[Tutoriel] Parefeu Kerio Personal Firewall - Règles avancées

[Team_Epsylone]

:: Kerio Personal Firewall - Règles avancées ::
Tuto réalisé par : rex@28/04/2006 - MàJ :: floflo@28/04/2006

1/ Informations

Ce tutoriel met en avant des règles avancées pour le pare-feu Kerio Personnel Firewall, qui vous apporte la solution au contrôle des connexions
entrantes et sortantes pour une grande partie des applications pouvant être exploitées (Antivirus, navigateur web, clients de messagerie instantanée, etc.)
Les règles présentes ci-dessous même si elles sont présentées avec Kerio, peuvent très bien être utilisées avec un autre pare-feu.

Notice : Ce tuto peut-être amené à des ajouts ou modification en vu de nouvelles règles ou de règles éronnées. Vous en serez bien évidemment informés.

Pare-feu : Kerio Personal Firewall
Tutoriel basé sur les versions : 4 et supérieures[/color][/b]
Site officiel : http://www.kerio.fr/
Toutes les informations exploitées dans ce tutoriel ont été élaborées et fournies par : Rex


2/ Introduction

Tout d'abord voici un lien vers un tutoriel pour configurer Kerio de façon générale.
http://www.vulgarisation-informatique.com/kerio.php

Il est cependant nécessaire de préciser :

• L'onglet "sécurité" du système n'est plus présent dans les dernières versions mais il est activable via l'onglet "intrusions" (activer le blocage comportemental des applications).
  
  
• Certaines fonctionalités ne sont accessibles que pendant les trois premiers mois d'utilisations mais elles sont loin d'ètre indispensables et n'entamment en rien l'efficacité du logiciel pour une utilisation courante et personnelle.

3/ Préparation

--> Rex : "Je ne suis pas un professionnel et ce qui va suivre n'a pas la prétention d'être la configuration idéale de Kerio mais en l'absence totale de tutoriaux pour la version 4, ceci constitue, je pense, une bonne base de travail.

--> Je vous propose donc maintenant de remplacer les règles de l'onglet "sécurité du réseau" par ces règles adaptées d'un tutoriel pour une version
bien antérieure de kerio de façon à avoir un contrôle beaucoup plus avancé sur les trafics entrants et sortants, de part et d'autre votre PC et l'environnement extérieur à celui-ci."

Dans la barre des tâches (en bas à droite du bureau de Windows), double cliquez sur l'icône de Kerio, pour en ouvrir l'interface.

Cliquez sur l'onglet "Sécurité du réseau" et commençons d'abord par supprimer toutes les règles présentes et supprimables de cet onglet (clic sur une règle et supprimer). !!! Toutes sauf la dernière : Autres applications suivie de 4 points d'interrogations. Cette règle permet à kerio de demander quoi faire lorsque vous installez une nouvelle application.

Une fois ces règles supprimées, cliquez sur le bouton [Filtrage...].


4/ Type de règles

• Les règles N sont des règles d'ordre général.
  
• Les règles A concernent les applications présentes sur votre machine (la liste n'est pas exhaustive et vous pourrez en ajouter vous même par la suite).
  
• Les règles R sont à utiliser en cas de réseau LAN.
  
• La règle réseau perso sont à utilisez en cas de réseau personnel (En plus des règles R).

Remarque : Il est toujours possible de désactiver une règle temporairement en décochant sa case.[/b]


5/ Présentation général des règles

Règles R1 et R2 :
Concernent les utilisateurs de réseau LAN (à utiliser seulement en cas de réseau).
Règle réseau perso concernant les utilisateurs de réseau perso (à utiliser seulement en cas de réseau perso elle est plus permissive que les règles R et permet par ex de jouer en réseau local).

Règles N1 et N2 :
Concernent le blocage NetBIOS. Entrer comme indiqué, même si vous avez désolidarisé NetBIOS du protocole TCP/IP, elles vous permettront de savoir s'il y a une tentative d'intrusion.(Présuppose que vous n'utilisez pas LEGITIMEMENT NetBIOS sur votre système).

Règles N3 et N4 :
Permettent aux applications de se connecter à vos serveurs DNS. Il vous faut créer autant de règles que votre FAI utilise de serveur DNS.

Règles N5 à N9 :
Concernent les règles ICMP.

Règle N10 :
Permet à certaines applications (genre navigateurs) de démarrer plus vite (accés au cache).

Règles N11 :
Bloque et journalise toutes les requêtes externes vers des ports classiques : FTP, HTTP, POP3, SMTP, Telnet, NetBios, etc.

Règle N12 à N15 :
Règles supplémentaires facultatives (Par défaut de AtGuard). Couvert par d'autres règles mais peut être utile en cas d'attaque pour loger précisément l'agresseur. Peuvent être désactivées et activées en cas de besoin.

Règles N15a et N15b :
Concernent le DHCP (à utiliser seulement en cas de besoin).

Règle N16 :
Blocage des ports troyens classiques (bas). Pas indispensables, comme 12 à 15.
Règles A16a, b, ... Concernent les applications utilisants les ports bloqués par la règle N17 et devant donc étre placées avant celles-ci (emule , msn, ...).

Règles N17 :
Blocage des ports troyens classiques (haut). Pas indispensables, comme 12 à 15.
Règles A17a, b, c, ... Règles spécifiques aux applications. Vous aurez généralement une ou deux règles à éditer par application devant avoir accès à Internet.

Règles A18 :
Règles concernant votre ou vos navigateur(s) Internet.

Règles A19 :
Règles concernant votre ou vos logiciel(s) de courrier et news.

Règles A20 :
Règles concernant vos scripts IRC (mIRC, etc.).

Règle N21 :
Concerne Windows update
--> Rex : "je ne l'active que lorsque je fais une mise à jour de windows."

Règles N22 N23 :
Bloque et journalise (si activé) deux failles restantes.

Règles N24 N25 :
Bloquent toutes les requêtes UDP/TCP indésirables depuis votre PC (troyen, ver, etc.).
Attention : Ces règles bloquent l'option apprentissage! (requête en sortie inconnue).[/b]

Règle 26 :
Règle "tout bloquer". Ne pas l'activer avant d'avoir créé toutes les règles pour vos applications! Laissez "assistant" (Demander quand une
règle n'est pas trouvée), surtout si vous installez souvent de nouvelles applications devant avoir accès au W3.

RESPECTEZ L'ORDRE DES REGLES! (Kerio interprète les règles du haut vers le bas).

--> Rex : "je n'ai pas parlé de l'option "journaliser" mais il est bien évident qu'il faut l'activer pour toutes les règles "Refuser"!"

~

[Team_Epsylone]

6/ Ajout des règles

Si vous êtes sur un LAN, il peut être nécessaire d'autoriser le NetBIOS pour les PC de votre réseau local, ajouter les règles R1 et R2.
Si vous n'avez pas de réseau, passez à la règle N1.

Cliquez sur l'onglet "Sécurité du réseau" puis sur le bouton [Filtrage...].
Cliquez sur le bouton [Ajouter], pour ajouter une règle de filtrage à Kerio.


Règle R1 :
Description : NetBIOS Réseau local <-- TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : Plage de ports : premier port : 137 , dernier port : 139
Distant : Plage d'adresses : première adresse : 192.168.0.0 ; dernière adresse :
192.168.255.255
Direction : Entrant
Action : Autoriser

Règle R2 :
Description : NetBIOS Réseau local -->TCP UDP
Application : Toutes
Protocole : TCP et UDP
Local : (vide)
Distant : Plage d'adresses : première adresse : 192.168.0.0 ;
dernière adresse : 192.168.255.255
Distant : Plage de ports : premier port : 137 ; dernier port : 139
Direction : Sortant
Action : Autoriser
Remarque : Si votre réseau est domestique (plusieurs PC dans votre famille et pas de réseau d'entreprise) il peut être avantageux d'ajouter cette règle aux règles R1 et R2

Règle réseau perso :
Description : Réseau 1
Application : (vide)
Protocole : (vide)
Local : (vide)
Distant : Plage d'adresses : première adresse : 192.168.1.1 (premier PC du réseau) ;
dernière adresse : 192.168.1.x (dernier PC du réseau)
Distant : Plage de ports : premier port : 137 ; dernier port : 139
Direction : Entrant et Sortant
Action : Autoriser

Règle N1 :
Description : Block NetBIOS Entrant TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : (vide)
Distant : Plage de ports : premier port : 137 ; dernier port : 139
Direction : Entrant
Action : Refuser

Règle N2 :
Description : Block NetBIOS Sortant TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : (vide)
Distant : Plage de ports : premier port : 137 ; dernier port : 139
Direction : Sortant
Action : Refuser

Règle N3 :
Description : Connexion au serveur DNS any App UDP
Application : (vide)
Protocole : UDP
Local : (vide)
Distant : Adresse simple ou plage d'adresses: (l'adresse du/des serveurs DNS de votre FAI) ;
port simple : 53
Direction : Entrant et Sortant
Action : Autoriser
Remarque : Sur certaines configurations, il faudra plusieurs règles de ce type pour inclure toutes les adresses DNS nécessaires (N3a).
Pour connaitre les adresses DNS nécessaires :
Démarrer > Exécuter.
Entrez cmd cliquez sur [OK]
A l'invite de commande, tapez ipconfig /all dans la fenètre DOS puis appuyez sur la touche Entrer de votre clavier.

Important : Si la règle suivante empêche tout accès au Web, désactivez la.
Règle N4 :
Description : Block autresDNS
Application : (vide)
Protocole : TCP et UDP
Local : (vide)
Distant : Port simple : 53
Direction : Entrant et Sortant
Action : Refuser


Règle N5 :
Description : Connexions PING et contrôles sortants
Application : (vide)
Protocole : ICMP
ICMP Type : Echo Request (8)
Local : (vide)
Distant : (vide)
Direction : Sortant
Action : Autoriser

Règle N6 :
Description : Connexions PING et contrôles entrants
Application : (vide)
Protocole : ICMP
ICMP Type : Echo Reply, Destination Unreachable, Time Exceeded (0 , 3 , 11)
Local : (vide)
Distant : (vide)
Direction : Entrant
Action : Autoriser

Règle N7 :
Description : Block autresPING et contrôles entrants
Application : (vide)
Protocole : ICMP
ICMP Type : Echo Request (1)
Local : (vide)
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N8 :
Description : Block autres PING et contrôles sortants
Application : (vide)
Protocole : ICMP
ICMP Type : Echo Reply, Destination Unreachable, Time Exceeded (0 , 3 , 11)
Local : (vide)
Distant : (vide)
Direction : Sortant
Action : Refuser

Règle N9 :
Description : Block autres ICMP
Application : (vide)
Protocole : ICMP
ICMP Type : Echo Reply, Destination Unreachable, Source Quench, Redirect... (tout de 0 à 18)
Local : (vide)
Distant : (vide)
Direction : Entrant et Sortant
Action : Refuser

Règle N10 :
Description : Loopback
Application : Toutes
Protocole : TCP et UDP
Local : Tous
Distant : Tous Adresse simple : 127.0.0.1
Direction : Entrant et Sortant
Action : Autoriser

Règle N11 :
Description : Block Ports communs
Application : (vide)
Protocole : TCP et UDP
Local : Liste de ports : 53, 98, 42, 22, 23, 25, 110, 143, 8080, 443, 80, 21, 79, 113
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N12 :
Description : Block Back Door
Application : (vide)
Protocole : TCP et UDP
Local : Liste de ports : 54320, 54321,
31337
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N13 :
Description : Block Netbus
Application : (vide)
Protocole : TCP
Local : Liste de ports : 12456, 12345, 12346,
20034
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N14 :
Description : Block BootPC
Application : (vide)
Protocole : TCP et UDP
Local : Port simple : 68
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N15 :
Description : Block RPCSS
Application : (vide)
Protocole : UDP
Local : Port simple : 135
Distant : (vide)
Direction : Entrant
Action : Refuser


Information : Règles pour le DHCP, si utilisé.
Règle N15a :
Description : DHCP < -- -- >
Application : (vide) ou ton application DHCP : x:\WINDOWS\SYSTEM32\SVCHOST.EXE
Protocole : UDP
Local : Port simple : 68
Distant : Port simple : 67, adresse simple : adresse du serveur DHCP
Direction : Entrant et Sortant
Action : Autoriser
Information : Pour connaitre les adresses DNS nécessaires :
Démarrer > Exécuter.
Entrez cmd cliquez sur [OK]
A l'invite de commande, tapez ipconfig /all dans la fenètre DOS puis appuyez sur la touche [Entrer] de votre clavier.

Règle N15b :
Description : DHCP
Application : (vide) ou votre application DHCP : x:\WINDOWS\SYSTEM32\SVCHOST.EXE)
Protocole : UDP
Local : Port simple : 68
Distant : Port simple : 67, adresse simple : 255.255.255.255
Direction : Sortant
Action : Autoriser
Information : Les règles N15a et N15b sont à activer seulement si vous utilisez le DHCP.[/b]

Règle N16 :
Description : Block Ports bas Troyens TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : Plage de ports : premier port : 1, dernier port : 79
Distant : (vide)
Direction : Entrant et Sortant
Action : Refuser

[Team_Epsylone]

Règles pour MSN Messenger.

Règle A16a.1 :
Groupe : MSN
Description : MSN 1 AV AS WB -->
Application : msnmsgr.exe
Protocole : TCP et UDP
Local : (vide)
Distant : Plage de ports : premier port : 80, dernier port :
65535
Direction : Sortant
Action : Autoriser

Règle A16a.2 :
Groupe : MSN
Description : MSN 2
Application : msnmsgr.exe
Protocole : TCP et UDP
Local : port simple : 1863
Distant : (vide)
Direction : Entrant
Action : Autoriser

Règle A16a.3 :
Groupe : MSN
Description : MSN 3 Transfert fichiers <--
Application : msnmsgr.exe
Protocole : TCP
Local : Plage de ports : premier port : 6891 ; dernier port : 6900
Distant : (vide)
Direction : Entrant
Action : Autoriser

Règle A16a.4 :
Groupe : MSN
Description : MSN 4
Application : msnmsgr.exe
Protocole : UDP
Local : Port simple : 5190
Distant : (vide)
Direction : Entrant
Action : Autoriser

Règle A16a.5 :
Groupe : MSN
Description : MSN 5
Application : msnmsgr.exe
Protocole : TCP et UDP
Local : Port simple : 6901
Distant : (vide)
Direction : Entrant
Action : Autoriser

Règle A16a.6 :
Groupe : MSN
Description : MSN 6 Block 1
Application : msnmsgr.exe
Protocole : UDP
Local : (vide)
Distant : (vide)
Direction : Sortant
Action : Refuser

Règle A16a.7 :
Groupe : MSN
Description : MSN 7 Block 2
Application : msnmsgr.exe
Protocole : TCP
Local : (vide)
Distant : Port simple : 80
Direction : Sortant
Action : Refuser
Information :Il y a certainement moyen de faire plus simple pour MSN mais ces règles fonctionnent (sauf peut-ètre l'audio/video car pas testé).



Important : Attention, cette règle peut vous empêcher l'utilisation de certains proxies , eMule, MSN, la navigation sur des serveurs FTP tournants sur des ports "exotiques". Mettez donc les règles pour ces applications avant, et appelez les 16a, 16b, etc.
Règle N17 :
Description : Block Ports haut Troyens TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : Plage de ports : premier port : 5000 ; dernier port :
65535
Distant : (vide)
Direction : Entrant et Sortant
Action : Refuser



Règles pour AVAST Antivirus

Règle A17a.1 :
Groupe : Avast
Description : Update1
Application : \program files\alwil software\avast4\setup\avast.setup
Protocole : TCP
Local : (vide)
Distant : Port simple: 80
Direction : Sortant
Action : Autoriser

Règle A17a.2 :
Groupe : Avast
Description : Update2
Application : \program files\alwil software\avast4\setup\avast01.setup
Protocole : TCP
Local : (vide)
Distant : Port simple : 80
Direction : Sortant
Action : Autoriser

Règle A17a.3 :
Groupe : Avast
Description : e-Mail Scanner Service-->
Application : \program files\alwil software\avast4\setup\ashmaisv.exe
Protocole : TCP
Local : (vide)
Distant : Port simple : 25
Direction : Sortant
Action : Autoriser

Règle A17a.4 :
Groupe : Avast
Description : e-Mail Scanner Service <--
Application : \program files\alwil software\avast4\setup\ashmaisv.exe
Protocole : TCP
Local : (vide)
Distant : Port simple : 110
Direction : Sortant
Action : Autoriser

Règle A17a.4 :
Groupe : Avast
Description : Web Scanner
Application : \program files\alwil software\avast4\setup\ashwebsv.exe
Protocole : TCP
Local : (vide)
Distant : Port simple : 80
Direction : Sortant
Action : Autoriser

[Team_Epsylone]

Viennent ici, toutes les règles pour les mises à jour de vos applications courantes : spybot, Ad-aware, pest-patrol, cdex, nero, ect.
avec les N° de règles : A17b , A17c, etc. (en général ces applications réclament une règle ouvrant le port 80 distant en tcp sortant).

Régles navigateurs

Règle A18.1 :
Groupe : Internet Explorer, Mozilla ou autre
Description : Navigation
Application : iexplore.exe ou firefox.exe ... (ou proxomitron)
Protocole : TCP
Local : (vide)
Distant : Liste de ports : 80, 8000, 8080, 3128, 443, 20, 21
Direction : Sortant
Action : Autoriser

Vous pouvez remplacer la liste de port par Tous si nécessaire (utilisation de IE pour des serveurs FTP sur port "exotique").
Si vous utilisez proxomitron ou logiciel équivalent, appliquez les règles 18.1 ci-dessus et 18.3 ci-dessous à proxomitron, appliquez
seulement la 18.2 à votre navigateur.
Si vous n'utilisez pas proxomitron ou un proxy local, appliquez les règles 18.1 et 18.3 à votre navigateur et oubliez la 18.2.

Règle A18.2 : ! Uniquement si vous utilisez proxomitron !
Groupe : Internet Explorer, Mozilla ou autre
Description : Navigation
Application : iexplore.exe ou firefox.exe ... (ou proxomitron)
Protocole : TCP
Local : (vide)
Distant : Port simple : 8080
Direction : Sortant
Action : Autoriser

Règle A18.3 :
Groupe : Internet Explorer, Mozilla ou autre
Description : Block entrées
Application : iexplore.exe ou firefox.exe ... (ou proxomitron)
Protocole : TCP et UDP
Local : (vide)
Distant : Liste de ports : 80, 8000, 8080,
3128, 443, 20, 21
Direction : Entrant
Action : Refuser


Régles courriers

Règle A19.1 :
Groupe : Internet Explorer, Mozilla ou autre
Description : Courrier
Application : Outlook express\msimn.exe ou thunderbird.exe ou autre
Protocole : TCP
Local : (vide)
Distant : Liste de ports : 143, 443, 119, 110, 25
Direction : Sortant
Action : Autoriser

Règle A19.2 :
Groupe : Internet Explorer, Mozilla ou autre
Description : Block
Application : Outlook express\msimn.exe ou thunderbird.exe ou autre
Protocole : TCP et UDP
Local : (vide)
Distant : Liste de ports : 143, 443, 119, 110, 25
Direction : Sortant
Action : Refuser




Régles IRC

Règle A20.1 :
Groupe : IRC
Description : T'Chat
Application : Votre client IRC
Protocole : TCP
Local : (vide)
Distant : Port simple: 6667
Direction : Sortant
Action : Autoriser

Règle A20.2 :
Groupe : IRC
Description : DCC1
Application : Votre client IRC
Protocole : TCP
Local : Plage de ports : premier port : 1024 ; dernier port :
1034
Distant : (vide)
Direction : Entrant et Sortant
Action : Autoriser

Règle A20.3 :
Groupe : IRC
Description : DCC2
Application : Votre client IRC
Protocole : TCP
Local : (vide)
Distant : Port simple : 59
Direction : Entrant
Action : Autoriser




Règle N21 :
Description : Windows Update
Application : c:\windows\system32\svchost.exe
Protocole : TCP
Local : (vide)
Distant : Liste de ports : 80 ; 443
Direction : Sortant
Action : Autoriser




Règle N22 :
Description : Block Faille PPTP
Application : (vide)
Protocole : TCP et UDP
Local : Port simple: 1723
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N23 :
Description : Block Faille MSHTA
Application : c:\windows\system32\mshta.exe
Protocole : TCP et UDP
Local : (vide)
Distant : (vide)
Direction : Entrant et Sortant
Action : Refuser

Règle N24 :
Description : Block App --> non autorisées TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : (vide)
Distant : (vide)
Direction : Sortant
Action : Refuser

Règle N25 :
Description : Block App <-- non autorisées TCP UDP
Application : (vide)
Protocole : TCP et UDP
Local : (vide)
Distant : (vide)
Direction : Entrant
Action : Refuser

Règle N25 :
Description : Block tout
Application : (vide)
Protocole : (vide)
Local : (vide)
Distant : (vide)
Direction : Entrant et Sortant
Action : Refuser

[Team_Epsylone]

7/ Régles complémentaires

Lorsque que vous installez une nouvelle application devant se connecter au Web, procédez de cette manière pour établir les règles nécessaires à cette
nouvelle application : Désactivez les règles N24, 25 et 26 avant de la lancer et pour chaque alerte de connexion sortante :

• Cochez "créer une règle".
  
• Puis la case "créer une règle de filtrage avancé" (en bas à gauche).
  
• Puis le bouton "règle avancée" (en bas à droite).
  
• Cochez "journaliser".
  
• Clic sur "OK".
  
• Clic sur "autoriser".

Quand votre application se lance et fonctionne de manière satisfaisante vous pouvez aller voir dans l'onglet "journaux et alerte" de Kerio pour répertorier les connexions nécessaires à votre application et créer les règles qui lui sont nécessaires dans "filtrage".
Il suffit ensuite de placer vos nouvelles règles au dessus de la règle N24 et de réactiver vos règles N24, 25, 26.
Les règles qui ont été crées automatiquement par Kerio (placées sous la règle 26) peuvent ètre alors supprimées car devenues inutiles et souvent plus permissives que nécessaire.




8/ Conclusion

--> Rex : "Cet ensemble de règles, ainsi que quelques unes spécifiques à d'autres applications présentes sur mon système, constitue chez moi une
protection qui n'a pour l'instant pas été prise en défaut.
Je n'ai pas la prétention de déclarer cette protection parfaite et il y a trés certainement moyen de l'obtenir avec moins de règles.
J'espère simplement que ce tuto aidera le plus de monde possible à utiliser Kerio au mieux pour se protéger."

~La Team~