Filtrage sortant des serveurs (egress)

Les serveurs peuvent aujourd'hui joindre n'importe quelle adresse sur Internet — idéal pour un attaquant (téléchargement d'outils, exfiltration, commande et contrôle). Restreignez les sorties de srv-app01 (eth0) avec une chaîne output en politique drop :

• boucle locale (oif lo accept) et retours (ct state established,related accept)
• DNS vers les résolveurs internes 10.0.0.53 et 10.0.0.54 (UDP et TCP 53)
• NTP vers 10.0.0.123 (UDP 123)
• proxy web 10.0.60.10 (TCP 3128) pour les mises à jour et API externes
• base de données 10.30.0.10 (TCP 5432) et relais SMTP 10.0.70.25 (TCP 25)
• journalisation des refus (log prefix "EGRESS-DROP " counter drop)

Rechargez. Un logiciel malveillant tente 45.137.21.9:443 directement : verdict ? → answer direct <accept|drop>