Pare-feu PME : FortiGate, Sophos XGS, WatchGuard ou UniFi ?

Le pare-feu est souvent le premier équipement de sécurité qu'une PME achète, et le dernier qu'on regarde ensuite. Il reste sur une tablette à côté du modem jusqu'au jour où arrive l'avis de renouvellement de licence, ou un bulletin de vulnérabilité qui touche justement son modèle.

Choisir entre Fortinet, Sophos, WatchGuard et Ubiquiti, ce n'est pas seulement comparer des boîtiers. C'est choisir un modèle de licence que vous paierez pendant cinq ans ou plus, une console que votre fournisseur TI devra maîtriser et un rythme de mises à jour à respecter.

Le vrai coût : le boîtier ou l'abonnement ?

Trois des quatre fabricants vendent le matériel accompagné d'abonnements, et ce sont ces abonnements qui débloquent les protections qui comptent le plus.

• Fortinet regroupe ses services FortiGuard en trois ensembles. L'ensemble ATP comprend notamment l'IPS, l'antivirus, le bac à sable FortiSandbox SaaS et le contrôle des applications. Le filtrage d'URL et de DNS exige l'ensemble UTP ; l'ensemble Enterprise inclut le tout.
• Sophos inclut une licence de base avec le matériel : réseau, VPN d'accès distant illimité, VPN entre sites et rapports. L'ensemble Xstream Protection ajoute la protection réseau (IPS), la protection Web, la protection contre les menaces inédites, l'orchestration centrale et la protection DNS, offerte seulement dans l'ensemble.
• WatchGuard propose quatre niveaux. Standard Support couvre le pare-feu, le VPN et le SD-WAN ; Basic Security Suite ajoute l'IPS, l'antivirus de passerelle et le filtrage WebBlocker ; Prime ajoute APT Blocker et DNSWatch ; Total ajoute ThreatSync XDR et EDR Core.
• Ubiquiti ne demande aucune licence pour l'IPS et le filtrage de contenu de base. L'abonnement CyberSecure, facultatif, enrichit les signatures (Proofpoint) et le filtrage (Cloudflare).

Le conseil pratique : comparez le coût total sur cinq ans, renouvellements compris. Une soumission ne devrait jamais montrer seulement le prix de la première année. Notre guide sur le budget de cybersécurité d'une PME aide à situer cette dépense parmi les autres.

Gestion et journaux : qui regarde ce qui se passe ?

Un pare-feu que personne ne consulte protège moins qu'on le croit. Les quatre fabricants offrent une console infonuagique, avec des conditions différentes.

FortiGate Cloud offre un palier de base gratuit, limité à sept jours de journaux et à un rapport par défaut ; l'abonnement Standard ajoute la gestion, l'analyse et un an de journaux, et exige un contrat FortiCare Premium. Chez Sophos, la gestion infonuagique est incluse sans frais avec les ensembles de protection. WatchGuard inclut la gestion centralisée dans WatchGuard Cloud dès Standard Support. Ubiquiti décrit Site Manager comme un tableau de bord sans licence pour tous les sites UniFi.

Ces journaux sont souvent la première source pour reconstituer une attaque par rançongiciel. Vérifiez combien de temps ils sont conservés, et qui reçoit les alertes.

Le VPN d'accès distant, le point le plus sensible

Les passerelles VPN et les interfaces d'administration exposées sur Internet sont des cibles de choix. L'avis conjoint de la CISA et de ses partenaires, dont le Centre canadien pour la cybersécurité, sur les vulnérabilités les plus exploitées en 2023 cite des failles de produits de plusieurs fabricants de pare-feu et de VPN. Aucun n'en est à l'abri : ce qui compte, c'est la vitesse à laquelle vous appliquez les correctifs.

Un changement récent mérite l'attention des clients Fortinet : depuis FortiOS 7.6.3, le mode tunnel du VPN SSL est retiré, et les modèles dotés de 2 Go de mémoire vive ou moins ne prennent plus en charge le VPN SSL du tout. Fortinet recommande de migrer vers un VPN IPsec avant la mise à jour. Si vos employés se connectent par VPN SSL, planifiez cette migration avec votre fournisseur TI.

Quel que soit le fabricant, exigez l'authentification multifacteur sur le VPN, désactivez l'administration depuis Internet et suivez une politique de gestion des correctifs qui prévoit les urgences.

Comment choisir

Posez-vous ces questions dans l'ordre :

1. Qui va l'administrer ? Si votre fournisseur TI maîtrise déjà une marque, ce facteur pèse plus lourd que n'importe quelle fonction. Un pare-feu mal configuré ne vaut pas mieux qu'un routeur ordinaire.
2. Combien de sites ? Au-delà d'un bureau, le SD-WAN et la gestion centralisée deviennent importants. Les quatre en offrent, à des niveaux de licence différents.
3. Quel écosystème avez-vous déjà ? Postes protégés par Sophos, Wi-Fi UniFi ou bornes Fortinet : l'intégration simplifie la gestion.
4. Quelles protections exigez-vous ? Si le filtrage Web et le bac à sable sont essentiels, vérifiez qu'ils figurent bien dans l'ensemble soumis.
5. Quel budget sur cinq ans ? Matériel, abonnements, soutien et heures d'administration.

En résumé, UniFi convient aux petits bureaux aux besoins simples, FortiGate aux réseaux multisites qui veulent un écosystème complet, Sophos aux entreprises déjà équipées chez ce fabricant, et WatchGuard aux PME qui veulent une formule tout compris lisible.

Vous avez déjà un pare-feu ? Notre audit de cybersécurité vérifie notamment sa configuration : règles trop permissives, ports d'administration exposés, micrologiciel en retard et VPN sans authentification multifacteur.