En fait ne pas utiliser de parefeu est un risque même à l'intérieur d'un réseau local.
La première raison, c'est qu'il ne faut en aucun cas faire confiance aux box des FAI.
Ensuite, les malwares (plus que les virus sur Linux, mais à ne pas oublier non plus) peuvent eux même passer d'une machine à une autre. Il y a de nombreux exploits qui peuvent profiter du fait de l'absence de parefeu.
Par ailleurs, à moins de maitriser parfaitement toutes les applications d'une machine, il y a toujours un risque qu'un port soit ouvert sans que vous ne le sachiez.
Le fait que le ssh soit installé n'implique pas qu'il soit actif. S'il n'a pas d'utilité, effectivement ca ne sert à rien. Mais sinon, il suffit de changer le port 22 par un autre, d'utiliser des clefs et dans le parefeu d'avoir une policy correcte de connexion (n'autoriser que le LAN).
Pour les DHCP, il suffit de n'y mettre que les machines connues par leur adresse ethernet, ça limite les risques mais pas seulement car il y a toujours moyen d'usurper une adresse ethernet. Aujourd'hui on peut le faire avec n'importe quel matériel (mon téléphone génère une adresse MAC random à chacune de ses connexions).
Les comportements sont un complément mais pas un remplacement. Les attaques sont d'une telle virulence que le temps de réaction d'un quidam moyen est d'une extrême lenteur (pour en plus ne pas savoir quoi faire ensuite).
Le parefeu d'une machine est simple a mettre en place: Tout ce qui veut entrer est interdit et on autorise tout ce qui sort (c'est un minimum). Pour faire ça facilement j'utilise Shorewall. Ca prend 15mn maxi et encore.
vv222 a écrit : 04 août 2023, 18:12
D’ailleurs je ne le fais généralement pas plus sur une machine accessible via une IP publique.
Comme toi, je considère qu’il y a beaucoup plus à gagner côté sécurité par des comportements réfléchis plutôt qu’en empilant des couches logicielles à l’utilité mal définie.
Sur une machine relié sur un réseau publique il faut toujours un parefeu. Ces réseaux sont en général très vérolés.
Pour un parefeu il n'y a pas 50 couches logicielles.
Pour info sur Debian, il me semble, iptables en fait utilise nftables à moins d'avoir configuré en legacy.
Un parefeu ca permet aussi de se protéger de simples erreurs ou, à minima, de les rendre visible.
Sur les douze derniers mois, j'ai passé un temps de dingue à rétablir des systèmes compromis à cause de ce genre de politique (que ce soit chez des particuliers comme chez des entreprises).
@piratebab a raison de préciser de différencier le wifi avec un réseau invité. Là aussi ça limite le risque et donne de la souplesse en même temps.
Personnellement je ne le fait pas, mais c'est pareceque j'utilise un système de détection d'intrusion sur mon routeur (j'ai remplacé la livebox par une OPNsense, normallement cet année remplacé par une Debian, la livebox est dans un tiroir).
