis, cad dupliquer les données dans la DMZ tu perd evidemment le bénéfice d'une DMZ. Je crois plutôt qu'il faut mettre en DMZ une passerelle accessible par un protocole sécurisé, qui accède au serveur de fichier et partage les données.

Comment faire ça ? Et bien c'est une bonne question...

[Wizard_Spike]

En effet, le sujet est intéressant car il y a je pense beaucoup de points de vue différents à ce sujet.
Pour ma part, la plus grosse sécurité est encore de ne surtout pas placer de serveur de fichiers dans la DMZ.
Mieux vaut placer un VPN béton en direction du LAN que seuls les utilisateurs internes à la société (et en général haut placés ^^) utilisent avec les authentifications et sécurités maximum.
La DMZ sert uniquement pour les serveurs du type serveur web, serveur de mail, serveur FTP. On peut aussi y placer les machines sur lesquelles le client doit aller SI IL NE CONTIENT APS DE DONNEES SENSIBLES. Une personne qui hacke un des serveurs peut se balader sur le réseau sur lequel il se trouve.



Si on veut une politique de sécurité béton, même le serveur de mail doit pouvoir se trouver ailleurs, mais quand même pas dans le LAN. Le LAN doit être affranchi de toute communication entrante non sécurisée. La DMZ doit être affranchi de toute donnée sensible.
Bien entendu, les communication entre la DMZ et le LAN doivent être sécurisées au maximum également. Le must c'est AUCUNE CONNEXION DMZ>LAN, et uniquement connexions sécurisées LAN>DMZ.
En général c'est pas facile et casse-cerveau ^^ Il faut relativiser sur les risques, la sensibilité des données etc etc..

[seithein]

Merci, vous répondez parfaitement à ma question. (nikel le schéma)
Je n'ai pas encore installé de VPN, je pensais plutot qu'il connecterai l'extérieur à la DMZ. Dans l'idée qu'aucune connexion, même authorisé, ne devrait être possible de l'extérieur vers le réseau local.
Dans mon idée de départ, l'utilisateur se connecte via un VPN vers le serveur de fichier répliqué en DMZ. Maintenant j'ai une connaissance très limité en matière de VPN, peut etre n'est ce tout simplement pas possible.
De toute façon cette solution ne pourrait fonctionner si l'on souhaite mettre en place des procédures d'administration distante du réseau local. Je suppose que dans ce cas, le même principe est appliqué.
En ce qui concerne le serveur de mail, je ne vois pas comment le mettre dans le réseau local. (Oui j'ai une connaissance limité en serveur mail aussi ). Je suppose qu'il faut installer une sorte de relais qui récupère les mails depuis la DMZ et les envoi vers le serveur, ou le serveur les récupères....hmmmm je sais pas trop. D'ailleurs, mais c'est un autre sujet, je me pose la question de la réel utilité de gérer ses mails en local.

[narwe]

En ce qui concerne le serveur de mail, je ne vois pas comment le mettre dans le réseau local. (Oui j'ai une connaissance limité en serveur mail aussi ). Je suppose qu'il faut installer une sorte de relais qui récupère les mails depuis la DMZ et les envoi vers le serveur, ou le serveur les récupères....hmmmm je sais pas trop. D'ailleurs, mais c'est un autre sujet, je me pose la question de la réel utilité de gérer ses mails en local.

En fait en ce qui concerne le serveur de mail, je vois trois possibilités.
soit tu implantes ton serveur de mail dans la DMZ. C'est la solution la plus simple mais aussi la plus dangereuse et franchement deconseillee

soit tu mets en place un serveur relais dans la DMZ qui va rediriger le courrier externe a destination de tes domaines vers le serveur de mail interne, le courrier sortant venant du reseau local vers le serveur de mail de ton fournisseur d'acces, et qui ne fera rien pour tous les autres types de mail (venant d'internet vers des domaines differents des tiens)

soit derniere possibilite mails la cela depend de ton firewall, le parametrer de facon a emuler un serveur mail (en gros il intercepte les requetes a destination d'un serveur mail virtuel et les redirige vers le bon serveur.

[Wizard_Spike]

"Dans mon idée de départ, l'utilisateur se connecte via un VPN vers le serveur de fichier répliqué en DMZ. Maintenant j'ai une connaissance très limité en matière de VPN, peut etre n'est ce tout simplement pas possible."

Euh, j'avoue ne pas comprendre comment tu veux "répliquer" le serveur de fichiers... Mais si tu veux placer une machine qui a tous les fichiers du serveur de fichiers dans la DMZ, encore une fois, c'est pas du tout conseillé sauf si ces fichiers ne sont pas sensibles.
Quand aux VPN, à partir du moment où ils sont bien configurés, je pense qu'on peut leur faire confiance même en direction du LAN... on peut vraiment restreindre les accès au maximum et ainsi sécuriser le tout. Le risque 0 n'existe jamais mais on peut quand même bien embêter le méchant hacker...

Pour le mail, on peut faire gérer ses mails par un serveur externe par exemple (par une autre société experte dans le sujet) mais c'est couteux je pense...
Sinon, pour répondre à ta question de gestion de mails internes, l'avantage (de mon point de vue bien sûr) c'est que les mails dis "internes" (d'un employé à l'autre) qui sont, je pense, fréquents dans toutes les boites, restent locaux. Dans le cas d'un serveur de mails externe à la société (géré par une autre entreprise ou déporté dans une salle blanche ou autres), ces mails internes n'ont d'internes que le nom, et du coup il ne faut surtout pas placer de fichiers ou de données sensibles car le risque de se faire intercepter le mail n'est pas à exclure. Le mail c'est difficile.... heureusement, je ne m'en occupe pas ^^

[seithein]

Oui je comprend que le serveur répliqué ne soit pas une bonne idée. Déjà il y a le problème de réplication (les données ne seront pas en phase), deuxièmement c'est pas terrible au niveau de la sécurité. Le seul point positif c'est que ça empeche l'accès potentiel au réseau local.
Bon si on part sur le VPN, a priori c'est une sécurité suffisante pour la majorité des cas. Par contre, si quelqu'un réussi à avoir les code d'accès, il a une grande porte ouverte. Ben oui, c'est surmement plus facile de "piquer" des codes d'accès à un utilisateur que de hacker le VNP.
Enfin, comme vous l'avez dit, il faut relativiser la notion de sécurité... il y a des millions de réseaux connectés au net, faut vraiment que quelqu'un ait un intérêt pour s'attaquer à un réseau lambda... ou alors fo pas avoir de chance pour tomber sur le hacker qui fait joujou...

Pour le serveur de mail, c'est a peu près ce que je pensais en théorie, niveau pratique je ne sais pas encore koi utiliser...enfin faudra que je cherche.
La gestion des mails par le fournisseur peut etre couteuse, pour les grosses structures. Dans mon cas ce sont des réseau très modestes ( de 5 à 40 postes).
En faite je pose ces quesions car je souhaite mettre en place une solution réseau standard basé sur linux (pour les pme). J'entend par standard, qui offre les services habituels, sans contraintes excessives de sécurité (un minimum qd même). Qui permette aussi d'effectuer une administration distante, monitoring et pourquoi pas télé-intervention. En gros définir un modèle que je puisse installer à différent endrois et administrer en partie de chez moi. (je parle pas d'inventer la poudre hein )


Pour le firewall je pense mettre IpCop (je l'ai déjà utilisé), pour le reste ça fait un moment que je n'ai pas touché du linux....y a des tonnes de distrib....hmmm surment une debian, ou une mandrake ent reprise si j'ai vraiment la fleme. enfin pour ça c'est peut etre à moi de travailler un peu, enfin si vous avez des tips hehehe....
Dans tous les cas, toutes les informations que vous m'avez déjà donné me sont très précieuse et je vous en remercie.

++