Windows Defender Firewall¶

Le pare-feu périmétrique protège la frontière nord-sud. Le pare-feu local protège chaque poste individuellement, y compris contre les flux est-ouest à l'intérieur du réseau.

Ce sont deux mesures complémentaires. Supprimer l'une parce que l'autre existe revient à retirer la serrure d'un appartement parce que l'immeuble a un digicode.

1. Pourquoi le pare-feu local reste indispensable¶

1.1 Défense en profondeur¶

Un attaquant qui a franchi le périmètre se retrouve sur le réseau interne avec une connectivité souvent large. Le pare-feu local de chaque poste constitue alors la seule barrière entre lui et les services exposés localement.

Sans cette couche, un mouvement latéral via SMB, RDP ou WinRM ne rencontre aucune résistance réseau côté poste.

1.2 Mouvement latéral¶

Les outils offensifs post-compromission exploitent des protocoles légitimes déjà ouverts sur le LAN. PsExec, WMI, WinRM et les partages administratifs fonctionnent tous sur des ports que le pare-feu local peut filtrer.

Restreindre ces flux au strict nécessaire réduit la surface utilisable par l'attaquant.

1.3 Postes portables hors VPN¶

Un portable connecté au Wi-Fi d'un hôtel ou d'un espace de coworking n'est plus protégé par l'infrastructure réseau de l'entreprise.

Le profil Public du pare-feu local devient alors la première et parfois la seule ligne de défense.

2. Les trois profils réseau¶

Windows attribue un profil à chaque interface réseau connectée. Ce profil détermine quel jeu de règles de pare-feu s'applique.

Le profil Domain est attribué automatiquement lorsque le service NLA (Network Location Awareness) détecte qu'un contrôleur de domaine est joignable via LDAP.

Le profil Public est le plus restrictif par défaut. C'est le profil de repli lorsque aucune condition de détection Domain ou Private n'est remplie.

3. Déploiement des règles via GPO¶

3.1 Chemin GPO¶

Les règles du pare-feu se configurent dans :

Computer Configuration
  > Windows Settings
    > Security Settings
      > Windows Defender Firewall with Advanced Security

Ce noeud expose trois sous-sections : Domain Profile, Private Profile, Public Profile. Chacune permet de définir l'état du pare-feu, l'action par défaut et les règles spécifiques à ce profil.

3.2 Règles entrantes vs sortantes¶

3.3 Types de règles¶

Le pare-feu Windows supporte trois critères principaux de filtrage :

• Par programme : chemin de l'exécutable autorisé ou bloqué.
• Par port : numéro de port TCP ou UDP, avec ou sans restriction d'adresse source.
• Par service : nom du service Windows associé à la règle.

Ces critères peuvent se combiner. Une règle peut par exemple autoriser svchost.exe uniquement sur le port 53/UDP pour le service Dnscache.

4. Clés de registre du pare-feu¶

Les GPO du pare-feu écrivent dans la ruche HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall. Chaque profil dispose de sa propre sous-clé.

5. Règles de blocage recommandées¶

5.1 Bloquer SMB en entrée hors profil Domain¶

Les ports 445/TCP et 139/TCP servent aux partages de fichiers. Sur les profils Private et Public, aucun poste standard n'a besoin de recevoir des connexions SMB.

5.2 Bloquer NetBIOS sur profil Public¶

Les ports 137/UDP et 138/UDP sont utilisés par NetBIOS Name Service et NetBIOS Datagram Service. Ces protocoles exposent le poste à des attaques de résolution de noms sur des réseaux non maîtrisés.

5.3 Limiter RDP au profil Domain¶

Le port 3389/TCP ne devrait être accessible que depuis le réseau d'entreprise. Restreindre RDP au profil Domain empêche toute connexion Bureau à distance depuis un réseau public ou privé non maîtrisé.

6. Ne jamais désactiver le pare-feu¶

Certaines organisations désactivent le pare-feu local via GPO pour éviter les tickets de support liés à des flux bloqués.

C'est une erreur structurelle.

La bonne approche est de maintenir le pare-feu actif et de créer des exceptions ciblées pour les flux légitimes. Un pare-feu avec des règles bien documentées est toujours préférable à un pare-feu désactivé.

7. Flux de décision par profil¶

flowchart TD
    A[Interface réseau connectée] --> B{NLA détecte un DC ?}
    B -- Oui --> C[Profil Domain]
    B -- Non --> D{Réseau marqué Private ?}
    D -- Oui --> E[Profil Private]
    D -- Non --> F[Profil Public]

    C --> G[Règles Domain appliquées]
    E --> H[Règles Private appliquées]
    F --> I[Règles Public appliquées]

    G --> J[SMB, RDP, WinRM\nautorisés selon règles]
    H --> K[SMB entrant bloqué\nRDP bloqué]
    I --> L[SMB, NetBIOS, RDP bloqués\nDéfaut : tout entrant bloqué]

8. Tableau récapitulatif¶