Rapport stage Dess Isa

3.5Firewall Builder

3.5.1Présentation de Firewall Builder

Firewall Builder est une interface graphique orientée objet permettant de créer des politiques de sécurité pour de nombreuse plate­formes Firewall. Dans Firewall Builder une politique de sécurité est composée d'un ensemble de règles. Chaque règle est un objet abstrait qui représente une entité d'un réseau ou un service - ordinateurs, routeurs, firewall, réseaux, protocoles, etc...
Firewall Builder contient une base de donnée d'objets prédéfinis et vous de créer une stratégie de sécurité par simple glisser/déposer. La liste suivante décrit tous les objets reconnus par Firewall Builder

• 
  Objets réseaux et groupes
  

• 
  Firewall
  
• 
  Hôte / Ordinateur
  
• 
  Réseau
  
• 
  Groupe d'hôtes et de réseaux
  

• 
  Services
  

• 
  IP (Protocole Internet)
  
• 
  ICMP (Internet Control Message Protocol)
  
• 
  UDP (User Datagram Protocol)
  
• 
  TCP (Transmition Control Protocol)
  
• 
  Services personnalisés
  
• 
  Groupes de services
  

L'objet Firewall désigne le firewall lui-même. Il contient de nombreux paramètres tels l'adresse IP, le type de plate-forme de la machine, etc... Il permet aussi de configurer les interfaces réseau du firewall ainsi que les paramètres spécifiques à l'environnement logiciel (OS). En fait Firewall Builder permet à la base de configurer 5 firewall : IPFilter, Netfilter, Packet filter, Ipfw et PIX

Le principe est le suivant : on configure tout d’abord le firewall sur lequel on souhaite travailler, puis on crée nos objets qui peuvent être des réseaux, des hôtes… .On crée ensuite une règle qui au départ est vide (en fait tous ces éléments sont « any »). Enfin on sélectionne les objets, on glisse vers une case, et on y dépose l’objet. Une fois que toutes les règles ont été saisies suivant la politique de sécurité, on lance la compilation (qui correspond en fait à la traduction des règles en langage firewall). Et enfin, on récupère dans un répertoire spécifié le fichier de configuration du firewall.

3.5.2Présentation du fichier XML de Firewall Builder

Une des particularités de Firewall Builder est de permettre l’accès à de nombreuses informations internes comme ses ressources, et de pouvoir exploiter ces derniers avec d’autres applications. C’est de cette manière que l’on a découvert que lorsque l’on crée un projet en passant par l’interface de Firewall Builder, toutes les informations que l’on transmet par le biais de cette interface sont en fait traiter par le noyau de Firewall Builder pour en donner un fichier au format XML où toutes les informations du projet sont projetés.

Voici une partie du schéma de Firewall Builder :

Voici un exemple ouvert avec xml spy :

D
és lors, en sachant que Firewall Builder exploite en fait un fichier XML, la nouvelle approche proposée fut de créer à partir de Or-Bac réseau un fichier au format XML qui suit les spécificités du schéma de Firewall Builder.

3.5.3Objectif: De Or-Bac à Firewall Builder

Mon travail consistait donc dans un premier temps à étudier la correspondance entre les informations contenues dans l’interface et les informations ainsi écrites dans le fichier au format XML. Voici un exemple de Firewall Builder avec son équivalent en XML.

3.5.3.1Approche proposée

L’approche qui consistait à générer les règles de contrôle d’accès en passant par deux phases de transformations a été maintenue. D ans cette partie je développe l’algorithme pour la première transformation.

3.5.3.2Algorithme pour le nouveau langage générique

• 
  Définition des Rôles et des zones d’exclusions
  
• 
  Définition des Vues et des zones cibles
  
• 
  Définition des Activités et des protocoles associés aux services
  

Fonction « permission »

Recherche les permissions

Pour chaque permission

Faire Création d’une règle

• 
  Rechercher entité Source (Rôle) sous les balises relevantRole
  
• 
  Redéfinir entité en fonction des exclusions pour ne définir des zones qu’avec des permissions
  
• 
  Rechercher entité destination (Vue) sous les balises relevantView
  
• 
  Redéfinir entité en fonction des exclusions pour ne définir des zones cibles qu’avec des permissions
  
• 
  Rechercher entité service (Activité) sous les balises relevantActivity
  
• 
  Faire correspondre l’entité avec son protocole et son numéro de port
  

Fin faire

Fin Recherche des permissions.

Fin fonction « permissions ».

3.5.3.3Du langage spécifique à Firewall Builder

Pour pouvoir passer du langage générique à Firewall Builder, il faut se servir de certains fichiers sources de Firewall Builder, en particulier du fichier « template ». Ce fichier est composé de plusieurs parties, les plus importantes pour notre problème sont celles-ci :

Puis en suivant le schéma de Firewall Builder, on traduit le fichier spécifique en Firewall Builder. J’ai étudié la faisabilité de cette méthode avec des transformations XSLT. Cela s’est avéré très lourd et peu générique, en effet la génération de processus interne et de variable telle que les « id » m’ont posé des problèmes. Une de mes suggestions fut de développer le programme en C++, mais le langage java sera probablement retenu. Le développement complet de l’approche fait partie d’une autre étude qui sera probablement proposé par le laboratoire.

3.5.4De Firewall Builder à Planets.

Un autre avantage de Firewall Builder est que l’on peut ajouter (ou pluger) un firewall et son logiciel de compilation. Il est donc possible de développer et d’installer son propre logiciel de compilation de règles pour l’un des firewall installé ou bien rajouter un nouveau firewall et son logiciel de compilation.

Nous décidons d’y ajouter Planets, le langage de firewall développé à l’ENSTB, et de développer son logiciel de compilation que l’on intègrera à Firewall Builder.

En exploitant le fichier XML de Firewall Builder et en utilisant le langage XSLT, on extrait les informations concernant la politique de sécurité et on transforme le fichier en règle Planets.









































Extrait du fichier qui doit être généré par la transformation, cette partie est en cours de développement je ne rencontre aucune difficulté particulière, il me faut simplement du temps.

Conclusion
Ce projet introduit la perspective de rendre Or-Bac complètement compatible avec
Firewall Builder. Cette solution permet d’éviter des erreurs dans l’ordonnancement des règles, et offre aussi la possibilité de s’abstraire totalement du réseau.