5 questions à poser avant d'acheter une solution de segmentation

De nombreux outils de segmentation prétendent aujourd'hui être rapides, flexibles et simples à utiliser. C'est une bonne chose. La sécurité ne doit jamais être inutilement complexe.  

Mais il y a une différence entre une simplicité intentionnelle et sûre et une simplicité qui cache des compromis sous la surface.  

Alors que de plus en plus d'organisations s'orientent vers des architectures de confiance zéro de plus en plus complexes, il est essentiel d'aller au-delà de la facilité de surface et d'évaluer ce qui se passe réellement sous le capot des solutions de segmentation.  

Dans cet article, nous allons passer en revue les cinq questions essentielles que tout acheteur devrait se poser lorsqu'il évalue des solutions de segmentation et la façon dont Illumio aborde la segmentation pour offrir une simplicité sans compromis.

1. Qui contrôle réellement votre réseau ?

Certains outils de segmentation s'appuient sur des composants centralisés, tels que des serveurs de règles, des passerelles de contrôle ou des appliances d'application, pour appliquer des règles à l'ensemble de votre environnement.  

Ces systèmes ont souvent besoin d'un accès administratif complet à vos charges de travail et appliquent des changements à l'aide de protocoles tels que :

• Appel de procédure à distance (RPC)
• Gestion à distance de Windows (WinRM)
• Secure Shell (SSH)

Ce type de conception crée un risque sérieux. Si le contrôleur central est compromis, un pirate peut obtenir un accès à tous les systèmes connectés. Ils peuvent modifier ou désactiver des politiques, supprimer des protections ou se déplacer latéralement sur le réseau.  

Ce qui est censé arrêter une attaque devient l'outil le plus puissant de l'attaquant.

Ces architectures à privilèges élevés placent trop de confiance en un seul endroit. Lorsqu'un système unique détient autant de contrôle, il devient à la fois un point d'étranglement pour la sécurité et une cible de grande valeur.

Illumio évite totalement ce risque. Notre moteur de calcul des politiques (Policy Compute Engine - PCE) n'établit jamais de communication avec vos charges de travail. Il ne se connecte pas et n'a jamais besoin d'identifiants d'administrateur.

Au lieu de cela, l 'agent léger d'Illumio, le Virtual Enforcement Node (VEN), s'adresse à l'ECP pour récupérer ses politiques. Il les applique localement et communique les données relatives au trafic, sans nécessiter d'accès entrant ni de contrôle centralisé.

Même si une partie du système est compromise, Illumio est conçu pour limiter les dégâts. Les politiques ne peuvent pas être modifiées et les attaquants ne peuvent pas utiliser la plateforme pour obtenir un accès plus approfondi.

Avec Illumio, vous obtenez un confinement des brèches qui est distribué, résilient et conçu pour suivre les principes de la confiance zéro, et non les violer.

2. Pouvez-vous réellement voir ce que vous segmentez ?

La segmentation sans visibilité n'est qu'une supposition.  

Certaines plateformes génèrent automatiquement des règles basées sur des modèles de trafic observés. Mais ils ne vous donnent que peu d'indications sur ce qui se passe en temps réel entre les charges de travail.  

Sans visibilité, comment savoir si ce trafic est normal, nécessaire ou même malveillant ?

Si ces règles automatiques sont basées sur les mouvements d'un attaquant, et non sur un comportement légitime, vous pourriez, sans le savoir, ouvrir des voies pour des mouvements latéraux. Au lieu d'arrêter la menace, la plateforme l'aide à se propager.

En l'absence de journaux de flux en temps réel, de cartes de trafic ou de données sur la dépendance des applications, votre équipe se retrouve à approuver des politiques sans comprendre ce qu'elles font.  

Cela conduit à trois mauvais choix :  

• Accepter aveuglément les risques
• Passer des heures à valider manuellement chaque règle
• Éviter de faire des changements par peur de casser quelque chose

Aucune de ces voies n'est sûre et aucune n'est évolutive.

Illumio vous donne une visibilité en temps réel de chaque connexion dans votre environnement, y compris les centres de données, les points d'extrémité, le nuage public et l'infrastructure hybride. Vous pouvez voir quelles charges de travail communiquent, comprendre pourquoi et identifier le trafic inutile ou risqué.

Grâce aux journaux de flux intégrés et à la cartographie des dépendances applicatives, Illumio vous aide à concevoir des politiques plus intelligentes, à réagir plus rapidement et à appliquer la segmentation en toute confiance.  

3. La solution est-elle vraiment simple ou saute-t-elle simplement des étapes critiques ?

La simplicité en matière de sécurité ne fonctionne que si elle ne s'accompagne pas de compromis cachés.

Certaines plateformes prétendent être plus rapides parce qu'elles évitent de déployer des agents ou réduisent les étapes d'intégration. Mais sous le capot, ils ont supprimé des fonctionnalités essentielles, telles que l'étiquetage en fonction du contexte, la conception de politiques évolutives ou la possibilité d'encercler des applications critiques.  

Ces éléments sont essentiels pour établir une segmentation solide, cohérente et évolutive.

Ce qui semble rapide et facile au départ se fait souvent au détriment de la sécurité et du contrôle à long terme. Vous perdez la possibilité d'adapter, d'échelonner ou de vérifier vos politiques au fil du temps.

Illumio est simple mais jamais incomplet. Vous pouvez élaborer des politiques à l'aide d'étiquettes claires et intuitives au lieu de règles fragiles basées sur les adresses IP. Ces politiques peuvent être appliquées automatiquement dans tous les environnements et mises à jour en toute sécurité, avec un contrôle complet des versions et des possibilités d'audit.

Vous pouvez également gérer tout cela via une plateforme unique qui prend en charge les charges de travail traditionnelles, les conteneurs, les applications cloud-natives, la technologie opérationnelle (OT) et les environnements hybrides - sans la complexité liée à l'utilisation de plusieurs outils cloisonnés.

Avec Illumio, la simplicité consiste à offrir un confinement des brèches qui fonctionne partout, s'adapte facilement et vous donne un contrôle total.

4. L'architecture s'aligne-t-elle sur la confiance zéro ?

Au fond, la confiance zéro consiste à éliminer la confiance implicite et à vérifier en permanence chaque tentative d'accès.

Cependant, toutes les solutions qui prétendent soutenir la confiance zéro ne respectent pas ces principes.  

Certains outils dépendent d'un accès illimité aux charges de travail. D'autres utilisent des serveurs centralisés et privilégiés pour mettre en place des politiques dans l'ensemble de l'environnement. Beaucoup n'offrent pas de journaux d'audit ou de moyens de vérifier l'application de la loi.

Ce n'est pas la confiance zéro.

Illumio est conçu pour appliquer la microsegmentation zéro confiance de la bonne façon.  

Les charges de travail n'acceptent jamais de trafic entrant inattendu. Le plan de contrôle n'a pas d'accès privilégié à l'infrastructure. Chaque politique est appliquée localement sur la charge de travail, et chaque action est vérifiée et enregistrée.

Comme Illumio utilise les pare-feu natifs du système d'exploitation, l'application est à la fois légère et évolutive. Il n'y a pas de complexité supplémentaire, de matériel personnalisé ou de goulots d'étranglement.

La confiance zéro ne devrait pas être un terme de marketing que les solutions utilisent pour vous vendre leur produit. Elle doit se refléter dans toutes les couches de votre architecture. Illumio est conçu pour que cela devienne une réalité.

5. Les faibles coûts sont-ils synonymes de risques élevés ?

Certains outils de segmentation commencent par le prix. Mais ces économies initiales se font souvent au détriment de capacités essentielles, de l'évolutivité à long terme et de l'assistance d'experts.

Si une solution ne peut pas s'adapter à votre environnement hybride et multicloud, fournir une visibilité fine ou prendre en charge plus qu'une segmentation de base, vous devrez probablement ajouter d'autres outils pour combler les lacunes.  

Au fil du temps, cela augmente la complexité et les coûts.

Illumio n'est pas l'option la moins chère, et c'est voulu. Nos clients nous choisissent parce que nous les aidons à construire une base de sécurité solide et flexible qui évolue avec leurs besoins.

Dès le premier jour, Illumio offre des conseils d'experts en matière de mise en œuvre, une visibilité complète sur les communications de la charge de travail et un délai de rentabilisation rapide.

Vous bénéficiez du contrôle, du contexte et de l'encadrement dont vous avez besoin pour une mise en œuvre cohérente et évolutive.

Pourquoi Illumio est-il différent des autres solutions de segmentation ?

Illumio est conçu pour résoudre les problèmes de sécurité du monde réel sans ajouter de nouveaux risques à votre environnement.

Alors que certaines plateformes s'appuient sur une application centralisée ou exigent un accès privilégié aux charges de travail, Illumio adopte une approche plus sûre.  

Nous distribuons l'application des politiques à l'aide d'agents légers qui s'adressent au plan de contrôle, et non l'inverse. Cela permet d'éviter l'escalade des privilèges et de supprimer les points de défaillance uniques.

Avec Illumio, vous bénéficiez d'une visibilité et d'un contrôle complets, non seulement au niveau du réseau, mais aussi au niveau des applications et des services. Vous pouvez élaborer des politiques de segmentation basées sur la façon dont les charges de travail communiquent en temps réel. Vous pouvez simuler ces politiques avant de les mettre en œuvre, ce qui vous permet d'apporter des modifications en toute confiance et sans perturber le fonctionnement de l'entreprise.

Illumio est conçu pour évoluer avec vous. Que vous segmentiez des charges de travail dans le cloud, des serveurs de centres de données hérités, des systèmes de technologie opérationnelle (OT) ou des conteneurs dans Kubernetes, vous pouvez tout gérer à partir d'une seule plateforme en utilisant un seul moteur de règles.

Chaque partie d'Illumio est conçue pour contenir les brèches de manière sécurisée et évolutive. C'est une solution que votre équipe peut utiliser sans sacrifier la vitesse, la visibilité ou la couverture.

Les choix de segmentation sécurisée d'aujourd'hui déterminent le succès de demain

Les outils de segmentation qui promettent d'être plus rapides, plus simples ou plus abordables ne manquent pas.

Mais si les équipes de sécurité choisissent une solution sans en comprendre le fonctionnement, elles s'exposent à des risques cachés. Ce qui semble facile au départ peut entraîner des lacunes importantes en matière de visibilité, de contrôle ou d'application.

Il ne s'agit pas seulement d'un problème technique. Il s'agit d'une question commerciale.  

Une brèche peut révéler le coût à long terme de décisions prises sous pression. Plus que jamais, les organisations doivent prouver que leur stratégie de sécurité peut résister aux menaces du monde réel.

La bonne nouvelle, c'est que le fait de poser les bonnes questions maintenant vous permet d'éviter les mauvais résultats plus tard. Choisir la bonne solution de segmentation aujourd'hui peut renforcer votre position de sécurité pour les années à venir.

Prenez contact avec nous dès aujourd'hui pour en savoir plus sur l'élaboration d'un système de confinement des brèches avec Illumio.