Liste de contrôle d’accès étendue : accès et privilèges

Résumé

Une liste de contrôle des accès (ACL) étendue va plus loin que les ACL standard en filtrant le trafic réseau selon les adresses source et destination, les numéros de port, les protocoles et les plages horaires, offrant ainsi aux administrateurs et administratrices un contrôle granulaire pour bloquer les menaces tout en maintenant la circulation du trafic légitime. La configuration d’une telle liste consiste à définir des instructions de refus et d’autorisation, à appliquer la liste à une interface réseau, puis à spécifier le sens du trafic à l’aide des commandes « in » ou « out ».

Comprendre les ACL étendues

Une liste de contrôle des accès (ACL) étendue peut déterminer quels flux sont autorisés ou refusés, jouant ainsi le rôle de gardien pour votre réseau. Elle peut offrir à l’administrateur système qui configure le réseau un niveau supérieur de flexibilité et de contrôle. Il est entièrement personnalisable, ce qui vous permet de définir des règles concernant le trafic sur d’autres critères que la seule adresse de protocole Internet (IP). Cela peut contribuer à prévenir les attaques réseau tout en permettant au trafic souhaité d’accéder au réseau. Une ACL étendue peut être configurée pour bloquer certaines sources afin de leur refuser l’accès via des ports spécifiques sur des ordinateurs ciblés. De cette manière, vous pouvez gérer le trafic sortant et entrant avec un niveau de précision très élevé.  

Qu’est-ce qu’une liste de contrôle d’accès étendue ?

Un liste de contrôle d’accès (ACL, Access Control List) définit une série de règles destinées à autoriser ou à bloquer le trafic au sein d’un réseau, et ainsi lui fournir une protection de base. Une liste de contrôle d’accès étendue est plus flexible et offre davantage de possibilités de personnalisation qu’une ACL standard. Une ACL peut communiquer au système d’exploitation d’un ordinateur la liste des utilisateurs disposant de droits d’accès à des objets système spécifiques, par exemple des fichiers ou répertoires individuels. Une ACL étendue permet d’ajouter des paramètres plus spécifiques. Elle permet de renforcer la sécurité du réseau tout en priorisant le flux du trafic au sein de celui-ci. La sécurité réseau doit constamment s’adapter à l’évolution de l’environnement et des menaces. Il est encore plus important de bloquer l’accès des cybercriminels potentiels tout en laissant la possibilité au trafic nécessaire de circuler librement pour offrir aux clients et collaborateurs une interface conviviale et des interactions numériques fluides.

Quelles fonctionnalités une ACL étendue propose-t-elle ?

Une liste de contrôle d’accès standard autorise ou refuse l’accès au trafic en fonction de l’adresse IP source, tandis qu’une liste de contrôle d’accès étendue peut filtrer les paquets avec un niveau de spécification plus élevé. Elle peut déterminer les types de trafic qu’elle autorise ou bloque, au-delà de la simple adresse IP, en incluant par exemple le Transmission Control Protocol (TCP), l’Internet Control Message Protocol (ICMP) et l’User Datagram Protocol (UDP). Une ACL étendue peut filtrer le trafic selon les critères suivants :

• Adresse source
• Adresse de destination
• Numéro de port
• Protocole
• Plage horaire

L’ACL étendue peut être configurée de différentes façons pour bloquer les attaques ou le trafic potentiellement malveillant, tout en laissant libre accès au trafic légitime et nécessaire vers des destinations individuelles précises. Il est également possible de prioriser le trafic d’adresses IP spécifiques dans les plages 100-199 et 2000-2699. Par ailleurs, l’ACL étendue est appliquée à proximité de la source.

Quelles commandes sont utilisées dans une ACL étendue ?

Le format de base d’une liste de contrôle d’accès étendue se présente comme suit: 

access-list numéro_liste_accès [permit/deny] protocole adresse_IP_source

masque_source destination masque_destination [opérateur]

Description des commandes :

• Numéro de la liste d’accès : numéro de la liste d’accès dans la plage précédemment spécifiée
• Permit : trafic autorisé si les conditions sont remplies
• Deny : trafic bloqué si les conditions sont remplies
• Protocole : filtrage autorisé basé sur un protocole spécifique
• Adresse IP source : adresse ou adresses  IP source à partir desquelles le paquet est envoyé
• Masque de destination : indique un masque générique pour déterminer l’adresse ou la plage d’adresses IP de destination afin d’éviter de saisir individuellement chaque adresse IP
• Opérateur : permet de spécifier le ou les numéros de port lors d’un filtrage par protocole. Les opérateurs suivants peuvent être utilisés :
  • eq Égal : dans le cas d’une surveillance d’un port précis
  • gt Supérieur à : spécifie une plage de ports supérieure à un numéro de port donné
  • lt Inférieur à : spécifie une plage de ports inférieure à un numéro de port donné
  • neq Différent de : permet l’assertion de la liste d’accès pour tous les ports sauf un

Comment configurer une ACL étendue ?

Si une source tente d’accéder à votre réseau de façon non autorisée et que vous voulez lui refuser cet accès sans bloquer tout le trafic entre les deux adresses IP, vous devez limiter l’accès entre les ports spécifiés uniquement. Dans un premier temps, vous devez définir l’adresse IP source et la bloquer avec un masque générique. Ensuite, vous devez saisir la destination dont vous souhaitez limiter l’accès. Pour ce faire, vous devez spécifier les ports dont l’accès doit être bloqué à l’aide d’instructions similaires à ce qui suit :

Router1# conf t

Router1(config)# access-list [numéro_liste_accès] deny tcp host [adresse(s)_IP_source] eq [numéro_de_port]

Router1(config)# access-list [numéro_liste_accès] deny tcp host [adresse(s)_IP_source] eq [numéro_de_port]

Vérification de la configuration de votre ACL étendue

La première instruction permet de bloquer la cible au port de destination spécifique, tandis que la seconde répète cette opération pour le protocole HTTPS (Hypertext Transfer Protocol Secure). La commande « eq » autorise l’entrée pour les ports spécifiés. Vous pouvez vérifier cette liste en utilisant la commande « Show Access List » afin de vous assurer que la liste de contrôle d’accès étendue contient toutes les instructions nécessaires.

Comment désactiver l’instruction « deny all » ?

Lorsque vous ajoutez uniquement des instructions de refus, la liste de contrôle d’accès contient une instruction implicite « DENY ALL » qu’il faut neutraliser pour autoriser l’accès souhaité et éviter une interruption totale du réseau. Cela n’apparaîtra pas dans la commande « Afficher la liste d’accès ».

Ajout d’une règle d’autorisation pour rétablir le trafic

Pour résoudre ce problème, il est nécessaire d’ajouter une instruction « permit ». Une commande « any any » devra être utilisée, sinon tout le trafic ne correspondant pas aux règles de la liste de contrôle d’accès sera bloqué. Affichez la liste d’accès en utilisant le numéro qui lui est attribué, puis ajoutez « Permit. » Vous devrez configurer l’instruction « Permit » afin d’inclure et d’autoriser les adresses IP de toutes les variations mentionnées dans l’instruction, de n’importe quelle source vers l’adresse de destination. Cela refusera uniquement les instructions que vous avez restreintes précédemment et autorisera tout le reste du trafic.

Comment appliquez-vous la liste de contrôle d’accès et déterminez-vous le sens du trafic ?

La liste ACL étendue peut désormais être appliquée à une interface. L’ACL doit généralement être placée au plus près de la source. À ce stade, vous devrez indiquer au trafic quelle direction suivre.

Utilisation des commandes « in » et « out » pour définir le sens du trafic

Cette opération utilise une commande « in » ou « out » pour déterminer dans quelle direction le paquet circule. Un paquet entrant utilise la commande « in », tandis qu’un paquet sortant utilise « out ». Une fois la liste de contrôle d’accès étendue appliquée, le trafic que vous bloquez verra son accès restreint, tandis que le reste du trafic pourra continuer à circuler de sa source vers sa destination. Les listes ACL doivent être configurées avant d’être appliquées puis activées.

Ressources pour la configuration d’ACL

Les listes de contrôle d’accès jouent un rôle important dans la sécurité réseau. Les ACL étendues offrent un plus haut degré de personnalisation afin de garantir le transit des paquets de trafic essentiels et nécessaires entre la source et la destination, et le blocage ou la restriction du trafic non autorisé ou potentiellement dangereux. La configuration d’une ACL étendue peut prendre énormément de temps. Il existe des entreprises, des prestataires et des ressources qui peuvent vous aider à générer de telles listes et vous proposent des tutoriels vous expliquant comment procéder. Un tutoriel Cisco particulièrement utile contient des conseils et instructions pour configurer une ACL étendue pour votre réseau.

Foire aux questions (FAQ)

Quelle est la différence entre une ACL standard et une ACL étendue ?

Une ACL standard autorise ou refuse l’accès au trafic uniquement en fonction de l’adresse IP source. Une ACL étendue permet de filtrer les paquets avec un niveau de spécification plus élevé, en tenant compte notamment de l’adresse source, de l’adresse de destination, du numéro de port, du protocole et de la plage horaire, offrant ainsi une flexibilité et un contrôle accrus sur le trafic réseau.

Quels types de trafic une ACL étendue peut-elle filtrer ?

Une ACL étendue peut filtrer le trafic en fonction de l’adresse source, de l’adresse de destination, du numéro de port, du protocole (comme TCP, ICMP et UDP) et de la plage horaire, allant bien au-delà du filtrage basé uniquement sur l’adresse IP source d’une ACL standard.

Que signifie l’instruction implicite « deny all » dans une ACL étendue ?

Lorsque des instructions de refus sont ajoutées à une ACL, la liste contient une instruction implicite « DENY ALL » qui bloque tout le trafic qui ne correspond pas explicitement à une règle. Cette instruction n’apparaît pas dans la sortie de la commande « Show Access List » ; il est donc nécessaire d’ajouter une instruction d’autorisation pour rétablir le flux de trafic légitime.

Comment appliquez-vous une ACL étendue à une interface réseau ?

Une fois que la liste de contrôle d’accès étendue est configurée avec les instructions de refus et d’autorisation nécessaires, elle est appliquée à une interface réseau. L’ACL doit généralement être placée au plus près de la source, et le sens du trafic doit être précisé à l’aide de la commande « in » pour le trafic entrant ou de la commande « out » pour le trafic sortant.

Que fait l’opérateur « eq » dans une commande ACL étendue ?

L’opérateur « eq » (Equal) est utilisé dans une commande ACL étendue pour indiquer que le port exact référencé est celui à surveiller ou à filtrer, ce qui permet à l’access-list de cibler le trafic sur un numéro de port précis.

Où convient-il de placer une ACL étendue dans un réseau ?

Une ACL étendue doit généralement être appliquée au plus près de la source. Ce positionnement permet de bloquer rapidement le trafic indésirable, ce qui réduit la charge inutile sur le réseau.

Références

The Study of Network Security With Its Penetrating Attacks and Possible Security Mechanisms. Mai 2015. A Monthly Journal of Computer Science and Information Technology.

Access Agent: Improving the Performance of Access Control Lists. Avril 2016. International Journal of Scientific & Technology Research.

Configurer le blocage IDS Cisco. (2003). Guide professionnel de la sécurité Cisco pour des systèmes de détection d’intrusion sécurisés.

Cisco Content Services Switch. 2002. Managing Cisco Network Security (Second Edition).

Configuring IP Access Lists. 2007. Cisco.