UserGate : ce que sait faire cette passerelle de sécurité

UserGate a débuté dans les années 2000 comme serveur proxy de bureau : partager internet, compter le trafic, fermer les sites de loisirs. Le produit est depuis devenu une passerelle de sécurité que le secteur appelle NGFW, pare-feu de nouvelle génération. Le nom est resté, la classe de tâches a changé, et il est surtout intéressant comme représentant de cette classe : toutes les passerelles d'entreprise modernes sont conçues de façon similaire.

Sa place dans le réseau

La passerelle se place à la frontière : tout le trafic du bureau vers internet et retour la traverse. D'où ses possibilités et sa responsabilité : c'est l'endroit le plus pratique pour filtrer, compter et protéger, et aussi un point de défaillance unique, si bien que les grandes configurations fonctionnent en paire redondante. Elle existe en matériel et en machine virtuelle, et les bureaux moyens se contentent en général de la version virtuelle.

Principaux modules

Le mot clé partout est « utilisateur ». La passerelle s'intègre au service d'annuaire, et les règles visent des personnes et des groupes plutôt que des adresses IP : une pour la comptabilité, une pour le développement, une pour le Wi-Fi invités. L'inspection TLS mérite une réserve : techniquement, c'est une ouverture contrôlée du canal chiffré avec remplacement du certificat, ce qui exige d'installer un certificat d'entreprise sur les appareils et d'informer honnêtement les employés. Les catégories bancaires et médicales sont d'ordinaire exclues de l'inspection.

Les politiques relient les modules en scénarios. Un exemple réel : le groupe marketing peut utiliser les réseaux sociaux sans y envoyer de fichiers ; les prestataires n'ont accès qu'à une liste de services de travail ; pour les autres, le partage de fichiers et les domaines récemment enregistrés, outil préféré du phishing, sont fermés. Chaque règle s'accompagne d'un rapport, et le débat « j'ai besoin de ce site pour travailler » se règle avec des données.

Qui en a besoin

• Les entreprises soumises à des régulateurs. Pour les organisations russes, il importe que le produit soit certifié par les régulateurs locaux et reste pris en charge.
• Les établissements d'enseignement. Le filtrage de contenu obligatoire se règle avec les catégories et listes noires fournies.
• Les bureaux à partir de cinquante personnes. En dessous, un bon routeur suffit en général ; au-dessus commence un zoo de services fantômes invisibles sans contrôle des applis.
• Les réseaux avec télétravail et filiales. VPN, politiques unifiées et rapports au même endroit.

Des options libres existent : pfSense et OPNsense couvrent gratuitement le pare-feu et le VPN, et le filtrage s'ajoute par plugins. Le coût vient de côtés opposés : le libre se paie en temps d'administrateur et rapports faits main, le commercial en abonnements aux modules. Ce qui décide en général, c'est la présence de gens prêts à vivre des années avec la solution, plus que les fonctions.

Comment choisir et déployer

Cette classe s'achète sur un pilote avec votre propre trafic plutôt que sur une liste de fonctions, car tous les éditeurs se ressemblent. On déploie la passerelle en mode observation, sans blocage, pendant deux semaines : les rapports montrent le trafic réel et la charge. Le chiffre clé à tirer du pilote est le débit avec inspection TLS et IPS actives. Le débit du catalogue se mesure sans elles et chute de plusieurs fois avec tous les contrôles, et c'est là qu'on se trompe sur la taille du matériel. Second résultat : la liste de ce qu'il faut exclure de l'inspection, de la banque en ligne à la visioconférence, propre à chaque entreprise.

1. Définissez la politique à l'avance : ce que vous bloquez, ce que vous observez, qui vous laissez tranquille. La passerelle applique la politique et ne la remplace pas.
2. Comptez les utilisateurs et la bande passante de pointe avec une marge de deux ans : licences et matériel s'achètent pour la croissance.
3. Vérifiez l'intégration à votre annuaire et la tolérance du réseau à une panne de la passerelle : faut-il une dérivation ou une paire redondante ?
4. Précisez le contenu de l'abonnement : filtrage, IPS et bases antivirus sont licenciés en modules, et le prix nu du boîtier est trompeur.
5. Désignez un responsable. Une passerelle sans personne pour lire ses rapports devient un routeur coûteux en un an.

À ne pas confondre avec les proxies commerciaux

Une passerelle d'entreprise et des services de proxy comme le nôtre résolvent des tâches opposées, même si tous deux s'appellent « proxy ». La passerelle contrôle le trafic sortant des employés : visibilité, filtrage, discipline. Un proxy commercial change le point de sortie pour des tâches de travail : données géo, pools d'adresses, comptes, comme nous l'avons vu dans l'analyse des tâches des serveurs proxy. La première dit « nous voyons et limitons notre trafic », le second « notre trafic a la bonne apparence vu de l'extérieur ». Dans une entreprise mûre, ils cohabitent sereinement : la passerelle à la frontière du bureau, les pools au marketing et à l'analyse. La passerelle doit cependant connaître les pools légitimes des collègues, sinon l'analyse se heurtera un jour à son propre système de sécurité, et réparer ce malentendu prendra plus de temps que toute la configuration. Nous avons montré où s'insère cette passerelle dans le tour d'horizon des types de serveurs.