Microsegmentation et périmètres définis par logiciel

Dans un réseau plat, dès qu’un attaquant accède à un terminal, il peut communiquer librement avec presque tous les autres systèmes. Cela permet des déplacements latéraux rapides — la technique utilisée par les attaquants pour passer d’un poste de travail compromis à des serveurs sensibles, des contrôleurs de domaine et des banques de données. La micro-segmentation répond directement à ce problème en divisant le réseau en petites zones isolées.

La micro-segmentation divise le réseau en segments précis dans lesquels les charges de travail ne communiquent qu’avec des pairs explicitement autorisés. Contrairement aux VLAN traditionnels, qui segmentent le réseau de manière grossière, la micro-segmentation applique les stratégies au niveau de la charge de travail ou de l’application, souvent jusqu’à chaque conteneur ou machine virtuelle. Le trafic est refusé par défaut et seuls les flux autorisés sont explicitement permis.

Le trafic réseau circule dans deux directions. Le trafic nord-sud circule entre les utilisateurs ou internet et les ressources internes (verticalement). Le trafic est-ouest circule entre les charges de travail à l’intérieur du centre de données (horizontalement). Les pare-feu traditionnels inspectent principalement le trafic nord-sud. La micro-segmentation se concentre sur le trafic est-ouest, que les attaquants empruntent pour se déplacer entre les systèmes internes après une compromission initiale.

Le Software-Defined Networking (SDN) sépare le plan de contrôle (les décisions concernant la destination du trafic) du plan de données (le transfert réel des paquets). Un contrôleur SDN centralisé programme les équipements réseau avec des règles de transfert, ce qui permet d’implémenter la micro-segmentation par logiciel sans reconfigurer les commutateurs physiques. Les changements de stratégie sont ainsi rapides, cohérents et vérifiables dans les grands environnements.

Un périmètre défini par logiciel (SDP) rend les ressources réseau invisibles par défaut : elles ne répondent pas aux tentatives de connexion non authentifiées. Les utilisateurs s’authentifient d’abord auprès d’un contrôleur SDP, qui vérifie l’identité et l’état de l’appareil, puis crée dynamiquement un tunnel chiffré uniquement vers les ressources précises auxquelles ils sont autorisés à accéder. Cela élimine la reconnaissance au niveau du réseau et les chemins de déplacement latéral.

Zero Trust Network Access (ZTNA) est la catégorie de produits qui met en œuvre les concepts du SDP. Contrairement à un VPN, qui accorde un accès étendu au réseau, ZTNA accorde un accès uniquement à des applications précises. L’utilisateur se connecte à un intermédiaire ZTNA qui authentifie son identité et son appareil, puis relaie les connexions vers l’application cible. Parmi les implémentations courantes figurent Cloudflare Access, Zscaler Private Access et Palo Alto Prisma Access.

Les plateformes cloud proposent des outils natifs de micro-segmentation. Les AWS Security Groups permettent de définir des règles précises pour le trafic entrant et sortant de chaque instance EC2. Les NSG Azure (Network Security Groups) s’appliquent au niveau du sous-réseau ou de la NIC. Les règles de pare-feu Google VPC peuvent être limitées à des balises. Tous fonctionnent selon un modèle de refus implicite : seuls les flux explicitement autorisés circulent, ce qui en fait des éléments naturels pour construire une micro-segmentation dans les environnements cloud.

Dans les environnements conteneurisés, les maillages de services comme Istio et Linkerd mettent en œuvre la micro-segmentation grâce au TLS mutuel (mTLS) entre les pods. Chaque appel entre services est authentifié et chiffré, et les stratégies d’autorisation définissent explicitement quels services peuvent communiquer. Cela étend les contrôles est-ouest de Zero Trust jusqu’aux microservices individuels dans les clusters Kubernetes.

La segmentation réseau traditionnelle utilise des VLAN, des DMZ et des sous-réseaux pour créer de vastes zones de sécurité. La micro-segmentation est beaucoup plus granulaire : les stratégies s’appliquent au niveau de la charge de travail ou du processus, et non au niveau du sous-réseau. Un VLAN peut contenir 50 serveurs autorisés à communiquer entre eux ; la micro-segmentation garantit que seuls certains serveurs de ce VLAN peuvent atteindre certains ports de pairs précis, réduisant considérablement les chemins de déplacement latéral.

Une micro-segmentation efficace nécessite une visibilité complète des flux réseau existants avant l’application des stratégies. Les outils de découverte cartographient les schémas de communication réels entre les charges de travail. Une approche courante consiste à commencer par un mode surveillance : observer tout le trafic et générer les stratégies proposées, puis passer au mode application pour refuser les flux non autorisés. Cela évite de bloquer accidentellement du trafic légitime pendant le déploiement.

Le principal avantage de sécurité de la micro-segmentation est de réduire l’étendue des dommages. Si un attaquant compromet un poste de travail du VLAN commercial, les stratégies de micro-segmentation empêchent ce poste de communiquer avec la base de données financière, le système RH ou les contrôleurs de domaine. L’attaquant reste isolé dans le segment où il a pris pied, ce qui facilite le confinement et la correction de l’incident avant que des dommages étendus ne surviennent.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que la micro-segmentation divise les Networks au niveau des Workloads afin de limiter les déplacements latéraux, que les périmètres définis par logiciel rendent les ressources invisibles jusqu’à la vérification de l’Identity, et que le ZTNA remplace les VPN en accordant un accès au niveau de l’Application plutôt qu’au niveau du réseau. Nous allons maintenant voir comment l’Identity devient le nouveau périmètre grâce aux politiques d’accès conditionnel.