{"id":148,"date":"2021-01-26T00:20:30","date_gmt":"2021-01-25T23:20:30","guid":{"rendered":"https:\/\/whatifsecu.tech\/?p=148"},"modified":"2021-01-26T00:21:02","modified_gmt":"2021-01-25T23:21:02","slug":"fortigate-proxy-ou-flow-based-inspection-le-grand-dilemne","status":"publish","type":"post","link":"https:\/\/whatifsecu.tech\/?p=148","title":{"rendered":"FortiGate: Proxy ou Flow-based inspection &#8211; Le grand dilemne ?"},"content":{"rendered":"\n<p>Essayons ici de clarifier quelques points sur ces 2 approches<\/p>\n\n\n\n<p>Modes d&#8217;inspection<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code> Proxy\n\n     L'inspection par proxy consiste \u00e0 tamponner le trafic et \u00e0 l'examiner en entier avant de d\u00e9terminer une action. Ce tampon de l'ensemble des donn\u00e9es \u00e0 analyser permet \u00e0 ce processus d'inclure davantage de donn\u00e9es pour l'analyse que les m\u00e9thodes bas\u00e9es sur les flux (flow) ou l'inspection DNS.\n     L'avantage d'une m\u00e9thode bas\u00e9e sur le proxy est que l'inspection peut \u00eatre plus approfondie que les autres m\u00e9thodes, ce qui permet de r\u00e9duire le nombre de faux positifs ou des r\u00e9sultats n\u00e9gatifs dans l'analyse des donn\u00e9es\/traffic.<\/code><\/pre>\n\n\n\n<p>Flow-based <\/p>\n\n\n\n<pre class=\"wp-block-code\"><code>     La m\u00e9thode d'inspection bas\u00e9e sur les flux examine le dossier lors de son passage dans le FortiGate sans aucune mise en m\u00e9moire tampon (ou presque...). \u00c0 l'arriv\u00e9e de chaque paquet du trafic, il est trait\u00e9 et transmis sans attendre la transaction complete ou la page web, etc.\n     L'avantage de la m\u00e9thode flow est que l'utilisateur obtient un temps de r\u00e9ponse pour les demandes HTTP (et un buffer) r\u00e9duit, car les packets \"coulent\" \u00e0 la vitesse ou ils arrivent.\n     Les inconv\u00e9nients de cette m\u00e9thode sont qu'il y a une probabilit\u00e9 plus \u00e9lev\u00e9e d'un faux positif ou n\u00e9gatif dans l'analyse des donn\u00e9es et qu'un nombre de points de controle ne sont pas disponibles\/support\u00e9s dans la m\u00e9thode d'inspection bas\u00e9e sur les flux. Il y a \u00e9galement moins d'actions disponibles au choix en fonction de la cat\u00e9gorisation du site web par les services FortiGuard<\/code><\/pre>\n\n\n\n<h2 class=\"wp-block-heading\">Avantages &amp; inconv\u00e9nients ?<\/h2>\n\n\n\n<p>J&#8217;ai pour habitude de dire, du plus indolore au plus complexe\/pr\u00e9cis<\/p>\n\n\n\n<p><strong>Implicit flow &lt; Implicit proxy-based &lt; transparent redirect to web proxy<\/strong> <strong>OU explicit proxy<\/strong><\/p>\n\n\n\n<p>1: Filtrage Implicit Flow<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>IPv4 uniquement en profil flow-based<\/li><li>Pas de blocage uniquement \u00e0 la deuxi\u00e9me tentative<\/li><\/ul>\n\n\n\n<p>2: Filtrage Implicit Proxy<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>IPv4 avec profil proxy-based (interception protocolaire)<\/li><li>passage en CPU <\/li><li>gourmand en perf<\/li><li>qq petites fonctions en +; page de blocage<\/li><\/ul>\n\n\n\n<p>3a: Transparent Web Proxy<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>Invisible du navigateur \/ client<\/li><li>2 policies d\u00e9pendantes (IPv4 + redirect + web-proxy policy)<\/li><li>double processing<br> +++ gourmand en perf \/ RAM<\/li><li>  User-agent \/ RegexHost \/ URL Category  <\/li><\/ul>\n\n\n\n<p>3b: Explicit Web Proxy<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>N\u00e9cessite une configuration (qui peut etre WPAD)<\/li><li>1 policie d\u00e9di\u00e9e dans web-proxy policy<\/li><li>pas support\u00e9 sur toutes les machines \/ pas tr\u00e8s appr\u00e9ci\u00e9 par certaines applications (O365)<br> ++ gourmand en perf \/ RAM<\/li><li> User-agent \/ RegexHost \/ URL Category <\/li><\/ul>\n\n\n\n<p>permet le meilleur niveau de d\u00e9tail\/s\u00e9curit\u00e9 (presque idem entre 3a et 3b<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Essayons ici de clarifier quelques points sur ces 2 approches Modes d&#8217;inspection Flow-based Avantages &amp; inconv\u00e9nients ? J&#8217;ai pour habitude de dire, du plus indolore au plus complexe\/pr\u00e9cis Implicit flow &lt; Implicit proxy-based &lt; transparent redirect to web proxy OU&hellip; <a href=\"https:\/\/whatifsecu.tech\/?p=148\" class=\"more-link\">Continue Reading <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[5],"tags":[],"class_list":["post-148","post","type-post","status-publish","format-standard","hentry","category-fortinet"],"_links":{"self":[{"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=\/wp\/v2\/posts\/148","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=148"}],"version-history":[{"count":2,"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=\/wp\/v2\/posts\/148\/revisions"}],"predecessor-version":[{"id":150,"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=\/wp\/v2\/posts\/148\/revisions\/150"}],"wp:attachment":[{"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=148"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=148"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/whatifsecu.tech\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=148"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}