Nano-segmentation℠: Pourquoi tout ce remue-ménage ?

Lors de la conférence RSA de la semaine dernière, Illumio a présenté la nano-segmentation, notre dernière innovation en matière de sécurisation des applications multi-niveaux exécutées dans les centres de données et les nuages. L'Adaptive Security Platform (ASP^)TM d'Illumio étend désormais la segmentation des applications de la granularité des charges de travail individuelles aux processus en cours d'exécution dans les charges de travail.

Les participants à RSA qui ont assisté aux présentations d'Illumio ont pu constater la puissance de la nano-segmentation pour réduire considérablement l'exposition de l'entreprise aux menaces et limiter le "rayon d'action" des attaques. Nous avons montré comment la nanosegmentation pouvait mettre en quarantaine un serveur compromis par une simple opération de glisser-déposer - une première dans le secteur. La segmentation du centre de données pour séparer les applications (développement, test, production, etc.) ou pour isoler les applications (par exemple, pour la conformité PCI ) est nécessaire pour gérer la sécurité des environnements informatiques dynamiques répartis entre les centres de données et les nuages. Mais toutes les segmentations ne se valent pas. Je m'explique.

Toutes les segmentations ne se valent pas.

La plupart d'entre nous connaissent le terme "micro-segmentation", qui a été introduit par les fournisseurs SDN il y a quelques années. La micro-segmentation a été présentée comme un moyen pour les entreprises d'isoler les applications fonctionnant dans des environnements virtuels. Cependant, les solutions actuelles de micro-segmentation sont assorties d'un certain nombre de conditions : Elles sont liées soit à l'hyperviseur, soit à des constructions de réseau (VLAN, sous-réseaux, zones de sécurité, etc.), soit à d'autres matériels (commutateurs, routeurs, etc.). La plupart des solutions n'abordent pas la segmentation des applications dans le nuage ou des applications qui comprennent des serveurs nus. L'objectif de la sécurité par la segmentation des applications est bien intentionné, mais les solutions existantes ne sont pas à la hauteur.

Entrez dans la nano-segmentation  

La première étape pour parvenir à la segmentation la plus granulaire pour les applications des centres de données consiste à réduire la surface d'attaque à des unités informatiques individuelles (VM ou serveur nu) dans les centres de données et les nuages. Illumio ASP y parvient en programmant dynamiquement des règles de sécurité précises en entrée et en sortie pour chaque charge de travail. Cela permet à la plateforme de créer un périmètre adaptatif autour de chaque instance informatique (dans n'importe quel centre de données ou nuage), créant ainsi un segment d'un. Combiné au modèle de politique dynamique à liste blanche d'Illumio ASP, il permet aux administrateurs de spécifier entièrement les interactions autorisées entre les charges de travail pour les applications sans aucune dépendance sur le réseau. Avec le dernier lancement de produit, Illumio a franchi une étape supplémentaire en permettant la segmentation de multiples applications jusqu'aux processus sur un seul hôte. Par exemple, deux instances du processus Apache sur une charge de travail unique peuvent être réparties entre deux applications différentes.

Pourquoi ce nom ?

Nous sommes-nous livrés à une petite surenchère marketing avec un nom comme nano-segmentation ? Loin de là, elle est délibérée et étayée par des éléments de preuve. La nano-segmentation, comme son nom l'indique, permet aux entreprises de segmenter les applications de la manière la plus granulaire possible. Nous voulions que les entreprises sachent qu'il existe un moyen d'avoir le beurre et l'argent du beurre : elles peuvent segmenter les applications entre les centres de données et les nuages tout en conservant une sécurité intacte. Plus important encore, cette fonction permet à la segmentation des applications d'être aussi efficace dans n'importe quel environnement informatique.

Autre chose : le terme "Nano" donne du crédit au principe d'Illumio d'une sécurité indépendante du réseau. Il s'agit d'un acronyme pour "Never Again Network-Oriented" (plus jamais orienté réseau).