présentation générale | caractéristiques de sécurité | caractéristiques techniques

Présentation générale

Stonesoft (NASDAQ OMX : SFT1V) est un fournisseur innovant de solutions de sécurité réseau intégrées. Ses produits sécurisent le flux d'informations à l'échelle d'entreprises distribuées.

StoneGate Firewall/VPN est une solution de pare-feu et de réseau privé virtuel (VPN) à haute disponibilité destinée à sécuriser les canaux de communication de données et permettre une connectivité continue des réseaux.

StoneGate Firewall/VPN s'appuie sur la technologie Multi-Layer Inspection, qui associe inspection dynamique des paquets et inspection au niveau application afin de contrôler la connectivité et le flux d'informations entre réseaux internes et externes. Cette solution permet également de maintenir privées les adresses IP des hôtes internes aux yeux des utilisateurs externes. Reposant sur la norme IPsec, les services de sécurité VPN offrent aux utilisateurs plusieurs possibilités de chiffrement. Lorsque StoneGate Firewall/VPN fait partie d'un cluster, il apporte une haute disponibilité aux services de sécurité de ces pare-feu pour les utilisateurs et les serveurs protégés par le cluster de pare-feu lorsqu'un nœud du cluster ou une connexion réseau vers un noeud est défaillante.

Le produit StoneGate Firewall/VPN fonctionne sur un système d'exploitation Linux renforcé, avec lequel il est livré. Il fonctionne sur plate-forme Intel mono- ou multi-processeur. Un système d'administration distribuée comprenant un serveur d'administration, un serveur de journalisation et une interface graphique pour la gestion et le fonctionnement du pare-feu est proposé en option. Les fonctions de sécurité entrant dans le cadre de la cible de sécurité sont les suivantes :

• Contrôle du flux d'informations au niveau connexion des paquets IP, avec filtrage des paquets de la couche réseau à la couche application et redirection des connexions pour le trafic FTP, HTTP et SMTP ;
• Confidentialité des adresses IP des hôtes sur le réseau interne, assurée via NAT statique ;
• Génération d'audits ;
• Fonctions d'administration et de protection des services de sécurité.

Caractéristiques de sécurité

Certificat de sécurité

Ce produit a subi une évaluation de sécurité de premier niveau (CSPN) ayant donné lieu au rapport de certification (ANSSI-CSPN-2011/14) le 19 décembre 2011.

Une qualification au niveau élémentaire par l’ANSSI a été obtenue le 22 décembre 2011 (n° 3431/ANSSI/SR/RGL). 

Services de sécurité

La configuration évaluée de la TOE est la suivante :

• Plate-forme matérielle firewall constituée de deux modèles FW-1301 en mode cluster. Cette plate-forme illustre l’utilisation de la haute disponibilité (qui ne constitue pas une fonction de sécurité) et est suffisamment significative de la gamme identifiée au §2.1. Les différences entre le modèle FW-1301 et les autres modèles listés au §2.1 portent essentiellement sur les performances en termes de débit et sur la taille des disques durs ;
• Activation du suivi des connexions ;
• Politique de stockage des journaux paramétrée sur "stop traffic" ;
• Désactivation de l'accès à l'interface en ligne de commande du moteur de pare-feu à partir du système d'exploitation, comme indiqué dans la documentation d'installation ;
• Désactivation des fonctionnalités VPN ;
• Pas d’utilisation dans les règles de filtrage de l’option d’authentification des utilisateurs auprès du firewall (nécessite d’utiliser des VPN ou une authentification par telnet) ;
• StoneGate Management Center et logiciel de support, version 5.2.4 : 
  • Le serveur d'administration ;
  • Le serveur de journalisation ;
  • L'interface graphique ;

• Désactivation des agents ou composants IPS associés à tous les autres protocoles : H.323, HTTPS, IMAP4, MS RPC, NetBios Datagram, Oracle SQL Net, POP3, RSH,SIP, SSH, SunRPC,TCP Proxy, TFTP ;
• Activation possible des agents de suivi des connexions FTP, SMTP et http.

Cible de sécurité

La cible d'évaluation (TOE) comprend le moteur StoneGate et le SMC. Elle offre les services de sécurité suivants :

Contrôle du flux d'informations sur le trafic qui traverse le pare-feu. Ce dernier contrôle le flux de toutes les informations qui transitent par ses connexions réseau internes et externes pour mettre en œuvre la politique de sécurité du pare-feu à l'aide des éléments suivants :

• Des règles d'accès fondées sur les adresses source et de destination, ainsi que sur le protocole de la couche transport, celui de la couche application, le port source, le port de destination et l'interface sur laquelle le paquet arrive ; le suivi des connexions ; les résultats de l'authentification utilisateur et la durée de validité.
• Des règles de couplage VPN permettant de décider d'accepter ou de rejeter des connexions
• Des agents de protocole apportant des règles supplémentaires basées sur des mécanismes et des informations au niveau application pour la redirection des connexions. Alors que le moteur de pare-feu prend en charge de nombreux agents de protocole, l'évaluation se limite quant à elle aux agents des protocoles FTP, HTTP et SMTP.

Translation d'adresses réseau (NAT) entre des entités informatiques externes qui font transiter du trafic par la TOE, assurant que l'adresse IP des hôtes sur les réseaux internes est maintenue privée aux yeux des utilisateurs externes.

Journalisation et audit : La TOE permet de générer des enregistrements d'audit des événements de sécurité relatifs au trafic IP transitant par le pare-feu et des enregistrements d'audit des modifications de la politique de sécurité du pare-feu. La TOE permet également à l'administrateur autorisé de définir les critères de sélection des événements du trafic IP à auditer. La TOE comporte un mécanisme empêchant la perte des données d'audit.

Administration de la sécurité et protection des fonctions de sécurité : Les administrateurs accèdent au moteur de pare-feu via le serveur d'administration, lequel fournit l'interface permettant de gérer la politique de sécurité et les attributs d'authentification, les données TSF et les fonctions de sécurité du moteur de pare-feu. Le moteur de pare-feu assure également que les fonctions de sécurité de confiance sont toujours appelées et ne peuvent pas être contournées.

Conditions d'emploi

Les conditions d'emploi telles que définies dans le rapport de certification sont les suivantes :
Attributions de l'administrateur (A.ADMINTRUSTED) :

Les administrateurs autorisés sont formés, qualifiés, non hostiles et respectent toutes les directives. Note d'application : Si un revendeur à valeur ajoutée installe la TOE, l'utilisateur doit établir que A.ADMINTRUSTED s'applique à ce revendeur. L'utilisateur peut également réinstaller la TOE et vérifier son intégrité à l'aide des sommes de contrôle fournies sur le site Web de Stonesoft, www.stonesoft.com.

Procédures d'audit de l'environnement (A.AUDITMAN) :

Ces procédures doivent exister pour assurer que les pistes d'audit sont régulièrement analysées et archivées.

Prise en charge du contrôle du flux d'informations assurée par l'environnement informatique (A.MEDIAT_SUPPORT) :

L'environnement informatique de la TOE doit garantir que le flux d'informations ne peut pas atteindre les réseaux interne et externe sans passer par la TOE, et assurer une protection de l'information résiduelle pour ces paquets. Il doit également permettre un stockage sécurisé de la politique de sécurité du réseau et des données d'authentification des utilisateurs, ainsi qu'un accès à ces données, et s’appuyer sur la source de signaux horaires sécurisée (cf. A.TIME) pour la prise en charge des décisions concernant le contrôle temporel des flux d'informations.

Prise en charge générale de l'environnement informatique (A.OPERATING_ENVIRONMENT) :

Le nœud sur lequel s'exécute la TOE, ainsi que les serveurs d'administration associés, sont dédiés au système de pare-feu sécurisé. Ils fonctionnent selon leurs spécifications et sont sécurisés physiquement, accessibles physiquement aux seuls administrateurs de confiance.

Source de signaux horaires sécurisée (A.TIME) :

L'environnement informatique intégrera une source de signaux horaires sécurisée permettant la datation des enregistrements d'audit.

Caractéristiques techniques

Performances techniques

Les solutions Stonesoft intègrent différentes fonctions de sécurité dans un même équipement :

• Virtual Firewall
• Software Solutions
• Antivirus Protection
• Anti-Spam
• Clustering
• Deep packet inspection
• DoS Protection
• IPS Integration
• IPv6
• ISP Load Balancing
• Mobile Network Access
• Office Connectivity
• Quality of Service
• Securing VoIP
• Server Load Balancing
• SSL Inspection
• Web filtering
  

Environnement
L'environnement informatique de la configuration évaluée est le suivant :

Plate-forme d'exploitation de la TOE :

• Intel Pentium 4 ou supérieur (ou équivalent) recommandé ;
• 1 Go de RAM recommandé ;
• Noyau Linux 2.6.17.13 standard avec quelques modifications mineures, distribution basée sur Debian GNU/Linux 4.0 (Etch) ;
• Cartes réseau (voir Annexe A).

Caractéristiques de l’appliance StoneGate FW-1301: