Options de filtrage avancées

La section Protection contre les attaques réseau permet de configurer des options de filtrage avancées pour détecter plusieurs types d'attaques et de vulnérabilités pouvant être perpétrés contre votre ordinateur.

Détection d'intrusion

•Protocole SMB – Détecte et bloque divers problèmes de sécurité dans le protocole SMB, notamment :

•Détection d'authentification par falsification de challenge – Protège contre une attaque utilisant un challenge falsifié durant l'authentification, dans le but d'obtenir les identifiants de l'utilisateur.

•Évasion IDS pendant la détection d'ouverture d'un canal nommé – Détection de techniques d'évasion connues et utilisées pour l'ouverture de canaux nommés MSRPC dans le protocole SMB.

•Détections CVE (Common Vulnerabilities and Exposures) – Méthodes de détection mises en œuvre de diverses attaques, formes, trous de sécurité et exploits sur le protocole SMB. Reportez-vous au site Web CVE cve.mitre.org pour plus de détails sur les identificateurs CVE (CVE).

•Protocole RPC – Détecte et bloque divers CVE dans le système d'appel des procédures à distance développé pour l'environnement Distributed Computing Environment (DCE).

•Protocole RDP – Détecte et bloque divers CVE dans le protocole RDP (voir ci-dessus).

•Bloquer l'adresse non sûre après une détection d'attaque – Les adresses IP qui ont été identifiées comme sources d'attaques sont ajoutées à la liste noire pour prévenir toute connexion pendant une certaine période.

•Afficher une notification après la détection d'une attaque – Active les notifications qui apparaissent dans la barre d'état système, dans l'angle inférieur droit de l'écran.

•Afficher également des notifications pour les attaques entrantes contre les trous de sécurité – Vous avertit si des attaques contre des trous de sécurité sont détectées ou si une menace tente d'accéder au système de cette manière.

Vérification des paquets

•Autoriser les connexions entrantes aux partages administratifs du protocole SMB : les partages administratifs sont les partages réseau par défaut qui partagent les partitions de disque dur (C$, D$, ...) au sein du système, ainsi que le répertoire système (ADMIN$). Désactiver la connexion aux partages administratifs peut limiter de nombreux risques de sécurité. Par exemple, le ver Conficker effectue des attaques par dictionnaire afin de se connecter aux partages administratifs.

•Refuser les dialectes SMB anciens (non pris en charge) – Refuse des sessions SMB qui utilisent un ancien dialecte SMB non pris en charge par IDS. Les systèmes d'exploitation Windows modernes prennent en charge les anciens dialectes SMB en raison de la rétrocompatibilité avec les anciens systèmes d'exploitation tels que Windows 95. Le pirate peut utiliser un ancien dialecte dans une session SMB dans le but d'échapper à l'inspection du trafic. Refusez les anciens dialectes SMB si votre ordinateur n'a pas besoin de partager des fichiers (ou utiliser des communications SMB en général) avec un ordinateur équipé d'une ancienne version de Windows.

•Refuser les sessions SMB sans sécurité étendue – La sécurité étendue peut être utilisée au cours de la négociation de session SMB, afin de fournir un mécanisme d'authentification plus sécurisé que l'authentification par challenge/réponse du gestionnaire LAN (LM). Le schéma LM est considéré comme faible et son utilisation n'est pas recommandée.

•Autoriser la communication avec le service Security Account Manager : pour plus d'informations sur ce service, voir [MS-SAMR].

•Autoriser la communication avec le service Local Security Authority : pour plus d'informations sur ce service, voir [MS-LSAD] et [MS-LSAT].

•Autoriser la communication avec le service Remote Registry : pour plus d'informations sur ce service, voir [MS-RRP].

•Autoriser la communication avec le service Service Control Manager : pour plus d'informations sur ce service, voir [MS-SCMR].

•Autoriser la communication avec le service Server : pour plus d'informations sur ce service, voir [MS-SRVS].

•Autoriser la communication avec les autres services – Le protocole MSRPC est l'implémentation par Microsoft du mécanisme DCE RPC. De plus, MSRPC peut utiliser des canaux nommés transportés (ncacn_np transport) par le protocole SMB (partage de fichiers en réseau). Les services MSRPC fournissent des interfaces d'accès et de gestion à distance pour les systèmes Windows. Plusieurs vulnérabilités ont été découvertes et exploitées librement dans le système Windows MSRPC (vers Conficker et Sasser, …). Désactivez la communication avec les services MSRPC que vous ne devez pas fournir, afin de limiter de nombreux risques de sécurité (tels que l'exécution de code à distance ou les attaques par déni de service).

•Vérifier l'état de la connexion TCP – Vérifie si tous les paquets TCP appartiennent à une connexion existante. Si un paquet n'existe pas dans une connexion, il est ignoré.

•Maintenir les connexions TCP inactives – Pour fonctionner, certaines applications exigent que la connexion TCP qu'elles établissent soit maintenue, même si elle peut être inactive. Sélectionnez cette option pour éviter de mettre fin à des connexions TCP inactives.

•Détection de surcharge du protocole TCP – Le principe de cette méthode consiste à soumettre l'ordinateur/serveur à plusieurs demandes. Voir également Attaques par déni de service (DoS).

•Vérification des messages par protocole ICMP – Empêche les attaques qui exploitent les faiblesses du protocole ICMP, ce qui peut provoquer une absence de réponse de l'ordinateur. Voir également Attaques par déni de service (DoS).

•Détection de données cachées dans le protocole ICMP – Vérifie si le protocole ICMP n'est pas utilisé pour le transfert de données. De nombreuses techniques malveillantes utilisent le protocole ICMP pour contourner le pare-feu.

Consultez cet article de la base de données ESET pour une version mise à jour de cette page d'aide.