Le mod\u00e8le de s\u00e9curit\u00e9 p\u00e9rim\u00e9trique a fait son temps. Pendant des ann\u00e9es, les organisations ont \u00e9rig\u00e9 de hauts murs autour de leurs r\u00e9seaux et ont fait confiance \u00e0 tout ce qui se trouvait \u00e0 l’int\u00e9rieur. Avec les effectifs hybrides et les infrastructures natives du cloud, le concept de \u00ab\u00a0l’int\u00e9rieur\u00a0\u00bb n’a plus de sens. Une fois qu’un attaquant a franchi ce mur ext\u00e9rieur, g\u00e9n\u00e9ralement par le biais d’un lien d’hame\u00e7onnage ou d’un identifiant compromis, il se d\u00e9place souvent librement d’un serveur \u00e0 l’autre. <\/p>\n
C’est l\u00e0 que la distinction entre segmentation et micro-segmentation devient cruciale. Si vous adoptez une architecture SASE, la compr\u00e9hension de cette diff\u00e9rence n’est pas s\u00e9mantique. C’est elle qui d\u00e9termine si un incident reste circonscrit ou s’il devient une violation \u00e0 l’\u00e9chelle de l’entreprise. <\/p>\n
Pensez \u00e0 la segmentation du r\u00e9seau comme \u00e0 un sous-marin avec des cloisons. Si la coque est perc\u00e9e, vous scellez une grande section pour sauver le navire. Les d\u00e9g\u00e2ts sont limit\u00e9s, mais un compartiment entier est toujours compromis. <\/p>\n
La micro-segmentation fonctionne davantage comme une chambre forte remplie de coffres-forts individuels. M\u00eame si quelqu’un p\u00e9n\u00e8tre dans la banque puis dans la salle des coffres, il ne peut pas acc\u00e9der \u00e0 votre coffre sp\u00e9cifique sans votre cl\u00e9 sp\u00e9cifique. Chaque actif est prot\u00e9g\u00e9 de mani\u00e8re ind\u00e9pendante. <\/p>\n
La segmentation du r\u00e9seau divise un r\u00e9seau en sous-r\u00e9seaux, g\u00e9n\u00e9ralement \u00e0 l’aide de VLAN ou de sous-r\u00e9seaux. Elle est centr\u00e9e sur le mat\u00e9riel et se concentre principalement sur le trafic nord-sud, c’est-\u00e0-dire le trafic entrant et sortant du r\u00e9seau. <\/p>\n
Cette approche consiste \u00e0 regrouper les actifs par fonction. Les ordinateurs des RH sont plac\u00e9s dans un VLAN, les serveurs financiers dans un autre. Cela permet d’obtenir un niveau d’organisation de base et d’am\u00e9liorer les performances du r\u00e9seau. <\/p>\n
La limite est la port\u00e9e. Si un pirate compromet un ordinateur portable HR, il peut g\u00e9n\u00e9ralement atteindre tous les autres appareils du m\u00eame VLAN. Le segment lui-m\u00eame devient le rayon d’action. Pour les performances du r\u00e9seau, cela peut \u00eatre suffisant. Pour la s\u00e9curit\u00e9 moderne, ce n’est pas suffisant. <\/p>\n
La micro-segmentation dissocie la s\u00e9curit\u00e9 du mat\u00e9riel sous-jacent. Elle se concentre sur le trafic est-ouest, le mouvement lat\u00e9ral entre les serveurs et les applications au sein de votre environnement. <\/p>\n
Le principe est simple. Ne faites jamais confiance, v\u00e9rifiez toujours. Les politiques s’appliquent \u00e0 des charges de travail, des applications ou des utilisateurs individuels. M\u00eame si deux serveurs se trouvent physiquement l’un \u00e0 c\u00f4t\u00e9 de l’autre, ils ne peuvent pas communiquer \u00e0 moins d’y \u00eatre explicitement autoris\u00e9s. <\/p>\n
L’objectif est de r\u00e9duire le rayon d’action. Lorsqu’une br\u00e8che se produit, elle reste contenue dans une seule micro-zone, souvent un seul appareil ou une seule application. Les ran\u00e7ongiciels qui pourraient se propager sur l’ensemble d’un segment de r\u00e9seau se retrouvent dans une impasse. <\/p>\n
| Aspect<\/b><\/th>\n | Segmentation traditionnelle<\/b><\/th>\n | Micro-segmentation<\/b><\/th>\n<\/tr>\n<\/thead>\n\n| Granularit\u00e9<\/td>\n | Large (zones, VLAN)<\/td>\n | fine (charge de travail, application, utilisateur)<\/td>\n<\/tr>\n | Priorit\u00e9 au trafic<\/td>\n | Nord-sud (entr\u00e9e\/sortie)<\/td>\n | Est-Ouest (interne)<\/td>\n<\/tr>\n | Base politique<\/td>\n | Adresses IP, mat\u00e9riel<\/td>\n | Identit\u00e9 et contexte<\/td>\n<\/tr>\n | Agilit\u00e9<\/td>\n | Statique (difficile \u00e0 modifier)<\/td>\n | Dynamique (suit l’utilisateur)<\/td>\n<\/tr>\n | Mod\u00e8le de s\u00e9curit\u00e9<\/td>\n | Confiance implicite au sein de la zone<\/td>\n | Confiance z\u00e9ro, v\u00e9rification de chaque demande<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n | Comment SASE assure la micro-segmentation par l’isolation<\/b><\/h2>\nLa plupart des fournisseurs de SASE mettent en \u0153uvre une micro-segmentation par le biais de r\u00e8gles de pare-feu complexes dans le nuage. Bien qu’efficace, cette approche peut devenir difficile \u00e0 g\u00e9rer \u00e0 grande \u00e9chelle. <\/p>\n Il existe une autre solution. Au lieu de simplement bloquer le trafic, vous pouvez vous concentrer sur l’isolation. Dans ce mod\u00e8le, la micro-segmentation signifie que l’utilisateur et l’application ne se touchent jamais directement. La surface d’attaque dispara\u00eet effectivement. <\/p>\n ZTNA, le micro-segment par excellence<\/b><\/h3>\nLes VPN traditionnels placent les utilisateurs distants \u00e0 l’int\u00e9rieur du segment de r\u00e9seau. Le Zero Trust Network Access adopte une approche diff\u00e9rente. <\/p>\n Lorsqu’un utilisateur se connecte via ZTNA, il ne re\u00e7oit pas d’adresse IP sur votre r\u00e9seau d’entreprise. Il n’a acc\u00e8s qu’\u00e0 une application sp\u00e9cifique. Le reste du r\u00e9seau lui est totalement invisible. <\/p>\n Si l’appareil de cet utilisateur est infect\u00e9, le logiciel malveillant ne peut pas analyser votre r\u00e9seau parce qu’il n’a pas de route \u00e0 emprunter. Il n’y a rien \u00e0 d\u00e9couvrir, rien \u00e0 exploiter. <\/p>\n L’isolation du navigateur comme barri\u00e8re de s\u00e9curit\u00e9<\/b><\/h3>\nL’isolation du navigateur \u00e0 distance applique les principes de la micro-segmentation au trafic web. Lorsqu’un employ\u00e9 clique sur un lien, le site web se charge dans un conteneur cloud isol\u00e9. Seul le rendu visuel est envoy\u00e9 \u00e0 l’\u00e9cran de l’utilisateur. Le code actif n’atteint jamais le point final. <\/p>\n Si ce site web contient un ransomware, celui-ci explose \u00e0 l’int\u00e9rieur d’un conteneur jetable dans le nuage. Le conteneur est supprim\u00e9. Votre r\u00e9seau reste intact. Les menaces sont ainsi stopp\u00e9es avant m\u00eame d’avoir besoin d’\u00eatre segment\u00e9es. <\/p>\n Contexte centr\u00e9 sur l’identit\u00e9<\/b><\/h3>\nLe p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 s’est d\u00e9plac\u00e9 de la p\u00e9riph\u00e9rie du r\u00e9seau vers l’identit\u00e9 elle-m\u00eame. Les r\u00e8gles de micro-segmentation sont bas\u00e9es sur qui vous \u00eates, et non sur l’endroit o\u00f9 vous vous trouvez. <\/p>\n Que l’utilisateur soit au bureau ou dans un caf\u00e9 \u00e0 l’autre bout du monde, les m\u00eames r\u00e8gles s’appliquent \u00e0 lui. L’acc\u00e8s n’est accord\u00e9 qu’aux ressources sp\u00e9cifiques qu’ils sont autoris\u00e9s \u00e0 atteindre. <\/p>\n Pourquoi cela est-il important pour les entreprises de taille moyenne ?<\/b><\/h2>\nLe fait de s’appuyer uniquement sur les VLAN et les pare-feu est source de responsabilit\u00e9. Vous ne pouvez pas emp\u00eacher toutes les br\u00e8ches dans le p\u00e9rim\u00e8tre, mais vous pouvez emp\u00eacher qu’une br\u00e8che ne devienne catastrophique. <\/p>\n La segmentation traditionnelle organise votre r\u00e9seau. La micro-segmentation prot\u00e8ge vos actifs. L’isolation fait dispara\u00eetre la surface d’attaque. <\/p>\n En combinant les principes de la confiance z\u00e9ro avec l’isolation du navigateur et l’acc\u00e8s bas\u00e9 sur l’identit\u00e9, vous allez au-del\u00e0 de la simple division du r\u00e9seau en zones. Chaque connexion est v\u00e9rifi\u00e9e. Chaque application est prot\u00e9g\u00e9e. Les mouvements lat\u00e9raux se heurtent \u00e0 un mur \u00e0 chaque tournant. <\/p>\n Comment Jimber rend la micro-segmentation pratique<\/b><\/h2>\nJimber offre une v\u00e9ritable SASE gr\u00e2ce \u00e0 une plateforme unifi\u00e9e qui combine ZTNA, Secure Web Gateway, Firewall-as-a-Service et SD-WAN. La micro-segmentation est int\u00e9gr\u00e9e \u00e0 l’architecture, et non pas ajout\u00e9e apr\u00e8s coup. <\/p>\n Les utilisateurs se connectent \u00e0 des applications sp\u00e9cifiques, et non \u00e0 des segments de r\u00e9seau. La posture des appareils est v\u00e9rifi\u00e9e avant que l’acc\u00e8s ne soit accord\u00e9. Pour les appareils qui ne peuvent pas ex\u00e9cuter d’agents, tels que les imprimantes, les capteurs IoT et les \u00e9quipements industriels, le mat\u00e9riel NIAC fournit une isolation en ligne qui ferme les angles morts courants. <\/p>\n Tout est g\u00e9r\u00e9 \u00e0 partir d’une console unique dans le nuage, avec une tarification transparente. Les MSP et les partenaires peuvent servir plusieurs clients \u00e0 partir d’une plateforme multi-tenant sans avoir \u00e0 jongler avec des outils distincts pour chaque environnement. <\/p>\n Pr\u00eat \u00e0 stopper les mouvements lat\u00e9raux ?<\/b><\/h2>\nR\u00e9servez une d\u00e9monstration<\/b> pour d\u00e9couvrir comment la micro-segmentation bas\u00e9e sur l’isolation prot\u00e8ge votre organisation sans ajouter de complexit\u00e9.<\/p>\n Les entreprises de taille moyenne b\u00e9n\u00e9ficient consid\u00e9rablement de la micro-segmentation, en particulier lorsqu’elle est assur\u00e9e par une plateforme SASE unifi\u00e9e. La complexit\u00e9 qui en faisait une solution r\u00e9serv\u00e9e aux entreprises a \u00e9t\u00e9 remplac\u00e9e par des solutions g\u00e9r\u00e9es dans le nuage que des \u00e9quipes plus restreintes peuvent exploiter. <\/p>\n Dois-je remplacer mes pare-feu existants ?<\/b><\/h3>\nPas n\u00e9cessairement. Les pare-feu ont toujours leur utilit\u00e9 pour le contr\u00f4le du trafic nord-sud. La micro-segmentation par ZTNA et l’isolation compl\u00e8tent l’infrastructure existante en ajoutant une protection pour le trafic est-ouest et l’acc\u00e8s bas\u00e9 sur l’identit\u00e9. <\/p>\n Comment cela peut-il aider \u00e0 lutter contre les ransomwares ?<\/b><\/h3>\nLes ran\u00e7ongiciels se propagent par mouvement lat\u00e9ral. Une fois qu’il a compromis un syst\u00e8me, il cherche \u00e0 en infecter d’autres. La micro-segmentation limite ce qu’un seul appareil peut atteindre, en contenant une infection dans une seule micro-zone au lieu de la laisser se propager sur tout le r\u00e9seau. <\/p>\n Qu’en est-il des appareils qui ne peuvent pas ex\u00e9cuter d’agents ?<\/b><\/h3>\nLes imprimantes, les capteurs IoT et les \u00e9quipements industriels repr\u00e9sentent un d\u00e9fi commun. Le mat\u00e9riel NIAC fournit une isolation en ligne pour ces appareils sans agent, autorisant uniquement des flux de communication d\u00e9finis tout en maintenant des contr\u00f4les Zero Trust. <\/p>\n Comment la micro-segmentation permet-elle d’assurer la conformit\u00e9 \u00e0 NIS2 ?<\/b><\/h3>\nLe NIS2 exige une r\u00e9duction des risques et une limitation des incidents d\u00e9montrables. La micro-segmentation prouve clairement que l’acc\u00e8s est limit\u00e9 \u00e0 ce qui est n\u00e9cessaire et que les br\u00e8ches ne peuvent pas se propager sans contr\u00f4le dans le r\u00e9seau. Les politiques bas\u00e9es sur l’identit\u00e9 et la journalisation centralis\u00e9e soutiennent les exigences d’audit. <\/p>\n","protected":false},"excerpt":{"rendered":" La segmentation traditionnelle ne peut pas arr\u00eater les mouvements lat\u00e9raux. D\u00e9couvrez comment la micro-segmentation dans une architecture SASE isole les menaces au niveau de la charge de travail et contient les br\u00e8ches avant qu’elles ne se propagent. <\/p>\n","protected":false},"author":3,"featured_media":11630,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[9],"tags":[],"class_list":["post-11634","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-non-categorise"],"acf":[],"_links":{"self":[{"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/posts\/11634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/comments?post=11634"}],"version-history":[{"count":0,"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/posts\/11634\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/media\/11630"}],"wp:attachment":[{"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/media?parent=11634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/categories?post=11634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jimber.io\/fr\/wp-json\/wp\/v2\/tags?post=11634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} |
|---|