Configurer le contrôle de sécurité du pare-feu

Le contrôle « Firewall Enabled » peut être une condition de source d’une politique d’accès Zero Trust. Il utilise l’état du pare-feu transmis par le terminal. Sa création n’active pas le pare-feu et ne limite pas automatiquement l’accès.

Préparer les terminaux

1. Vérifiez les capacités requises et les droits de gestion des terminaux, contrôles de sécurité et politiques Zero Trust. Choisissez des terminaux pilotes contrôlés et des cas témoins avec pare-feu activé et désactivé.
2. Configurez le pare-feu pilote selon la procédure de gestion des terminaux. Vérifiez l’enrôlement, le fonctionnement du client et la remontée d’état. N’affaiblissez pas les terminaux de production pour le test.
3. Vérifiez les règles selon les exigences métier et de l’organisation. Un pare-feu activé ne prouve pas que toutes les règles, configurations réseau ou la sécurité globale du terminal sont correctes.

Portée de l’état Windows : dans certains contrôles d’état des terminaux Windows, le pare-feu peut être déclaré activé si le profil réseau public ou privé est activé. Cette synthèse ne vérifie pas séparément le profil de domaine et ne prouve pas que le profil actuellement utilisé est activé. Un échec de lecture peut aussi être signalé comme désactivé. En cas d’écart, vérifiez chaque profil et la collecte sur le terminal ; le résultat seul ne prouve pas la protection effective.

Créer et référencer le contrôle

1. Dans Unified Endpoint Management, ouvrez « Security Checks », puis choisissez « Create Check » ou « Create Security Check ». Dans « Check type », sélectionnez « Firewall Enabled » ; aucun paramètre supplémentaire n’est requis.
2. Dans « Review », saisissez un nom, vérifiez le type et enregistrez. Contrôlez le nom et l’activation dans la liste ; vérifiez et réutilisez un contrôle du même type déjà présent.
3. La création seule ne change pas les droits d’accès. Pour Zero Trust, modifiez la politique cible, sélectionnez le contrôle dans « Security Checks », vérifiez source, cible, direction, protocole et ports, puis enregistrez.
4. Attendez la mise à jour de l’état, des résultats et de la politique. Testez des sources contrôlées conformes et non conformes ; vérifiez aussi les autres politiques, routes et pare-feu cible.

Le contrôle dépend de l’état transmis : ne supposez pas qu’une donnée absente, inconnue ou expirée est conforme. Il s’agit d’une condition de source : dans une politique de refus, un échec ne garantit pas le refus, car d’autres règles ou chemins peuvent agir. Testez séparément réussite, échec et données absentes, sans confier le blocage à une seule politique.

Lors de la création, choisissez « Next » après chaque étape de l’assistant, puis « Create Check » dans « Review ». Pour modifier un contrôle existant, le dernier bouton est « Save ». Après soumission, revenez à la liste et vérifiez le résultat.

Maintenance et dépannage

• Avant modification ou désactivation, examinez références et impact métier. Un contrôle référencé ne peut pas être supprimé directement ; traitez les références selon la procédure puis vérifiez l’accès.
• Si la création échoue, vérifiez licence, droits et contrôles similaires. En cas de résultat inattendu, contrôlez l’état du pare-feu, la remontée, les données, politiques Zero Trust et routes.
• Un résultat positif ne prouve pas la justesse des règles, la protection de tous les terminaux ou la sécurité du réseau. Vérifiez séparément terminaux et services cibles.