Amélioration de la sécurité du pare-feu Windows pour prévenir les abus réseau causés par Netscan

Introduction : Ce tutoriel est conçu pour vous aider à renforcer la sécurité de votre pare-feu Windows afin d'atténuer les abus réseau. Il aborde deux aspects cruciaux :

1. Bloquer les ports Teredo pour empêcher les connexions sortantes vers des serveurs externes.
2. Bloquer le trafic vers les plages d'adresses IP privées couramment associées aux réseaux internes.

Les abus réseau peuvent entraîner des violations des conditions de service (ToS) des hébergeurs ou des risques de sécurité. En suivant ce guide, vous apprendrez à configurer efficacement le pare-feu Windows.

Prérequis :

• Accès administratif à un serveur Windows.
• Connaissance des opérations de base du pare-feu Windows.

Étape 0 : Accéder aux paramètres du pare-feu Windows Commencez par ouvrir les paramètres du pare-feu Windows Defender en utilisant l'une de ces méthodes :

Méthode 1 : Appuyez sur la touche Windows + R pour ouvrir la boîte de dialogue "Exécuter". Tapez wf.msc et appuyez sur Entrée. Méthode 2 : Dans le menu Démarrer, recherchez "Pare-feu Windows Defender avec sécurité avancée" et sélectionnez-le.

Pour les étapes suivantes (Étape 1 et Étape 2), vous créerez de nouvelles règles de trafic sortant en suivant ces procédures :

• Dans la fenêtre "Pare-feu Windows Defender avec sécurité avancée" :
  • Méthode 1 : Cliquez sur "Règles de trafic sortant" à gauche, et dans le volet Actions à droite, sélectionnez "Nouvelle règle..." pour créer une nouvelle règle de trafic sortant.
  • Méthode 2 : Faites un clic droit sur "Règles de trafic sortant" et choisissez "Nouvelle règle..."

Étape 1 - Blocage des ports Teredo (Port 3544) : L'objectif ici est d'empêcher les connexions sortantes vers des serveurs externes sur le port 3544, couramment utilisé par Teredo.

Notes :

• Si les analyses réseau sont attribuées à un autre logiciel, vous pouvez adapter cette règle pour bloquer le port concerné.
• Envisagez de désactiver les logiciels ou services problématiques causant des problèmes au lieu de bloquer leurs ports de pare-feu, surtout si le port sert à des fins légitimes.

Pour bloquer le port 3544, procédez comme suit après avoir terminé "Étape 0" :

1. Dans l'assistant "Nouvelle règle de trafic sortant", sélectionnez le bouton radio "Port" et cliquez sur "Suivant".
2. Dans le journal fourni, le type de connexion est UDP. Sous "Cette règle s'applique-t-elle à TCP ou UDP", sélectionnez le bouton radio UDP. Dans la même étape, sous "Cette règle s'applique-t-elle à tous les ports distants ou à des ports distants spécifiques", choisissez "Ports distants spécifiques" et entrez "3544" dans le champ désigné. Cliquez sur "Suivant".
3. Assurez-vous que le bouton radio "Bloquer la connexion" est sélectionné, et cliquez sur "Suivant".
4. Conservez les paramètres par défaut pour "Quand cette règle s'applique-t-elle ?" et cliquez sur "Suivant".
5. Fournissez un nom (obligatoire) et une description facultative pour votre règle. Cliquez sur "Terminer" pour créer la règle.

Désormais, votre pare-feu interceptera et bloquera toutes les connexions tentant d'atteindre des destinations externes sur le port 3544 avant qu'elles ne quittent votre serveur.

Étape 2 - Blocage du trafic vers les réseaux privés : Dans cette section, vous établirez des règles de pare-feu pour obstruer le trafic sortant vers des plages d'adresses IP de réseaux privés spécifiques :

• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16
• 100.64.0.0/10

Ces plages d'IP sont réservées à un usage interne/privé et ne devraient pas être accessibles depuis un serveur public pour éviter les problèmes potentiels liés à des applications mal configurées.

Pour bloquer ces plages d'IP privées, suivez ces étapes après avoir terminé "Étape 0" :

1. Dans l'assistant "Nouvelle règle de trafic sortant", sélectionnez le bouton radio "Personnalisé" et cliquez sur "Suivant".

2. Laissez la sélection de programme comme "Tous les programmes" et cliquez sur "Suivant". Conservez les paramètres par défaut des protocoles et ports et cliquez sur "Suivant".

3. Sous "À quelles adresses IP distantes cette règle s'applique-t-elle ?", sélectionnez le bouton radio "Ces adresses IP".

4. Cliquez sur "Ajouter..." pour spécifier les plages d'adresses IP à bloquer.

5. Dans le champ "Cette adresse IP ou sous-réseau", entrez la première plage d'adresses IP à bloquer (par exemple, "10.0.0.0/8") et cliquez sur "OK".

6. Répétez l'étape 5 pour les plages d'adresses IP restantes :

   • 172.16.0.0/12
   • 192.168.0.0/16
   • 100.64.0.0/10

7. Après avoir ajouté les quatre plages, vos paramètres devraient ressembler à cette configuration.

8. Cliquez sur "Suivant".

9. Assurez-vous que le bouton radio "Bloquer la connexion" est sélectionné, et cliquez sur "Suivant".

10. Maintenez les paramètres par défaut pour "Quand cette règle s'applique-t-elle ?" et cliquez sur "Suivant".

11. Fournissez un nom (obligatoire) et une description facultative pour votre règle. Cliquez sur "Terminer" pour créer la règle.

La règle de trafic sortant est maintenant active, bloquant tout trafic sortant vers les plages d'adresses IP spécifiées, ce qui aide à prévenir les abus et les problèmes potentiels.

Étape 3 - Activation d'IPv6 (Optionnel) : Si vous avez besoin de connectivité IPv6, vous pouvez l'activer tout en vous assurant que Teredo est désactivé. Les serveurs Hetzner offrent généralement un support natif pour IPv6.

Étape 4 - Identification des coupables (Optionnel) : Si le journal de votre serveur diffère des exemples montrés et que vous soupçonnez que d'autres ports ou services causent des abus réseau, vous pouvez identifier le coupable en utilisant diverses méthodes.

Astuce 1 : Utilisez PowerShell pour identifier le processus responsable d'un port spécifique (par exemple, 59244) :

1. Ouvrez PowerShell en tant qu'administrateur.

2. Entrez la commande suivante, en remplaçant 59244 par le numéro de port de votre journal :

   Get-Process -Id (Get-NetUDPEndpoint -LocalPort 59244).OwningProcess

Astuce 2 : Utilisez CMD pour trouver l'ID de processus pour un port spécifique :

1. Ouvrez CMD.

2. Entrez la commande suivante, en remplaçant XXXX par le numéro de port :

   netstat -ano | findStr "XXXX"

Cette commande affichera l'ID de processus dans la dernière colonne. Vous pouvez identifier le processus en utilisant des outils comme Process Explorer.

Conclusion : Ce tutoriel vous a fourni des informations sur la configuration du pare-feu Windows pour une sécurité renforcée contre les abus réseau. En bloquant les ports Teredo et en empêchant l'accès aux plages d'adresses IP privées, vous pouvez garantir la conformité avec les politiques des hébergeurs et protéger votre serveur contre les problèmes potentiels. De plus, vous avez appris des techniques pour identifier et traiter les coupables d'abus réseau si le journal de votre serveur présente des scénarios différents.