A Secure Next-Generation Firewall Architecture Against DDoS Attacks

Dans un monde de systèmes et de technologies qui évolue rapidement, la sécurité des réseaux n'est pas seulement une priorité, c'est une nécessité absolue. Les infrastructures de réseau et les systèmes d'information doivent continuer à se concentrer sur la manière de les sécuriser contre les cyberattaques. Le nombre de cybercriminels a considérablement augmenté au cours des dernières années, et il est de la plus haute importance de renforcer les mesures de cybersécurité et d'accroître la sensibilisation afin de protéger les actifs sensibles contre les menaces potentielles. La demande indéniable de solutions de sécurité efficaces ne cesse de croître, car les cyberattaques se sont généralisées, affectant les systèmes et les réseaux de divers secteurs d'activité. Cette tendance souligne l'urgence de mettre en oeuvre des méthodes et des stratégies avancées pour contrer le nombre croissant et la sophistication des cyberattaques, qui constituent une menace sérieuse pour les individus et les organisations à l'échelle mondiale. L'objectif principal des mesures de sécurité actuelles est d'anticiper et de gérer les cybermenaces courantes, en particulier les attaques par déni de service “Denial of Service” (DoS) et par déni de service distribué “Distributed Denial of Service” (DDoS). Il s'agit de tirer parti de scénarios prédictifs et d'outils de sécurité avancés pour identifier les vulnérabilités et prévoir les schémas d'attaque. Lorsqu'une menace est détectée, des mécanismes de défense automatisés et en temps réel sont immédiatement mis en oeuvre pour atténuer l'impact de l'attaque. Cette recherche vise à développer une stratégie globale de cybersécurité contre les attaques DDoS. Elle intègre l'utilisation d'un pare-feu de nouvelle generation “Next-Generation Firewall” (NGFW), du trafic “Voice over Internet Protocol” (VoIP), de la gestion des informations et des événements de sécurité “Security Information and Event Management” (SIEM), d'un serveur Web, de Kali Linux, et de commutateurs et routeurs de couche 2 sur trois couches distinctes du réseau : l'accès, la zone démilitarisée “Demilitarized Zone” (DMZ) et le coeur. En combinant ces technologies, le mécanisme assure une protection solide et une atténuation efficace des menaces à chaque couche du réseau. Dans un premier temps, nous configurons une topologie de réseau sur la plateforme EVE-NG et sur VMware Workstation. La configuration et la politique du pare-feu de nouvelle génération sont essentielles pour la détection en temps réel et les stratégies d'atténuation des attaques DDoS, en vi établissant une architecture de réseau sécurisée. Il empêche les accès non autorisés, applique des contrôles d'accès stricts et utilise des techniques avancées de prévention des menaces, qui protègent l'intégrité et garantissent la disponibilité des ressources critiques du réseau. Le trafic VoIP, un service essentiel est très sensible et fait souvent l'objet d'attaques DDoS. En raison de sa dépendance à l'égard des communications en temps réel et des exigences strictes en matière de latence, les interruptions des services VoIP peuvent avoir un impact considérable sur la disponibilité opérationnelle. La gestion SIEM dote de la sécurité des réseaux d'informations exploitables et d'une intelligence axée sur l'analyse, permettant une surveillance de la sécurité en temps réel, une identification avancée des menaces, une gestion des incidents et une détection des anomalies basée sur l'analyse comportementale. Le serveur web sert d'interface web dans la couche DMZ et constitue une autre cible de choix pour les attaquants DDoS. Le système Kali Linux joue le rôle de l'attaquant DDoS dans l'environnement simulé et génère un trafic d'inondation pour submerger et perturber les services. Les commutateurs relient les dispositifs du réseau à différentes couches, principalement à la couche 2 (couche de liaison de données) pour transmettre les trames sur la base des adresses “Media Access Control” (MAC). Les routeurs acheminent les paquets de la source à la destination par l’intermédiaire des chemins optimaux grâce à des protocoles de routage, afin d'assurer une transmission efficace des données sur les réseaux interconnectés. Après une évaluation approfondie de toutes les exigences en matière de sécurité, l’infrastructure réseau devance les attaquants DDoS potentiels, ayant construit un modèle de défense adaptatif conçu pour protéger ses services. L'intégration du NGFW et du SIEM fonctionne en tandem pour créer un cadre de sécurité dynamique et résilient qui non seulement détecte et atténue les menaces, mais évolue également en permanence pour faire face aux risques émergents dans le paysage cybernétique en constante évolution. L'évaluation des deux scénarios, l'un sans mesures de sécurité et l'autre avec des mécanismes de défense en place, a révélé des différences significatives dans les performances des ressources de Firepower. La charge du processeur a considérablement diminué, passant d'un pic de 88 % à une utilisation moyenne de 23 % sur tous les coeurs de traitement. L'utilisation de la mémoire du système a légèrement baissé à 59 %, tandis que la consommation de bande passante réseau a fortement chuté, avec un débit sortant passant de 352,86 kbit/s à 10,77 kbit/s. Les journaux de prévention des intrusions ont confirmé que Firepower a détecté et bloqué les modèles d'attaque dès les premières phases, ce qui a réduit le temps nécessaire pour identifier les menaces et éliminer le trafic non autorisé. Une comparaison directe de ces scénarios a démontré les risques d’un réseau non protégé, où le trafic d’attaque non filtré surchargeait les ressources et exposait des services critiques. En revanche, le déploiement des politiques de sécurité multi-niveaux de Firepower, associé à l’analyse des points de terminaison de Wazuh SIEM, a constitué une architecture de protection efficace, garantissant la stabilité du réseau, optimisant l'utilisation des ressources et maintenant la disponibilité des services. Ces résultats ont validé la robustesse du cadre de sécurité proposé pour prévenir les attaques DDoS à grande échelle et protéger les infrastructures réseau.