Qu’est-ce que la microsegmentation ?

Définition de la microsegmentation

La microsegmentation est une technique de cybersécurité qui permet aux entreprises de mieux gérer l’accès réseau entre les ressources (par exemple, le trafic de serveur à serveur/est-ouest). En identifiant de façon unique chaque ressource (p. ex. serveur, application, hôte, utilisateur), votre entreprise peut configurer des autorisations qui permettent un contrôle fin du trafic de données. Lorsqu’elle est mise en œuvre selon les principes de Zero Trust, la microsegmentation vous permet de stopper le déplacement latéral des menaces, d’empêcher la compromission de la charge de travail et de mettre fin aux violations de données.

Microsegmentation contre segmentation du réseau

Bien que la segmentation du réseau et la microsegmentation soient souvent utilisées de manière interchangeable, il s’agit de concepts complètement différents.

La segmentation du réseau convient mieux au trafic nord-sud, c’est-à-dire le trafic qui entre et sort du réseau. Avec la segmentation du réseau, une entité, telle qu’un utilisateur, est considérée comme fiable une fois qu’elle se trouve dans une zone définie du réseau.

La microsegmentation, quant à elle, convient mieux au trafic est-ouest, c’est-à-dire au trafic qui se déplace latéralement à travers le data center ou le réseau en cloud (de serveur à serveur, d’application à serveur, etc.). Pour simplifier, la segmentation du réseau est comparable aux murs extérieurs et aux douves d’un château, tandis que la microsegmentation serait les gardes qui se tiennent à chacune des portes intérieures du château.

Comment fonctionne la microsegmentation

Les solutions de microsegmentation créent des zones sécurisées qui permettent aux sociétés d’isoler les charges de travail les unes des autres et de les sécuriser individuellement. Elles sont conçues pour permettre un partitionnement granulaire (d’où le terme « micro ») du trafic réseau afin d’offrir une plus grande résistance aux cyberattaques.

Avec une approche qui comprend des politiques de microsegmentation, les équipes informatiques et de sécurité peuvent adapter les paramètres aux différents types de trafic, en créant des contrôles qui limitent les flux de réseau et d’applications entre les charges de travail à ceux qui sont explicitement autorisés.

L’application de règles de segmentation jusqu’au niveau de la charge de travail ou de l’application permet au service informatique de réduire la surface d’attaque, diminuant ainsi le risque qu’un attaquant passe d’une charge de travail ou d’une application compromise à une autre.

Pourquoi les approches de segmentation traditionnelles ne fonctionnent pas

Les solutions de microsegmentation traditionnelles basées sur le réseau s’appuient sur des pare-feu, qui utilisent les adresses réseau pour faire appliquer les règles. Mais les réseaux étant en constante évolution, les politiques doivent être continuellement mises à jour au fur et à mesure que les applications et les appareils se déplacent, ce qui représente un véritable défi pour les data centers sur site, dans les environnements multiclouds et là où les adresses IP sont éphémères.

De plus, les approches de segmentation basées sur l’adresse réseau ne peuvent pas identifier ce qui communique : elles ne peuvent par exemple pas déterminer l’identité du logiciel. Elles peuvent uniquement vous dire comment cela communique, par exemple avec l’adresse IP, le port ou le protocole d’où provient la « requête ». Cela signifie que, tant qu’elles sont jugées sûres, les communications sont autorisées, même si les équipes informatiques et de sécurité ne savent pas exactement ce qui tente de communiquer.

En outre, dès qu’une entité se trouve à l’intérieur d’une « zone sécurisée » sur le réseau, elle est considérée comme fiable, ce qui peut entraîner des failles et, sur un réseau plat, des déplacements latéraux.

Pourquoi la microsegmentation est-elle importante ?

La microsegmentation est unique en ce qu’elle permet au service informatique de fonder les politiques et les autorisations sur l’identité des ressources, ce qui en fait la méthode idéale pour créer des groupements intelligents de charges de travail basés sur les caractéristiques des charges de travail individuelles communiquant à l’intérieur du data center. 

Qui plus est, la microsegmentation ne repose pas sur des réseaux en évolution dynamique ni sur les exigences commerciales ou techniques qui leur sont imposées, elle est donc à la fois plus solide et plus fiable pour la sécurité du réseau. Elle constitue en réalité un élément fondamental du cadre Zero Trust Network Access (ZTNA), qui a démontré sa capacité à simplifier le contrôle des accès.

Elle est également beaucoup plus simple à gérer. Vous pouvez en effet protéger un segment avec seulement quelques politiques basées sur l’identité au lieu de centaines de politiques de pare-feu basées sur l’adresse.

Caractéristiques de la microsegmentation

Parmi les avantages techniques de la microsegmentation, citons :

• Des contrôles de sécurité et une gestion centralisés sur l’ensemble des réseaux : étant donné que la microsegmentation gère le trafic est-ouest plutôt que le trafic nord-sud, vos politiques se maintiennent face à tout le trafic qui passe par les segments qu’elles régissent. Et, parce que la politique est mieux définie, vous bénéficiez d’une visibilité bien plus grande sur l’activité du réseau qu’avec la segmentation du réseau.
• Des politiques de segmentation qui s’adaptent automatiquement : les politiques sont appliquées aux charges de travail plutôt qu’au matériel, elles restent donc intactes quels que soient les changements d’infrastructure. Cela signifie que les équipes de sécurité informatique peuvent étendre partout un seul même de contrôles, sans coupure.
• Une protection sans faille : les politiques de sécurité couvrent le cloud, les conteneurs, les data centers sur site et les environnements de cloud hybride. En effet, la politique est spécifique à la charge de travail, et non au segment du réseau, ce qui élimine toutes les lacunes potentielles de la couverture de sécurité.