Nano-segmentation : de quoi s'agit-il ?

Lors de la conférence RSA de la semaine dernière, Illumio a présenté la nano-segmentation, notre dernière innovation en matière de sécurisation des applications multiniveaux exécutées dans les centres de données et les clouds. La plateforme de sécurité adaptative Illumio (ASP)^TM étend désormais la segmentation des applications de la granularité des charges de travail individuelles aux processus exécutés au sein des charges de travail.

Les participants de la RSA qui assistaient aux présentations du théâtre Illumio ont pu constater le pouvoir de la nano-segmentation pour réduire considérablement l'exposition des entreprises aux menaces et limiter le « rayon d'action » des attaques. Nous avons montré comment la nano-segmentation pouvait mettre en quarantaine un serveur compromis à l'aide d'une simple opération de glisser-déposer, une première dans l'industrie. Segmenter le centre de données pour séparer les applications (développement, test, production, etc.) ou pour isoler les applications (par exemple, pour PCI conformité) est nécessaire pour gérer la sécurité des environnements informatiques dynamiques répartis entre les centres de données et les clouds. Mais toutes les segmentations ne sont pas égales. Laisse-moi t'expliquer.

Toutes les segmentations ne sont pas égales.

La plupart d'entre nous connaissent le terme « micro-segmentation », qui a été introduit par les fournisseurs de SDN il y a quelques années. La microsegmentation a été promue comme un moyen pour les entreprises d'isoler les applications exécutées dans des environnements virtuels. Cependant, les solutions actuelles de microsegmentation sont assorties d'un certain nombre de conditions : elles sont soit liées à l'hyperviseur, soit à des structures de réseau (VLAN, sous-réseaux, zones de sécurité, etc.), soit à un autre matériel (commutateurs, routeurs, etc.). La plupart des solutions ne tiennent pas compte de la segmentation des applications dans le cloud ou des applications qui incluent des serveurs bare-metal. L'objectif de sécurité par la segmentation des applications est bien intentionné, mais les solutions existantes sont insuffisantes.

Entrez dans la nano-segmentation

La première étape pour obtenir la segmentation la plus granulaire possible pour les applications des centres de données consiste à réduire la surface d'attaque aux unités informatiques individuelles (n'importe quelle machine virtuelle ou serveur bare metal) dans les centres de données et les clouds. Illumio ASP y parvient en programmant dynamiquement des règles de sécurité entrantes et sortantes précises pour chaque charge de travail. Cela permet à la plateforme de créer un périmètre adaptatif autour de chaque instance informatique (dans n'importe quel centre de données ou cloud), créant ainsi un segment d'une instance. En combinaison avec l'Illumio ASP modèle de politique dynamique sur liste blanche, il permet aux administrateurs de spécifier pleinement les interactions de charge de travail autorisées pour les applications sans aucune dépendance vis-à-vis du réseau. Avec le dernier lancement de produit, Illumio est allé encore plus loin en permettant la segmentation de plusieurs applications jusqu'à des processus sur un seul hôte. Par exemple, deux instances du processus Apache sur une même charge de travail peuvent être segmentées entre deux applications différentes.

C'est quoi ce nom ?

Avons-nous opté pour une petite surenchère marketing sous un nom tel que nano-segmentation ? Loin de là, c'est délibéré et étayé par des preuves. La nano-segmentation, comme son nom l'indique, permet aux entreprises de segmenter les applications de la manière la plus granulaire possible. Nous voulions que les entreprises sachent qu'il existe un moyen de « manger leur gâteau » : elles peuvent segmenter les applications entre les centres de données et les clouds tout en préservant la sécurité. Plus important encore, cette fonctionnalité permet à la segmentation des applications d'être tout aussi efficace dans n'importe quel environnement informatique.

Et encore une chose : le terme « Nano » donne foi au principe Illumio d'une sécurité indépendante du réseau. C'est l'acronyme de « Never Again Network-Oriented ».