Qu’est-ce que la microsegmentation ?

Qu’est-ce que la microsegmentation ?

La microsegmentation a été conçue à l’origine comme un moyen de modérer le trafic entre les serveurs (serveur à serveur) d’un même segment de réseau. Elle a évolué pour inclure le trafic intra-segment afin que le serveur A puisse parler au serveur B ou que l’application A puisse communiquer avec l’hôte B, et ainsi de suite, tant que l’identité de la ressource requérante (serveur/application/hôte/utilisateur) correspond à l’autorisation configurée pour cette ressource. 

Les politiques et les autorisations de la microsegmentation peuvent être basées sur l’identité de la ressource, ce qui la rend indépendante de l’infrastructure sous-jacente, contrairement à la segmentation du réseau, qui repose sur les adresses IP du réseau. La microsegmentation constitue ainsi une méthode idéale pour créer des groupements intelligents de charges de travail basés sur les caractéristiques des charges de travail individuelles communiquant à l’intérieur du data center. La microsegmentation, élément fondamental du cadre Zero Trust Network Access (ZTNA), ne dépend pas de l’évolution dynamique des réseaux ni des besoins commerciaux ou techniques qui leur sont imposées, de sorte qu’elle constitue une sécurité réseau à la fois plus solide et plus fiable. Elle est également beaucoup plus simple à gérer, vous pouvez en effet protéger un segment avec seulement quelques politiques basées sur l’identité au lieu de centaines de règles basées sur l’adresse.
 

Pourquoi la microsegmentation ?

Les solutions de microsegmentation traditionnelles basées sur le réseau s’appuient sur les pare-feu, lesquels utilisent les adresses réseau pour faire appliquer les règles. Cette dépendance aux adresses réseau pose problème, car les réseaux changent constamment, ce qui signifie que les politiques doivent être continuellement mises à jour au fur et à mesure que les applications et les périphériques se déplacent. Ces mises à jour constantes constituent un réel défi dans un data center sur site, et encore plus dans des environnements en cloud où les adresses IP sont éphémères.

Les approches de segmentation basées sur l’adresse réseau ne peuvent pas identifier ce qui communique — par exemple, l’identité du logiciel — elles peuvent seulement vous dire comment il communique, notamment l’adresse IP, le port ou le protocole d’où provient la requête. Tant qu’elles sont jugées sûres, les communications sont autorisées, même si les équipes informatiques et de sécurité ne savent pas exactement ce qui tente de communiquer. En outre, dès qu’une entité se trouve à l’intérieur d’une « zone sécurisée » sur le réseau, elle est considérée comme fiable. Mais ce modèle de confiance peut conduire à des failles de sécurité, et c’est l’une des principales raisons pour lesquelles la microsegmentation a évolué.

La microsegmentation constitue un moyen de créer des zones sécurisées afin que les sociétés puissent isoler les charges de travail les unes des autres et les sécuriser individuellement. Elle est conçue pour permettre un partitionnement granulaire du trafic afin d’offrir une meilleure résistance aux attaques.

Avec la microsegmentation, les équipes informatiques et de sécurité peuvent adapter les paramètres de sécurité aux différents types de trafic, en créant des politiques qui limitent les flux de réseaux et d’applications entre les charges de travail à ceux qui sont explicitement autorisés. Dans ce modèle de sécurité Zero Trust, une société pourrait, par exemple, définir une politique selon laquelle les appareils médicaux ne peuvent communiquer qu’avec d’autres appareils médicaux. Et si un appareil ou une charge de travail se déplace, les politiques et attributs de sécurité se déplacent avec lui.

En appliquant des règles de segmentation jusqu’au niveau de la charge de travail ou à l’application, les responsables informatiques peuvent réduire la surface d’attaque, réduisant ainsi le risque qu’un hacker passe d’une charge de travail ou d’une application compromise à une autre.

Il ne faut pas confondre microsegmentation et segmentation du réseau

La segmentation du réseau et la microsegmentation sont souvent utilisées de manière interchangeable. Il s’agit en réalité de deux concepts totalement différents. La segmentation du réseau convient mieux au trafic nord-sud, c’est-à-dire le trafic qui entre et sort du réseau. Avec la segmentation du réseau, une entité, telle qu’un utilisateur, est généralement considérée comme fiable une fois qu’elle se trouve dans une zone définie du réseau. La microsegmentation convient mieux au trafic est-ouest, c’est-à-dire au trafic qui se déplace à travers le data center ou le réseau en cloud (de serveur à serveur, d’application à serveur, etc.) Pour simplifier, la segmentation du réseau représente les murs extérieurs du château, tandis que la microsegmentation représente les gardes qui se tiennent à chacune des portes intérieures du château.

Principaux avantages de la microsegmentation basée sur l’identité

• Moins de politiques à gérer
• Gestion centralisée des politiques sur l’ensemble des réseaux
• Politiques qui s’adaptent automatiquement, indépendamment des changements d’infrastructure
• Protection sans faille à travers le cloud, les conteneurs, les data centers sur site et les environnements hybrides en cloud