Accueil › Blog › Cybersécurité

Pare-feu nouvelle génération : bien choisir et dimensionner son NGFW

Cybersécurité 18 août 2026 · Lecture : 8 min · Par WARNA

Le pare-feu est l'équipement que l'on achète une fois et que l'on garde cinq ans. C'est aussi celui où une erreur de dimensionnement se paie tous les jours — en lenteur, en fonctions désactivées « parce que ça ralentit », ou en renouvellement anticipé. Voici les critères qui comptent réellement.

Ce qu'un NGFW fait de plus qu'un pare-feu classique

Un pare-feu traditionnel filtre selon les adresses IP et les ports. Un pare-feu nouvelle génération (NGFW) travaille au niveau applicatif. Concrètement, il sait :

• Identifier l'application, pas seulement le port — distinguer un flux métier légitime d'un partage de fichiers sur le même port 443
• Inspecter le contenu chiffré (HTTPS), sans quoi la quasi-totalité du trafic passe aujourd'hui sans contrôle
• Bloquer les intrusions (IPS) et les fichiers malveillants avant qu'ils n'atteignent les postes
• Filtrer le web par catégories et rattacher les règles aux utilisateurs plutôt qu'aux adresses IP
• Terminer les VPN pour le télétravail et les liaisons inter-sites

Le piège n°1 : le débit annoncé

C'est l'erreur la plus fréquente et la plus coûteuse. Les fiches techniques affichent plusieurs débits pour le même boîtier, et l'écart entre eux est considérable :

• Débit pare-feu brut — filtrage simple, toutes fonctions avancées désactivées. C'est le chiffre le plus flatteur, et le moins représentatif.
• Débit avec IPS / protection contre les menaces — nettement inférieur.
• Débit avec inspection SSL/TLS — le plus bas de tous, souvent une fraction du premier chiffre.

Comme l'essentiel du trafic est chiffré, c'est ce dernier chiffre qui doit guider votre choix. Un boîtier dimensionné sur le débit brut fonctionne parfaitement… jusqu'au jour où l'on active l'inspection, et où tout le monde trouve « qu'internet est lent ». La suite est connue : on désactive l'inspection, et on paie une protection qu'on n'utilise pas.

Le piège n°2 : oublier les abonnements

Le prix du boîtier n'est qu'une partie du coût. Les fonctions de sécurité — IPS, antivirus, filtrage web, analyse comportementale — reposent sur des abonnements annuels. Sans renouvellement, le matériel continue de router le trafic mais cesse d'être protégé, ce qui est la pire des situations : on se croit couvert.

Raisonnez donc en coût sur trois à cinq ans, abonnements et support inclus. Un boîtier bon marché avec des renouvellements élevés revient parfois plus cher qu'un modèle supérieur.

Les autres critères à trancher

La haute disponibilité

Si une coupure d'accès internet arrête votre activité, prévoyez deux boîtiers en cluster. Pour une administration qui reçoit du public ou une entreprise qui produit en continu, c'est rarement un luxe.

Le nombre de sites

Avec plusieurs agences, la question devient celle de l'administration centralisée et des liaisons inter-sites (SD-WAN). Gérer dix pare-feu un par un, en console, ne tient pas dans la durée.

Le télétravail

Vérifiez le nombre d'utilisateurs VPN simultanés supportés, et si les licences clientes sont incluses ou facturées à part. C'est une ligne budgétaire qui surprend souvent.

Le journal et la conservation

En cas d'incident, les journaux sont votre seule source de vérité. Prévoyez leur conservation — sur le boîtier, un collecteur dédié ou le cloud — et vérifiez la profondeur d'historique réellement disponible.

Trois gammes que nous déployons

Nous travaillons principalement avec trois constructeurs, choisis selon le profil de l'organisation :

• Fortinet — gamme très large, du petit site à l'infrastructure multi-sites, avec une administration centralisée éprouvée. Souvent le meilleur rapport fonctions/prix sur les PME et administrations.
• Sophos — pertinent quand vous voulez faire dialoguer le pare-feu et la protection des postes : un poste compromis peut être isolé automatiquement du réseau.
• Palo Alto Networks — visibilité applicative très fine et politiques par utilisateur. Le choix des environnements exigeants, avec un budget en rapport.

Le bon pare-feu n'est pas le plus réputé : c'est celui qui est correctement dimensionné, dont les abonnements seront renouvelés, et que quelqu'un sait administrer.

Le pare-feu ne suffit pas

Il protège le périmètre. Or les menaces arrivent aussi par la messagerie, les clés USB et les postes en déplacement. Il se complète d'une protection des postes (EDR), d'une sauvegarde testée et d'une segmentation réseau en VLAN. C'est l'ensemble qui tient, pas un équipement isolé — nous détaillons cette approche dans nos 7 mesures de cybersécurité pour les PME.

En résumé

Dimensionnez sur le débit avec inspection SSL, budgétez les abonnements sur toute la durée de vie, tranchez tôt la question de la haute disponibilité et du multi-sites, et assurez-vous que les journaux sont conservés. Le reste — la marque — vient après.

← Tous les articles  ·  Solutions Cybersécurité  ·  Accueil WARNA