Ce qu'une certification pare-feu teste vraiment

La CSNA est un examen honnête sur un objet précis : savez-vous piloter un boîtier Stormshield ? Les objets, les politiques de filtrage, le NAT dans tous ses sens, les tunnels IPsec, les profils IPS et leurs niveaux d'inspection. La préparation est réellement utile : l'interface SNS cesse d'être un mur de menus pour devenir une machine dont on comprend les valeurs par défaut et dont on s'est déjà entaillé sur les angles vifs, en lab. Je l'ai obtenue en mars, et ces connaissances sont bien réelles. Mais il vaut la peine d'être précis sur ce qui a été mesuré, parce que le secteur confond régulièrement cette mesure avec quelque chose de plus grand.

Ce qu'une certification ne peut pas tester, c'est le cycle de vie. Une politique de filtrage à la minute zéro est une intention ; la même politique après un an de production est une fouille archéologique. Chaque règle y a un jour été urgente pour quelqu'un. L'examen demande si vous savez écrire la règle. L'exploitation pose les questions plus dures : qui l'a demandée, a-t-elle encore un propriétaire, quand expire-t-elle, et quelqu'un remarquerait-il sa suppression ? L'inflation de règles n'est pas une erreur de configuration, puisque chaque règle prise isolément était juste le jour de sa mise en service. C'est une erreur d'accumulation, et aucun QCM ne sait représenter une accumulation. La différence entre un administrateur certifié et un bon administrateur, c'est que le second traite la base de règles comme une dette à rembourser, pas comme un texte à rallonger.

La deuxième discipline hors examen, c'est de lire ce que le boîtier vous répond. Un pare-feu est le capteur le mieux placé du bâtiment : il voit chaque flux qui franchit une frontière, il les classe déjà, et ses journaux sont structurés. La plupart des organisations ne s'en servent que comme d'un actionneur (les paquets passent ou ne passent pas) et laissent la moitié capteur écrire dans un syslog que personne n'interroge jamais. En révisant les sections IPS, je n'arrêtais pas de le constater : une bonne part de la valeur suppose que quelqu'un, en aval, regarde vraiment. Un profil d'inspection qui lève des alertes dans le vide est indiscernable d'un profil éteint. Le réflexe blue team qui consiste à traiter les journaux de refus comme de la télémétrie, à en établir la référence et à se demander ce qui a changé cette semaine ne coûte rien à l'achat, et vaut plus que presque tout ce qui coûte.

Rien de tout cela ne plaide contre la certification : je la repasserais sans hésiter, et la leçon d'humilité qu'il y a à faire 80 % sur un outil qu'on croyait connaître est une formation en soi. Cela plaide sur ce que le papier atteste. Un certificat dit : cette personne a déjà vu la machine, elle n'improvisera pas les fondamentaux. La confiance dans une infrastructure vient d'ailleurs : d'une discipline du changement, de dates d'expiration sur les exceptions, de journaux qui sont lus. L'examen est un instantané ; l'exploitation est une série temporelle. Les recrutements qui prennent le premier pour un indicateur de la seconde mesurent le mauvais axe, et les administrateurs qui croient leur propre certificat sont le mécanisme exact par lequel les bons pare-feu se dégradent en silence.