Salut à tous c'est Florian du site IT-Connect. Bienvenue dans cette vidéo, ou plutôt dans cette
série de vidéos où nous allons voir comment nous pouvons utiliser la solution TP-Link Omada pour
sécuriser le réseau d'une PME, d'une TPE, autrement dit sécuriser les réseaux d'une entreprise. Alors
cette série de vidéos sera découpée en trois parties et la première partie, donc celle que
l'on va attaquer aujourd'hui, c'est la sécurité du réseau. Nous allons voir comment nous pouvons
détecter et bloquer les menaces grâce aux fonctionnalités de sécurité是這樣ées à TP-Link OMADA. Si vous souhaitez en savoir plus sur ces fonctionnalités
sur l'objectif de cette vidéo, n'hésitez pas à regarder la suite. Mais avant cela, pensez à vous abonner à la chaîne YouTube IT-Connect
Avant de rentrer dans le vif du sujet, je vous rappelle que la solution TP-Link OMADA
est accompagnée par un contrôleur. Contrôleur qui peut prendre la forme d'un boîtier physique
d'une machine virtuelle, c'est à dire d'un serveur que vous pouvez vous même déployer et qui pourra
gérer jusqu'à 10 000 appareils sans aucun coût, c'est à dire qu'il n'y a aucun coût de licence
avec la solution Omada et vous avez aussi la possibilité d'avoir un contrôleur cloud
directement chez DP-Link. Donc j'insiste vraiment sur le fait qu'avec la solution Omada, vous achetez
le matériel mais derrière il n'y a aucune licence, aucun abonnement, aucun frais, les mises à jour
sont gratuites donc vous pouvez bénéficier des nouvelles fonctionnalités au fur et à mesure
Voilà, c'était pour le rappel, n'hésitez pas aussi à regarder mes deux précédentes vidéos sur la
présentation de la solution TP-Link OMADA et notamment celle où on avait vu comment créer
notre propre contrôleur dans une machine virtuelle Windows Server. En ce qui concerne notre objectif
du jour, tout d'abord commençons par expliquer ce qu'est une menace. Une menace va désigner un
danger potentiel, c'est à dire quelque chose qui est en mesure de compromettre la sécurité de notre
infrastructure. Cette menace peut venir de l'interne, de l'externe, c'est à dire du réseau
locales ou d'internet et surtout elle peut prendre différentes formes, ça peut être un logiciel
malveillant, ça peut être un site web malveillant qu'un utilisateur va visiter à partir de son
ordinateur et donc tout ça va nous amener à déployer un ensemble de fonctionnalités pour
nous protéger contre ces menaces là. Donc la base de cette sécurité réseau ça va être le filtrage
réseau donc par la création d'access listes pour contrôler les flux entrant et sortant
Mais aujourd'hui ce n'est pas suffisant, il faut aller plus loin donc c'est pour ça qu'on va aussi
s'orienter vers du filtrage applicatif où on va pouvoir yser les flux pour identifier et
bloquer certains services, certaines applications indésirables et ou malveillants. On sera clairement
sur de l'yse de couche 7 au niveau du modèle OZI, vraiment sur la couche applicative et en plus
de ça ce que l'on va venir faire c'est de la détection et de la prévention d'intrusions grâce
à des modules qu'on appelle IDS IPS, donc là on va vraiment yser les flux malveillants et les
bloqués. Voilà un petit peu pour la présentation globale, maintenant comment ça va se traduire d'un
point de vue fonctionnel au niveau de TP-Link OMADA ? On va avoir un ensemble de fonctionnalités
orientées sécurité, j'en ai listé quelques unes à l'écran, on va les déployer ensemble par la
suite. Tout d'abord on a le Deep Packet Inspection qui est l'une de mes fonctionnalités favorites au
niveau de la sécurité avec TP-Link OMADA puisqu'on va pouvoir s'appuyer sur des signatures applicatives
et donc déterminer si on bloque telle ou telle application. On va vraiment plus loin que
simplement bloquer tel numéro de port ou tel protocole, là on va pouvoir contrôler, bloquer
limiter des applications et des services. Nous avons aussi la partie blocage par DNS proxy qui
va être intéressante pour apporter une couche de sécurité à la navigation internet en nettoyant
tout ce qui va être résultat qu'on pourrait qualifier de indésirable, donc ça peut être
soit un petit peu du contrôle parental où on va éliminer tout ce qui peut être pornographique
etc. Mais aussi éliminer tout ce qui est assimilé à du malware. Grâce à ce DNS proxy, nous allons
pouvoir en quelque sorte éliminer de nos recherches web les résultats malveillants indésirables
On a après le filtrage par IP, MAC, URL. Donc là on est plutôt sur des choses assez classiques
ce qui m'amène aussi à évoquer la création d'ACL où nous pourrons dire qu'on va bloquer
les communications entre tel VLAN et tel autre VLAN. Autrement dit, au niveau de votre réseau
local, on peut aussi gérer des règles au niveau des réseaux wifi puisque TP-Link Comada permet
de gérer l'intégralité du réseau, que ce soit le réseau filaire ou le réseau wifi, mais également
les flux sortant vers internet et la gestion de la connexion internet en elle-même. Nous pourrons
voir, et on le mettra en place après, qu'on peut aussi déployer des restrictions géographiques
c'est-à-dire qu'on va refuser tous les flux entrant en provenance de certains pays. A cela
s'ajoutent des fonctionnalités pour bloquer les attaques par déni de service, se protéger contre
la rpspooling ou encore détecter et bloquer les intrusions avec des modules de IDS IPS comme je
l'évoquais précédemment. Tout cela va être implémenté au niveau de la solution TP-Link
Comada et toutes ses fonctionnalités sont gratuites. Qu'est-ce que l'on va faire en
termes de configuration ? Je vais vous montrer ce que ça donne dans la pratique, la configuration
des différentes fonctionnalités et puis j'ai mis quelques objectifs à l'écran pour un petit
peu contextualiser la configuration cible. On va bloquer tout d'abord les flux entrant en provenance
de la Russie et de la Chine qui sont deux pays à partir desquels il y a beaucoup d'attaques qui
sont émises, beaucoup de scans de port sur les adresses IP publiques, etc. Cela ne protège pas
de toutes les attaques mais ça permet de filtrer certains flux malveillants, ce qui n'empêchera pas
un attaquant russe de s'appuyer sur une IP française pour attaquer les organisations
Il y a toujours des moyens de contourner mais en tout cas ce sont des barri qu va pouvoir d assez facilement On va configurer le proxy DNS pour s la navigation Internet Je vous montrerai ce qu peut utiliser en terme de proxy DNS justement puis nous verrons comment
bloquer les applications avec la fonctionnalité de Deep Packet Inspection. On va bloquer tout ce
qui est relatif au peer-to-peer, au tunnel VPN, au partage de fichiers en ligne et à la prise en
main à distance. Voilà des applications qui peuvent être indésirables, malvées et utilisées à des fins
malveillants, donc si on n'en a pas besoin dans notre entreprise, on va pouvoir les bloquer tout
en sachant qu'on peut aussi simplement faire des exceptions ou des restrictions ciblées sur
certaines applications, ça ne fonctionne pas systématiquement par catégorie. Et après on
verra comment activer en quelques clics les mécanismes de protection contre les attaques
d'os et l'ARP spoofing et également comment on peut bloquer les flux malveillants grâce à l'IDS
IPS. Je vous montrerai aussi tout ce que ça donne en termes de reporting, d'yse dans l'interface
de TP-Link Omada. Voilà, assez parlé pour la partie théorique, maintenant nous allons passer
à la phase de démo où on va voir comment mettre ça en œuvre. Je suis connecté sur mon contrôleur
TP-Link Omada qui est auto-hébergé sur un serveur Windows Server. Je vais aller dans le menu ici
dans la partie Settings puisque c'est vraiment ici qu'on va retrouver les fonctionnalités liées à la
partie sécurité. Tout d'abord dans la partie Network Security, on va retrouver ce que l'on
appelle les ACL, les règles de contrôle d'accès. On a trois grandes catégories, on a les ACL sur le
routeur, c'est à dire pour gérer les flux entre nos réseaux locaux mais également vers internet
la partie switch ACL qui va nous permettre comme on le voit ici de gérer notamment les flux entre
des VLAN, entre des réseaux IP également, et la partie EAP ACL, donc ça c'est directement au niveau
des bornes wifi. Ici ça sert à quoi les trois catégories? Ca sert à déployer des ACL sur
différents types d'équipements puisque TP-Link Comada va me permettre de gérer mes routeurs
mes switches, mes points d'accès TP-Link. Vraiment tout est centralisé dans la même interface. Si on
s'intéresse rapidement à la création d'une RAID ACL, on va pouvoir déjà lui donner un nom
lui donner une direction. Est-ce que c'est entre deux réseaux locaux connectés sur mon réseau
d'entreprise, est-ce que c'est entre du LAN vers le WAN ou un flux entrant d'internet vers mon LAN
Ensuite on va pouvoir choisir si on refuse, si on accepte, choisir un ensemble de protocoles et
déterminer une source, une destination. Je pourrais très bien ici prendre une direction de LAN à LAN
pour dire que moi je veux empêcher mon réseau LAN de pouvoir communiquer avec mon réseau invité et
Et je vais pouvoir aller ici pour dire que c'est bidirectionnel, c'est-à-dire que du réseau invité, je ne peux pas non plus communiquer avec le réseau LAN
Comme ça, j'ai un réseau invité qui sera isolé de mon réseau LAN où je pourrais avoir mes appareils, mes postes de travail de production
On peut aussi créer des ACL basés sur des plages horaires. C'est-à-dire que je pourrais créer une règle qui ne s'applique que sur certains jours, certaines plages horaires, en fonction des besoins
C'est les ACL, c'est vraiment du classique, mais on a quand même des petites options sympas pour aller un petit peu plus loin
Et justement, en parlant d'aller plus loin, ce que l'on va pouvoir faire ici
si on se met sur les flux entrants à destination de l'interface WAN de mon routeur
je vais pouvoir ici sélectionner comme source un emplacement. Et l'emplacement, c'est quoi ? Ça va être des pays
Donc si je veux faire ce que j'avais déterminé tout à l'heure, je vais pouvoir sélectionner la Russie
et ensuite la Chine, j'ai bien sélectionné 2 pays sur 250, il y a 250 localisations qui sont référencées actuellement
et donc je vais pouvoir bloquer ça, et donc je vais refuser les flux vers mes différents réseaux, comme ceci
On peut créer ensuite des groupes d'appareils, comme on peut le voir ici, ça dépend de ce que l'on veut faire en termes de règles
Et donc je vais nommer cette règle, bloquer pays par exemple, les protocoles, ça sera tous les protocoles confondus
confondu, TCP, UDP, ICMP, etc. Je vais vraiment bloquer tous les flux provenant de ces pays-là
Je viens de créer mon ACL, je viens de remplir le premier objectif, si je puis dire
par rapport à ce que j'avais déterminé. Quelques mots au passage sur le filtrage
URL et le filtrage MAC. Ici, je peux créer des règles pour dire
que je veux bloquer toutes les URLs qui ont le mot-clé YouTube, le mot-cl�
Google, ou tout ce que l'on veut, ou on peut aussi bloquer des URLs spécifiques
en mettant ici les noms de domaine. Alors c'est bien, mais on a envie de plus, c'est-à-dire quand je dis on a envie de plus, on a envie de pouvoir faire du blocage par catégorie, c'est vraiment ça qu'on essaie de mettre en place en général en production
puisqu'il y a tellement de milliers de millions de sites que gérer une liste statique, c'est rapidement difficile
C'est pour ça que du côté TP-Link on a bien conscience de ce besoin et donc la prochaine
version de TP-Link Comada qui est prévue pour la fin de l'été va intégrer la possibilité de
faire du filtrage de sites basés sur des catégories. Donc ça c'est vraiment une fonctionnalité importante
qui est attendue et qui va arriver très bientôt. On a le filtrage MAC. Le filtrage MAC c'est quoi
Ça permet de dire qu'on va accepter ou refuser la connexion à un appareil vis-à-vis de son adresse
MAC, c'est-à-dire de son adresse matérielle de sa carte réseau. Dans ce cas-là, on peut faire
du filtrage basé d'un réseau local vers le WAN, entre deux réseaux locaux, etc., au niveau de ce
qui est déclaré dans mon Omada. Donc ça c'était pour toute la partie ACL basée sur les URL
les adresses MAC, les adresses IP. Dans la section ici, attaque défense, si on continue à parcourir
les différentes fonctionnalités liées à la sécurité, on va pouvoir cocher et activer
un ensemble de fonctionnalit qui vont permettre de d par exemple des scans de port Si vous arrivez avec un outil tel que Nmap et que vous faites des scans de port sur le r on va pouvoir d ces attaques l On a par exemple la typique attaque Ping of Death le ping de la mort qui est pris
en charge ici. Si on détecte des pings d'une taille anormale, ce qui est aussi le principe
du Ping of Death, on pourra détecter tout ça grâce au module attaque défense. Ensuite on a
a l'IP MAC binding où l'on a une option intéressante, c'est la protection contre
l'usurpation d'adresse MAC, donc ici qu'on va pouvoir activer pour nous protéger au niveau
du réseau local de cette attaque bien connue. Je vous invite à faire une petite recherche Google
si vous voulez approfondir le sujet de la RP spoofing. Mais voilà, on va pouvoir s'en protéger
et à chaque fois, comme on le voit, c'est assez simple en termes de configuration, c'est des cases
à cocher si je puis dire. Derrière on va avoir l'IDS IPS, alors là on est sur les modules de
détection et de prévention contre les intrusions. On peut soit détecter simplement ou détecter et
bloquer. On a aussi la possibilité d'avoir le GEO Enforceur, donc ça c'est pour avoir de la
géolocalisation sur les adresses IP source. Et après on a différents niveaux de sécurité
différents niveaux de sécurité ça correspond à quoi ? En fait ça correspond au nombre de modules
que l'on va activer ici. Ici on a 12 catégories de menaces qui sont pris en charge. On va avoir
typiquement la détection de user agent malveillant, c'est à dire que si on repère un user agent suspect
qui vient essayer de se connecter sur des appareils, ça peut être le signe qu'il taking
a un scanner de vulnérabilité qui est utilisé, qu'il y a une activité d'un malware qui est en
cours, des choses comme ça. On va surveiller le user agent, on peut surveiller aussi l'utilisation
de Tor par exemple, qui permet d'accéder au Dark Web et donc détecter et bloquer l'accès au Dark
Web avec ces différentes options qui vont être un petit peu complémentaires aussi à ce que l'on
va retrouver dans le Deep Packet Inspection juste après. Et donc l'IDS IPS, on verra qu'on peut
aller ici dans la gestion des menaces pour avoir des informations sur les menaces qui ont ét�
détectées et bloquées. En parlant justement du DPI, on va pouvoir aller dans l'application
c'est ici qu'on va configurer nos règles de blocage, de limitation des applications
C'est à dire qu'on va pouvoir bloquer des applications 24 heures sur 24, 7 jours sur 7
ou simplement les bloquer selon certaines plages d'horaire, voire même les limiter
C'est à dire qu'on va pouvoir dire que j'autorise les services de synchronisation
de partage de fichiers, mais je vais limiter le débit grâce à l'association de règles de QoS
de qualité de service associé à la configuration qu'on va pouvoir faire ici. Dans l'application
liste, j'ai la liste de toutes les signatures applicatives prises en charge actuellement
il y en a 2114 à l'heure actuelle. TP-Link fait évoluer ça régulièrement de manière à ce que ce
soit le plus fourni possible et on va pouvoir filtrer par catégorie. Si je veux voir par
exemple tout ce qui est relatif aux tunnels, tout ce qui est plus ou moins tunnel VPN
on sélectionne ça, on fait Apply et là ça me met toutes les références. On va retrouver 125
enregistrements rien que pour la catégorie VPN et on va retrouver plein de VPN plus ou moins connus
mais en tout cas qui vont pouvoir être reconnus et potentiellement bloqués, limités par la solution
TP-Link Commodore. On a par exemple NordVPN que vous connaissez certainement. Donc nous
notre objectif va être de bloquer tout ce qui est dans cette catégorie là, comme je le disais. On a
aussi la catégorie qui est intéressante, c'est le Remote Control, on va retrouver tous les outils
type Teamviewer, NIDS, Telnet, VNC, tout ça va pouvoir le bloquer. Il y a des cyberattaques qui
sont effectuées à partir de ces outils-là, c'est-à-dire que les attaquants, une fois qu'ils
ont compromis votre machine, vont déployer un outil de ce type pour avoir la main sur la machine
de façon persistante. Si on n'utilise pas NIDS, LogMeIn, etc., autant bloquer ces flux-là
ce sont des protections supplémentaires. Comment ça va marcher ? On va créer des règles. J'ai
créé deux règles. Une règle pour bloquer toutes les applications liées au remote control et j'ai
activé ici la planification H24, c'est moi qui a créé ça, en gros c'est 24 heures sur 24
7 jours sur 7. Je n'ai pas activé la partie QoS mais j'aurais pu le faire ici si besoin. Là
ça n'a pas forcément mon besoin pour le coup. Donc ce qu'on fait en fait c'est créer différentes
règles, ici j'ai le contrôle à distance, le VPN, le peer-to-peer, je vais créer une règle
supplémentaire pour tout ce qui va être le partage de fichiers, donc ça va être le share hosting
Donc je sélectionne la catégorie, je sélectionne ensuite toutes les applications de la catégorie
donc du coup je vais me mettre ici comme ça et je vais tout sélectionner en haut. Donc en fait
là-dedans on va retrouver tout ce qui est un fichier .com, méga, etc. Tous les sites de
partage de fichiers, on peut retrouver notamment pas mal de contenus illégaux là-dessus. Une fois
qu'on a tout sélectionné, on va quand même mettre une règle. Je vais mettre App partage de fichiers
je vais sélectionner ma planification H24 et je vais appliquer. Une fois qu'on a fait ces règles-là
on va aller dans la partie application filter et donc ici on va sélectionner une ou plusieurs
règles. En fait on va créer en quelque sorte un groupe de règles. On va faire appliquer et ce
groupe de règles, on va venir l'appliquer ensuite ici au niveau des restrictions. C'est à dire qu'on
va assigner la restriction à un réseau. Ici j'ai assigné au réseau LAN la règle de filtrage qui
s'appelle restriction LAN que je viens de vous montrer. Donc ça va s'appliquer sur tout le réseau
qui est ici. Donc on peut faire autant de règles que l'on souhaite sur nos différents réseaux
le r LAN r invit en fonction des besoins Ce qui veut dire qu peut avoir des applications qui sont limit interdites sur un r mais pas sur un autre Voil pour ce qui veut dire qu avoir mis en place cette configuration sur une machine je ne peux plus utiliser tous ses
services. D'ailleurs, nous pouvons le vérifier puisque sur cette machine, on peut voir que j'ai
AnyDesk et il est en cours de connexion au réseau AnyDesk. En fait, on voit que ça mouline
ça n'aboutira pas puisque mon routeur va bloquer AnyDesk puisque je l'ai interdit. Voilà, on est
On a une erreur de connexion Internet. Pourtant, j'ai bien Internet sur la machine
Donc là, c'est vraiment le DPI qui est entré en action et qui a appliqué la règle
Donc on peut voir que ça fonctionne directement. Nous allons aller faire un tour, parce qu'on n'a pas vu la partie encore DNS proxy
Donc on va aller dans Service, ici. DNS proxy. Et là, on va pouvoir activer le DNS proxy
Alors, soit on est sur du DNSSEC, DOH, DOT. C'est-à-dire DNS over HTTPS, DNS over TLS
Ce sont les requêtes DNS qui sont chiffrées dès le départ, ce qui n'est pas le cas avec du DNS classique
Ici, on va pouvoir sélectionner le fournisseur de notre choix. On va même pouvoir ajouter un serveur personnalisé
Qu'est-ce qu'on va pouvoir mettre ici en tant que serveur personnalisé ? Ici, si on va sur le site de Cloudflare, on voit qu'on a deux proxys DNS disponibles
Il y en a un qui va bloquer tout ce qui est malware et un qui va bloquer tout ce qui est malware et contenu pour adultes
Après comment ça va s'implémenter ? Si on regarde dans la doc, on va avoir ici les liens vers les proxys DNS
Si on veut bloquer les malwares, par exemple, on va prendre ce lien-là, on peut aussi bloquer les deux, là c'est plus le lien family
On copie l'URL qui est ici, ici on va mettre Cloudflare, et on va venir mettre l'URL du DNS
donc là comme ça je fais valider et à partir de là, ça veut dire que quand je vais naviguer sur internet
depuis mes machines qui sont dans mon réseau local les résultats de recherche internet vont être filtrés
grâce au DNS Cloudflare, au DNS proxy qui va améliorer la sécurité de ma connexion à internet
simplement avec les quelques petites actions que je viens de faire à l'instant donc maintenant on va aller voir un petit peu la partie reporting
au niveau reporting, ici dans les insights on va retrouver tout ce qui va être la gestion des menaces. La gestion des menaces, ça va être quoi
Ça va être l'historique de ce qui a été détecté par le module de détection des intrusions. Donc on
va avoir ici tout un historique. Je me suis amusé avec différents outils, différents scripts
simuler des choses pas normales sur le réseau. Ce qui fait qu'ici j'ai aussi bien en externe
qu'en interne différentes alertes qui ont été remontées, plus ou moins sévères
notamment des users agents qui ne sont pas clean, et donc ici j'ai un peu plus d'informations
Je pourrais aussi sélectionner une ligne et décider d'isoler le périphérique ou de le bloquer
ce qui permet de détecter la menace et ensuite on va venir l'isoler pour arrêter l'hémorragie et
éviter que ce potentiel attaquant puisse continuer à faire des actions malveillantes et suspectes
sur mon réseau. Ensuite, si on bascule dans statistiques, on a l'application ytics
L'application ytics est liée directement au Deep Packet Inspection, ça me permet de savoir
sur mon réseau quels sont les services utilisés. J'ai des graphiques, je peux choisir la période
que je veux, je peux cocher, décocher des choses. Je vois que niveau streaming, il y a eu beaucoup
de streaming sur le C+. Par catégorie, les services sont plus utilisés sur mon réseau local
on a par exemple le speed test ici qui est beaucoup utilisé, ça c'est une routine qui tourne sur l'un
de mes NAS, on a le TIMSS, probablement qu'il y a eu une visio qui a été faite, voilà on a pas
mal de statistiques comme ça, et ce qui va être intéressant pour aller plus loin, c'est qu'on va
pouvoir avoir ces informations détaillées par application, on peut ensuite cliquer sur les
colonnes pour filtrer, on peut cliquer même pour avoir des détails supplémentaires ici
ce qui pourrait permettre de dire pourquoi il y a beaucoup de canaux de plus sur mon réseau, ce n'est pas normal, les utilisateurs n'ont pas besoin de faire du streaming quand ils sont sur
le réseau de l'entreprise et donc on va pouvoir ensuite peut-être mettre une règle dans des pays
pour bloquer C+, ou limiter grâce à de la QoS et donc vraiment avoir la maîtrise de notre réseau
la sécurité ça passe par vraiment la maîtrise, le filtrage, le contrôle des flux. Ici dans la partie
User, je vais avoir les flux par appareil, je peux voir qu'il y a un appareil qui a beaucoup consomm�
de bande passante vers internet sur les dernières 24 heures, est-ce que c'est normal ou pas
Là je vais voir tout le détail et je peux cliquer sur un appareil pour avoir le descriptif précis de cet appareil
Et là encore je peux jouer sur la période, etc. On a vraiment pas mal de statistiques intéressantes là-dessus
Une autre manière d'y accéder c'est dans la partie map ici, et on va avoir ici nos différents appareils
Je peux cliquer par exemple sur le switch qui est ici et sur le switch je vois quels sont les appareils connectés
et je peux ensuite cliquer sur un appareil en particulier et je vais avoir ici le trafic identifié lié à cet appareil
On voit qu'il y a des flux notamment vers les services Microsoft
vers GitHub, on a pas mal de choses, pas mal de détails
On est vraiment sur de l'yse au niveau des appareils, ça veut dire qu'on a les informations qui remontent
qui sont visibles de différentes manières dans l'interface de TP-Link OMADA. Voilà cette première vidéo dédiée aux fonctionnalités de sécurité de la solution TP-Link Comada est terminée
Il nous reste deux autres vidéos, on verra notamment tout ce qui est la sécurité du Wi-Fi, l'authentification réseau
mais également la mise en œuvre d'un portail captif avec la gestion des logs associés
J'espère que cette vidéo vous a plu, n'hésitez pas à me donner vos avis en commentaire
n'hésitez pas également à partager le contenu et puis je vous dis à très vite, ciao
Sous-titrage Société Radio-Canada