🛠️ TP – Filtrer le web par catégories et analyser les menaces
Parcours Stormshield – module S07 – binôme
Note
Mission. Tu actives le filtrage d'URL, l'antivirus et l'IPS sur un pare-feu Stormshield, puis tu vérifies leur effet.
Temps prévu : 1 h 30. Prérequis : cours S07, S06 et une VM Stormshield EVA (ce TP n'existe pas dans le simulateur).
Mise en place
- Pare-feu EVA avec accès Internet (carte WAN en NAT) et un poste client (VM ou PC) sur le réseau interne ; les règles de base de S04–S06 sont déjà en place.
- Règle de test pour la partie A du simulateur ci-dessous, au choix.
Partie A – Constater la limite des ports (≈ 15 min)
Dans le simulateur, ouvre s06-filtrage.json puis termine le TP S06 : le web (ports 80 et 443) est autorisé.
| Question | Réponse |
|---|---|
PC-ADMIN ouvre http://198.51.100.80. Le pare-feu sait-il si ce site est « utile » ou « interdit » ? |
|
| Pourquoi un pare-feu qui ne regarde que les ports ne peut-il pas bloquer un site de jeux, mais laisser passer le site de l'entreprise ? |
Partie B – Filtrage d'URL (≈ 30 min) (EVA)
🚀 Pour aller plus loin
- Protection applicative → Filtrage d'URL : crée une politique qui bloque une catégorie de ton choix (par exemple « jeux ») et autorise le reste.
- Applique-la à ta règle de sortie web (colonne Inspection ou Filtrage URL de la règle).
- Depuis le client, ouvre un site de la catégorie bloquée, puis un site normal.
- Dans Notifications → Journaux → Web, retrouve la ligne du blocage.
| Question | Réponse |
|---|---|
| Quelle page voit l'utilisateur ? | |
| Quelle catégorie a déclenché le blocage ? |
Partie C – Antivirus et IPS (≈ 30 min) (EVA)
🚀 Pour aller plus loin
- Active l'antivirus sur le trafic web puis télécharge le fichier de test EICAR (fichier inoffensif reconnu par tous les antivirus, publié par eicar.org). Il doit être bloqué.
- Mets la règle de sortie en IPS (profil d'inspection de ton choix) et regarde Notifications → Journaux → Alarmes après quelques minutes de navigation.
| Question | Réponse |
|---|---|
| Que montre le journal pour le fichier EICAR ? | |
| Quelle différence de comportement entre IDS et IPS ? |
Partie D – Si tu n'as pas d'EVA : réponds en réfléchissant (≈ 15 min)
| Situation | Quelle fonction (URL, antivirus, sandbox, IPS) ? |
|---|---|
| Un employé télécharge un fichier Office piégé inconnu | |
| Un site de paris en ligne doit être inaccessible | |
| Un attaquant exploite une faille connue du serveur web | |
Un fichier .exe contient un virus connu |
✅ Points de contrôle
- je sais expliquer pourquoi les ports ne suffisent pas ;
- (EVA) j'ai bloqué une catégorie d'URL et retrouvé la trace dans le journal ;
- (EVA) le fichier EICAR est bloqué ;
- je sais choisir la bonne fonction selon la menace.
Warning
Ne télécharge jamais de vrais malwares pour tester : le fichier EICAR suffit.
➡️ Suite : module S08 · Utilisateurs.