Les Possibilités du serveur de BANIP

banIP, Le bouclier du Système Cerbère contre les adresses IP dangereuses

Votre réseau est ouvert à 4 milliards d’adresses. banIP décide lesquelles ont le droit d’entrer.

Chaque seconde, votre connexion internet reçoit des tentatives de contact provenant d’adresses IP du monde entier. La plupart sont inoffensives. D’autres appartiennent à des machines contrôlées par des cybercriminels, des robots qui scannent les réseaux à la recherche de failles, ou des serveurs infectés par des logiciels malveillants.

Le module « banIP », intégré au cœur du Système Cerbère, est un système de filtrage avancé qui bloque automatiquement ces adresses dangereuses avant même qu’elles n’atteignent vos ordinateurs. Il fonctionne en permanence, se met à jour tout seul, et peut être entièrement configuré par l’utilisateur final grâce à une interface graphique simple accessible depuis un navigateur web.

Que fait banIP concrètement ?

Pour le dire simplement : banIP prend des listes d’adresses IP connues comme dangereuses et les bloque automatiquement au niveau du réseau. Aucune de ces adresses ne peut communiquer avec vos machines, ni en entrée (quelqu’un qui tente de vous atteindre), ni en sortie (un logiciel malveillant sur votre réseau qui tenterait de « téléphoner » à son serveur de commande).

Ce blocage s’effectue à trois niveaux distincts :

• En entrée vers votre routeur : Il bloque les tentatives d’accès direct à votre équipement réseau (par exemple, un pirate qui tente de se connecter à distance).

• En entrée vers vos appareils : Il bloque les connexions venant d’internet qui ciblent vos ordinateurs, imprimantes, caméras ou tout appareil connecté à votre réseau local.

• En sortie depuis vos appareils : Il empêche vos machines de contacter des serveurs dangereux, ce qui est essentiel si un logiciel malveillant a réussi à s’installer.

Le blocage géographique : la première ligne de défense

Le Système Cerbère utilise banIP pour bloquer des pays entiers. Sur les 4 milliards d’adresses IP existantes dans le monde, seules environ 315 millions sont autorisées à communiquer avec votre réseau. Les 90 % restants, qui n’ont aucune raison légitime de contacter votre entreprise, sont bloqués à la porte.

Ce n’est pas de la paranoïa. Les statistiques montrent que la grande majorité des attaques informatiques contre les entreprises françaises proviennent de zones géographiques très identifiées. En bloquant ces zones, on élimine d’emblée l’immense majorité des tentatives d’intrusion, sans aucun impact sur votre activité quotidienne.

Le blocage par 30 listes noires spécialisées : un filet de sécurité à mailles très serrées

Au-delà du blocage géographique, banIP s’appuie sur une trentaine de listes noires maintenues par des organisations reconnues en cybersécurité (universités, centres de recherche, entreprises spécialisées, communautés d’experts). Ces listes sont mises à jour automatiquement, gratuitement et en continu.

Chaque liste a une spécialité :

• Attaques par force brute : Identification des serveurs tentant des milliers de mots de passe par minute.

• Botnets : Repérage des machines infectées servant de relais aux cybercriminels.

• Phishing : Ciblage des réseaux utilisés pour les faux sites de banques.

• Adresses « Bogon » : Blocage des adresses IP qui ne devraient pas exister sur internet.

La protection contre les attaques par saturation (DoS)

banIP ne se contente pas de filtrer les adresses IP. Il protège également votre réseau contre les attaques par saturation, dites « déni de service », qui visent à noyer votre connexion sous un flot de requêtes inutiles.

Trois types d’attaques sont détectés et bloqués automatiquement :

• Attaques SYN Flood : Demandes de connexion simultanées visant à épuiser les ressources du routeur.

• Attaques UDP Flood : Protocole souvent utilisé pour saturer les connexions des petites structures.

• Attaques ICMP Flood : Envoi massif de « pings » pour ralentir ou bloquer votre réseau.

La surveillance en temps réel des tentatives de connexion

Comme les logiciels professionnels fail2ban ou CrowdSec, banIP surveille en permanence les journaux d’activité de votre réseau. Si une adresse IP tente de se connecter avec un mauvais mot de passe, elle est automatiquement ajoutée à la liste noire locale.

Les services surveillés par défaut incluent :

• Les tentatives de connexion SSH (accès à distance sécurisé).

• Les tentatives de connexion à l’interface d’administration LuCI.

• Les tentatives de connexion au serveur web (nginx).

• Les tentatives de connexion au système téléphonique (Asterisk/VoIP).

Une liste blanche et une liste noire personnalisables

banIP gère deux listes locales que vous pouvez modifier à tout moment :

• La liste blanche (allowlist) : Les adresses IP ou domaines qui ne doivent jamais être bloqués (ex: votre expert-comptable).

• La liste noire locale (blocklist) : Les adresses que vous souhaitez bloquer manuellement suite à un comportement suspect.

Le mode « liste blanche uniquement » : la sécurité maximale

Pour les environnements les plus sensibles, banIP propose un mode radical : au lieu de bloquer les adresses dangereuses, il bloque tout ce qui n’est pas explicitement autorisé. Ce mode est particulièrement adapté aux postes de travail ayant des besoins très spécifiques (comptabilité, banque, messagerie).

La protection BCP38 contre l’usurpation d’adresses

banIP implémente la norme BCP38. Son principe : rejeter tout paquet dont l’adresse source n’est pas cohérente avec l’interface par laquelle il arrive. Si une connexion prétend venir de votre réseau local alors qu’elle arrive depuis internet, elle est immédiatement stoppée.

BANIP se pilote depuis une interface graphique

L’ensemble de ces fonctionnalités est accessible depuis l’interface graphique LuCI. L’interface est organisée en onglets clairs :

• Paramètres généraux : Activation du service et choix du mode de blocage.

• Sélection des listes : Activation des listes noires et du filtre géographique.

• Rapports : Statistiques de blocage en temps réel.

• Recherche : Pour savoir instantanément si une IP est bloquée et pourquoi.

• Carte géographique : Visualisation interactive de la provenance des attaquants.

Les fonctionnalités avancées

banIP offre également des outils pour les configurations complexes :

• Blocage par numéro ASN : Pour bloquer un fournisseur d’accès ou un hébergeur spécifique.

• Blocage de DNS et DoH tiers : Empêche le contournement du filtrage AdGuard Home.

• Notifications par e-mail : Rapport automatique à chaque mise à jour ou événement de sécurité.

• Dédoublonnage : Optimisation des performances et de la mémoire vive.

En résumé

banIP est le composant de défense active du Système Cerbère. C’est l’équivalent d’un vigile professionnel posté à l’entrée de votre réseau, 24 heures sur 24, qui vérifie l’identité de chaque visiteur et refuse l’accès à tous ceux qui figurent sur une liste noire.

Annexe : Les 30 listes noires du Système Cerbère

• # backscatterer : Serveurs de messagerie mal configurés.

• # becyber : Attaquants identifiés par la communauté BeCyber.

• # binarydefense : Serveurs de commande de logiciels malveillants.

• # bogon : Adresses IP « fantômes » non allouées.

• # bruteforceblock : Spécialisée dans les attaques par force brute.

• # cinsscore : Score de réputation CI Security.

• # country : Blocage géographique (Pilier Cerbère).

• # debl : Compilation Fail2ban mondiale.

• # dns / doh : Serveurs DNS tiers pour forcer le filtrage local.

• # drop : Compilation Spamhaus (Réseaux cybercriminels).

• # dshield : Top 20 SANS Internet Storm Center.

• # etcompromised : Serveurs légitimes infectés.

• # feodo : Botnets bancaires (Emotet, Dridex).

• # firehol (1 à 4) : Compilations progressives de menaces.

• # greensnow : Surveillance des ports sensibles en temps réel.

• # hagezi : Télémétrie, publicités et phishing.

• # ipblackhole : Consolidation multi-sources.

• # ipexdbl : Scans de ports et exploitation de vulnérabilités.

• # ipsum : Triple confirmation (très haute fiabilité).

• # ipthreat : Infrastructures de pilotage de botnets.

• # myip : Blocage des nouveaux attaquants en temps réel.

• # proxy / vpn / vpndc : Services d’anonymisation.

• # threatview : Vision large (Malwares et Phishing).

• # tor : Nœuds de sortie du réseau anonyme Tor.

• # turris : Données issues de « pièges à pirates » (Honeypots).

• # uceprotect (1 à 3) : Protection anti-spam multiniveau.

• # urlhaus : Hébergeurs de fichiers malveillants (Ransomwares).

Article rédigé par 3WCONSEIL — Système Cerbère — Cybersécurité pour les entreprises locales.