Pourquoi aurais-je besoin d'un pare-feu si mon serveur est bien configuré ?

Vous pouvez être victime de nombreuses attaques si vous ne disposez pas d'un pare-feu qui effectue une sorte d'inspection au niveau des paquets :

L'exemple est le Paquet de l'arbre de Noël

http://en.wikipedia.org/wiki/Christmas_tree_packet

Des attaques DDOS pourraient être lancées contre votre système, un pare-feu (externe peut-être, avant l'un de vos serveurs) arrêterait / ralentirait / tuerait le trafic avant qu'il ne paralyse vos serveurs.

Juste parce que que vous n'avez pas de données financières ou personnelles sur les serveurs ne signifie pas que vous ne serez pas "blessé". Je suis sûr que vous payez pour la bande passante ou l'utilisation du processeur, ou que vous avez un taux mesuré. Imaginez qu'au cours d'une nuit (pendant que vous dormez) quelqu'un fasse grimper votre compteur (j'ai vu cela se produire avec des fournisseurs de commutateurs VOIP, frappés dans la nuit pour des MILLIONS DE MINUTES de trafic, dont ils doivent payer la facture).

Soyez donc intelligent, utilisez la protection si elle existe, vous n'êtes PAS PARFAIT, les logiciels non plus. Il n'est sûr que jusqu'à ce que le prochain exploit soit trouvé ;)

Il se peut que vous ou quelqu'un d'autre commette un jour une erreur dans la configuration de votre serveur. Un pare-feu vous donne alors une deuxième chance d'empêcher quelqu'un d'y pénétrer. Nous ne sommes pas parfaits, nous faisons des erreurs et, par conséquent, un peu d'assurance "inutile" peut être utile.

(Essayez de ne pas faire fonctionner votre pare-feu sur le même OS que vos serveurs, car sinon un seul bug dans l'OS.... Je considère que toutes les versions d'Unix sont le même système d'exploitation, car elles ont beaucoup en commun).

Si vous pouvez appliquer le principe du moindre privilège sans utiliser de pare-feu, vous n'en avez probablement pas besoin. De mon point de vue, construire un système sécurisé sans utiliser de pare-feu demande plus d'efforts, et je suis plutôt paresseux. Pourquoi devrais-je prendre la peine de restreindre les connexions TCP en utilisant d'autres outils et probablement de nombreux fichiers de configuration alors que je peux séparer les privilèges au niveau du transport en utilisant une seule configuration.

Un pare-feu peut également empêcher les paquets indésirables d'atteindre vos serveurs. Au lieu de les traiter au niveau de chaque serveur, vous pouvez les traiter au niveau du pare-feu. Vous pouvez conserver toute cette activité de configuration sur un seul pare-feu au lieu de plusieurs serveurs.

Par exemple, si un attaquant a pris le contrôle d'une adresse IP externe et qu'il inonde vos serveurs de paquets indésirables, et que vous souhaitez atténuer les effets de cette attaque sur vos serveurs... vous pouvez soit configurer chacun de vos serveurs concernés pour qu'ils abandonnent les paquets malveillants, soit effectuer la modification au niveau de votre pare-feu et tous vos serveurs sont protégés. Le pare-feu a réduit votre temps de réaction.