Chapitre 3 — Proxy, UTM, Zero Trust & SASE

Au-delà des pare-feux, plusieurs équipements et architectures complètent la sécurité réseau. Ce module couvre les proxys, UTM, IDS/IPS, load balancers, et les architectures modernes Zero Trust et SASE.

Serveurs Proxy

Mémorisez ! Proxy direct (Forward Proxy) = les clients passent par le proxy pour accéder à internet. Proxy inverse (Reverse Proxy) = masque les serveurs internes derrière une IP publique. Les deux peuvent inspecter et filtrer le trafic.

Type	Sens du trafic	Fonctions	Exemple
Forward Proxy	Client → Proxy → Internet	Filtrage URL, mise en cache, anonymisation, logging	Squid, Blue Coat
Reverse Proxy	Internet → Proxy → Serveurs internes	Load balancing, WAF, TLS offloading, masquage serveur	nginx, HAProxy, Cloudflare
Transparent Proxy	Client → (proxy invisible) → Internet	Les clients ne savent pas qu'un proxy existe — pas de config requise	Proxy sur le gateway
HTTPS Proxy / SSL Inspection	Break-and-inspect	Déchiffre TLS pour inspecter, re-chiffre	Palo Alto, Zscaler

UTM — Unified Threat Management

Un UTM est un appareil qui regroupe plusieurs fonctions de sécurité en un seul boîtier :

Pare-feu stateful
IDS/IPS
Antivirus/Antimalware gateway
Filtrage web et spam
VPN
DLP

Avantage : simplicité de gestion pour les PME. Inconvénient : single point of failure, peut être moins performant que des solutions spécialisées à grande échelle.

Load Balancer & Haute Disponibilité

Les load balancers distribuent le trafic entrant entre plusieurs serveurs pour garantir la disponibilité et les performances.

Algorithmes : Round-Robin, Least Connections, IP Hash, Weighted.
Health Checks : le load balancer vérifie régulièrement que les serveurs sont opérationnels. Exclut automatiquement les serveurs défaillants.
SSL/TLS Offloading : le load balancer déchiffre TLS et transmet le trafic HTTP vers les serveurs internes — réduit la charge CPU des serveurs.
Active-Active : tous les nœuds répondent simultanément (performance + HA).
Active-Passive : un nœud actif, l'autre en attente (failover si le principal tombe).

Architecture Zero Trust

Mémorisez ! Zero Trust n'est pas un produit — c'est une philosophie et une architecture. Les trois principes : vérifier explicitement, utiliser le moindre privilège, supposer une violation.

L'architecture Zero Trust remplace le modèle de "périmètre de confiance" (castle-and-moat) où tout ce qui est dans le réseau est fiable.

Never Trust, Always Verify : chaque accès est authentifié et autorisé, même depuis le réseau interne.
Control Plane : le moteur de politique qui prend les décisions d'accès (qui, quoi, depuis où, comment).
Data Plane : les équipements qui appliquent les décisions du control plane (pare-feux, proxys, VPN).
Policy Engine : évalue les attributs (identité, device posture, localisation, risque) pour autoriser ou refuser.
Policy Enforcement Point (PEP) : point qui bloque ou autorise effectivement l'accès selon la décision du Policy Engine.
Continuous Validation : l'accès n'est pas accordé une fois pour toutes — réévalué en continu.

Exemple Zero Trust : Un employé connecté au Wi-Fi d'un café tente d'accéder à une application RH interne. Le Policy Engine évalue : identité (OK via MFA), appareil (portable géré, Intune compliant), localisation (réseau non géré → risque élevé), heure (heures ouvrables). Décision : accès accordé mais en lecture seule, avec surveillance renforcée et session enregistrée.

SASE — Secure Access Service Edge

SASE (prononcé "sassy") est une architecture cloud qui combine les fonctions réseau (SD-WAN) et sécurité (CASB, FWaaS, SWG, ZTNA) en un service unifié délivré depuis le cloud.

SD-WAN (Software-Defined WAN) : virtualise et optimise le réseau WAN.
CASB (Cloud Access Security Broker) : contrôle l'accès aux SaaS et applique les politiques de sécurité (ex: bloquer le téléchargement de fichiers depuis un appareil non géré).
SWG (Secure Web Gateway) : filtrage web dans le cloud, protection malware.
FWaaS (Firewall-as-a-Service) : pare-feu cloud avec inspection L7.
ZTNA (Zero Trust Network Access) : remplace le VPN traditionnel — accès granulaire par application, pas accès réseau complet.

Astuce Examen

ZTNA vs VPN : un VPN accorde un accès complet au réseau une fois connecté. ZTNA accorde uniquement l'accès aux applications spécifiques autorisées — beaucoup plus granulaire et conforme au moindre privilège.

Quiz — Proxy, UTM, SASE

1. Un "reverse proxy" est principalement utilisé pour :

Permettre aux clients internes d'accéder à internet de manière anonyme Masquer les serveurs internes et distribuer le trafic entrant (load balancing, WAF) Inspecter le trafic sortant des employés Authentifier les utilisateurs VPN

Le reverse proxy s'interpose entre internet et les serveurs internes. Les clients ne voient que l'IP du proxy, jamais les serveurs réels. Il peut faire du load balancing, TLS offloading, et servir de WAF. nginx et HAProxy sont des exemples courants.

2. Dans l'architecture Zero Trust, le "Policy Enforcement Point (PEP)" a pour rôle de :

Évaluer les attributs de l'utilisateur et de l'appareil pour prendre une décision d'accès Stocker les journaux des accès pour l'audit Bloquer ou autoriser l'accès en appliquant la décision du Policy Engine Gérer les identités et les rôles des utilisateurs

Le PEP est le composant qui applique (enforce) les décisions. Le Policy Engine décide "accès autorisé/refusé". Le PEP bloque ou laisse passer le trafic selon cette décision. Exemples : proxy, VPN gateway, pare-feu applicatif.

3. ZTNA (Zero Trust Network Access) représente une amélioration sur le VPN traditionnel car il :

Chiffre le trafic avec des algorithmes plus modernes N'utilise pas internet comme transport Fonctionne sans authentification utilisateur Accorde uniquement l'accès aux applications spécifiques autorisées, pas à tout le réseau

Un VPN connecte l'utilisateur au réseau entier. ZTNA accorde l'accès uniquement à l'application spécifique pour laquelle l'utilisateur est autorisé. Si l'appareil ZTNA est compromis, l'attaquant n'a accès qu'à une application, pas à tout le réseau.

4. Un CASB (Cloud Access Security Broker) est principalement utilisé pour :

Contrôler et sécuriser l'utilisation des applications SaaS par les employés Remplacer le pare-feu d'entreprise pour les connexions cloud Chiffrer les données stockées dans AWS S3 Gérer les comptes utilisateurs dans Azure AD

CASB s'interpose entre les utilisateurs et les services SaaS (Office 365, Salesforce, Google Drive). Il peut bloquer le téléchargement de fichiers depuis des appareils non gérés, empêcher le partage de données sensibles, ou forcer le MFA pour des apps cloud.

5. Un "transparent proxy" se distingue d'un proxy standard par le fait qu'il :

Chiffre tout le trafic entre le client et internet Nécessite une configuration manuelle sur chaque client Intercepte le trafic sans que les clients le sachent ou aient besoin de le configurer N'enregistre pas le trafic des utilisateurs

Un proxy transparent est configuré sur le gateway réseau. Tout le trafic HTTP/HTTPS passe par lui sans configuration sur les clients. Les utilisateurs ne savent pas qu'un proxy existe — pratique pour les déploiements d'entreprise à grande échelle.

6. Un load balancer en mode "Active-Passive" signifie que :

Les deux nœuds traitent le trafic simultanément pour les performances Un nœud traite tout le trafic, l'autre reste en veille et prend le relais en cas de panne Le trafic est divisé 50/50 entre les deux nœuds Un nœud gère le trafic web, l'autre le trafic base de données

Active-Passive = haute disponibilité (HA) sans équilibrage de charge. Le nœud passif monitore le nœud actif et prend le relais (failover) si celui-ci tombe. Active-Active fait les deux : HA + load balancing.

7. SASE (Secure Access Service Edge) combine principalement :

VPN + pare-feu physique + antivirus Active Directory + SIEM + EDR IDS + IPS + honeypot SD-WAN + ZTNA + CASB + SWG + FWaaS dans une architecture cloud unifiée

SASE converge réseau (SD-WAN) et sécurité (ZTNA, CASB, SWG, FWaaS) dans un service cloud unique. Cela simplifie l'architecture et s'adapte naturellement aux organisations avec des utilisateurs mobiles et des apps cloud.

8. Quel est l'avantage principal du "TLS/SSL Offloading" sur un reverse proxy ou load balancer ?

Réduit la charge CPU des serveurs web qui n'ont plus à gérer le chiffrement TLS Rend les communications plus lentes mais plus sécurisées Permet d'utiliser des certificats auto-signés sans avertissement navigateur Élimine le besoin d'un certificat TLS côté serveur

Le TLS offloading déplace la charge de chiffrement/déchiffrement des serveurs web vers le load balancer/proxy (souvent avec des accélérateurs matériels). Les serveurs reçoivent du HTTP non chiffré et n'ont plus à gérer TLS.

9. Quelle est la différence principale entre un UTM et un NGFW ?

Le NGFW ne supporte pas l'IPS intégré L'UTM est uniquement pour les grandes entreprises L'UTM cible les PME avec une intégration complète, le NGFW est plus orienté entreprise avec de meilleures performances à l'inspection applicative L'UTM n'inclut pas de fonctions de pare-feu

UTM = "tout-en-un" pour les PME (pare-feu + IPS + antivirus + filtrage web + VPN). NGFW = inspection applicative avancée (App-ID, user-ID, SSL inspection) pour les entreprises avec des volumes de trafic élevés et des exigences de performance.

10. Dans l'architecture Zero Trust, "supposer une violation" (assume breach) signifie que :

L'organisation ne doit pas déployer de pare-feux car ils sont inefficaces Les contrôles doivent limiter l'impact d'une compromission en supposant que le périmètre est déjà violé Tous les utilisateurs sont considérés comme des attaquants Seul le chiffrement peut protéger les données

"Assume breach" signifie concevoir l'architecture en supposant que l'attaquant est déjà à l'intérieur. Cela mène à la micro-segmentation, la surveillance continue, et les contrôles d'accès granulaires — limiter l'impact d'une compromission inévitable.