La microsegmentation est une approche de la sécurité réseau qui permet aux ingénieurs de partitionner logiquement les centres de données en segments de sécurité distincts — jusqu’au niveau de chaque tâche — et d’appliquer des politiques de sécurité séparément à chaque segment. Plutôt que de déployer de nombreux pare-feu physiques, la microsegmentation permet aux équipes informatiques de définir des politiques de sécurité flexibles en profondeur dans un centre de données.
Avec la microsegmentation, vous pouvez sécuriser chaque instance virtuelle ou machine virtuelle (VM), serveur bare metal ou conteneur dans un réseau d’entreprise à l’aide de contrôles de sécurité basés sur des politiques et appliqués au niveau des applications. Cela peut considérablement renforcer la défense de votre entreprise contre les attaques et améliorer sa posture globale de cybersécurité.
Pourquoi la microsegmentation est-elle importante ?
La microsegmentation est particulièrement adaptée au trafic est-ouest au sein du centre de données, lorsque le trafic circule de l’application vers un serveur, entre des serveurs ou sur le réseau cloud. Elle constitue donc le meilleur moyen d’organiser intelligemment les charges de travail en fonction de leurs interactions au sein du centre de données.
En outre, la microsegmentation offre une sécurité réseau plus robuste et plus fiable, car elle ne dépend ni de réseaux évoluant dynamiquement ni des contraintes commerciales ou techniques qui leur sont imposées. Elle constitue un élément essentiel du paradigme d’accès réseau Zero Trust (ZTNA), qui s’est révélé capable de simplifier le contrôle des accès.
Avec la microsegmentation, vous pouvez protéger un segment à l’aide d’un petit nombre de politiques de pare-feu fondées sur l’identité, plutôt que de centaines de politiques fondées sur les adresses.
En savoir plus sur eSecurity Planet : Microsegmentation : la prochaine évolution de la cybersécurité
Microsegmentation et segmentation réseau traditionnelle
La microsegmentation et la segmentation réseau traditionnelle ont en commun de chercher à surveiller le trafic et les accès réseau, mais il est important de comprendre les différences entre ces deux approches.
Segmentation réseau traditionnelle
La segmentation réseau traditionnelle divise le réseau de l’entreprise en zones. Un pare-feu de nouvelle génération (NGFW) doit inspecter tout trafic qui tente de franchir la frontière entre les zones. Cela offre à l’entreprise une meilleure visibilité sur le réseau ainsi que la capacité de détecter et d’empêcher les tentatives de déplacement latéral d’un attaquant.
Les plans de sécurité et de conformité réglementaire d’une entreprise doivent intégrer la segmentation réseau. Une organisation ne peut pas appliquer efficacement des règles d’accès ni empêcher les déplacements d’un attaquant si elle est incapable d’inspecter le trafic au sein de son réseau.
Grâce à la segmentation réseau, un ingénieur en sécurité réseau peut :
- Créer des sous-réseaux au sein du réseau global
- Protéger les VM, les conteneurs, le cloud et les centres de données
- Contrôler le trafic réseau nord-sud
- Déployer des politiques au niveau des segments et du réseau
- Appliquer des politiques aux VM et aux hôtes
Microsegmentation
Plutôt que de s’appuyer sur de vastes zones, la microsegmentation attribue à chaque appareil, voire à chaque application, son propre segment au sein du réseau et examine toutes les communications entre applications ou appareils afin de détecter d’éventuelles activités malveillantes.
Pour mettre en œuvre la microsegmentation, les ingénieurs en sécurité peuvent utiliser les réseaux définis par logiciel (SDN) pour acheminer le trafic via un point d’inspection tel qu’un NGFW, grâce à la virtualisation de l’infrastructure réseau offerte par les SDN. Ce NGFW peut détecter les déplacements latéraux potentiels d’un attaquant et empêcher tout accès non autorisé aux ressources de l’entreprise.
La microsegmentation est essentielle pour qu’une organisation puisse mettre en œuvre avec succès une posture de sécurité Zero Trust. La capacité à interdire tout accès non autorisé à un appareil ou à une application est importante dans une architecture Zero Trust, qui inspecte tout le trafic destiné à cette ressource, quelle qu’en soit l’origine.
La microsegmentation améliore la sécurité, les performances et la compréhension des applications dans l’infrastructure réseau. Grâce à cette technologie, un ingénieur en sécurité peut :
- Bénéficier d’une visibilité détaillée sur les charges de travail
- Diviser logiquement les composants du centre de données en segments de sécurité distincts, jusqu’au niveau des applications individuelles
- Gérer de manière centralisée afin de réduire la charge liée à la gestion de la sécurité de chaque hôte
- Appliquer des politiques granulaires aux sous-réseaux et aux VLAN
- Contrôler le trafic est-ouest
- Appliquer des politiques jusqu’à la couche 7 du modèle OSI
Avantages de la microsegmentation
Les organisations peuvent tirer parti de la microsegmentation de plusieurs façons, notamment grâce à une efficacité opérationnelle accrue, une meilleure visibilité et une meilleure surveillance du réseau, une compréhension avancée des applications, une limitation des déplacements latéraux et une gestion centralisée des politiques.
Efficacité opérationnelle accrue
Vous pouvez déployer un logiciel de microsegmentation pour supprimer le besoin de pare-feu individuels et de listes de contrôle d’accès (ACL). Le passage aux SDN facilite la définition, la surveillance et la gestion efficace des politiques de segmentation réseau et de contrôle des accès. Cela contribue à renforcer la résilience et à améliorer l’efficacité opérationnelle.
Amélioration de la visibilité et de la surveillance du trafic réseau
La microsegmentation offre une meilleure visibilité sur le réseau. Les flux de données entre les charges de travail sont entièrement visibles et sous votre contrôle, ce qui peut améliorer la détection et la correction des incidents de cybersécurité.
En appliquant la microsegmentation à un appareil particulier ou à un groupe d’appareils en fonction des utilisateurs visés, vous pouvez obtenir une visibilité granulaire sur l’activité qui se déroule au sein de chaque composant segmenté. Vous pouvez également configurer vos systèmes de gestion des alertes segment par segment afin de surveiller les segments isolés.
Compréhension avancée des applications
Grâce à la microsegmentation, les équipes réseau et sécurité peuvent surveiller tous les flux de données entre leurs différentes charges de travail. Il devient ainsi plus facile de comprendre leurs interactions et de repérer les failles susceptibles d’indiquer des vulnérabilités.
Limitation des déplacements latéraux
La microsegmentation est une solution efficace si vous souhaitez séparer les charges de travail de différentes applications et mettre en place une véritable segmentation des applications.
Cela permet d’empêcher les menaces de se déplacer latéralement et de les contenir au sein du segment isolé qui héberge l’application visée. La vulnérabilité de l’organisation face aux attaques et le risque de violation des données s’en trouvent réduits.
Gestion centralisée des politiques
Les réseaux définis par logiciel sont souvent mis en œuvre comme une solution unique et centralisée, qui simplifie la gestion des politiques de sécurité pour les professionnels des réseaux et de la sécurité. Si nécessaire, les administrateurs peuvent facilement modifier les politiques pour répondre à l’évolution des besoins du réseau et des cybermenaces.
Le cycle de vie des politiques constitue l’aspect le plus complexe de la mise en œuvre d’une politique de microsegmentation efficace, capable de s’adapter aux changements affectant vos applications et votre entreprise. Avec la microsegmentation, vous pouvez commencer au niveau macroscopique, puis affiner progressivement les politiques grâce à leur automatisation.
Fournisseurs de logiciels de microsegmentation
Sans microsegmentation, les attaquants ou les intrus peuvent se déplacer d’une partie de votre centre de données à une autre sans grande difficulté. Les logiciels de microsegmentation offrent des contrôles de sécurité granulaires et des déclencheurs fondés sur des politiques qui contribuent à réduire la surface d’attaque et à protéger les charges de travail, même après le franchissement des défenses périmétriques par les attaquants.
Parmi les principaux fournisseurs du marché des logiciels de microsegmentation figurent Illumio, Algoblu, Guardicore, ShiledX et d’autres.
Comparez ces solutions et d’autres sur eSecurity Planet : Les meilleurs logiciels de microsegmentation
Qui devrait utiliser la microsegmentation ?
La microsegmentation est un outil que les entreprises peuvent utiliser de diverses manières, mais tous les environnements professionnels ne s’y prêtent pas. Si certains réseaux peuvent tirer parti de la segmentation, d’autres non, selon la situation.
De manière générale, les entreprises qui dépendent fortement des ressources cloud ou de centres de données centralisés et qui comptent un grand nombre d’appareils de travail distants considéreront la microsegmentation comme une option de sécurité viable.
Pour les entreprises des secteurs fortement réglementés, où la conformité est une priorité absolue, la microsegmentation est également recommandée. Par exemple, les entreprises du secteur de la santé soumises aux réglementations HIPAA pourraient séparer les informations des consommateurs des services marketing, comptabilité et recherche.
Plus largement, toute entreprise souhaitant mettre en place un modèle de sécurité Zero Trust fondé sur le principe du moindre privilège aura besoin de la microsegmentation. Si vous devez créer des listes d’accès complètes pour des rôles ou des personnes et souhaitez bénéficier d’une visibilité totale sur les activités des utilisateurs, la segmentation fondée sur les SDN constitue une solution viable.
La mise en œuvre de la microsegmentation peut être coûteuse dans les grandes entreprises, en particulier lorsqu’elle concerne un volume important de trafic réseau peu sensible. Les petites entreprises qui ne disposent pas des ressources nécessaires pour déployer une segmentation logicielle sophistiquée peuvent donc obtenir une protection périmétrique efficace grâce aux techniques traditionnelles de segmentation réseau.
À lire ensuite : Utiliser la sécurité Zero Trust pour protéger les applications et les bases de données