Zero trust La transition de l'héritage au cloud natif

Les entreprises opérant dans l'environnement monolithique traditionnel peuvent avoir des structures organisationnelles strictes. Par conséquent, l'exigence de sécurité peut les empêcher de passer à un modèle de déploiement d'applications hybride ou cloud..

Malgré les difficultés évidentes, la majorité des entreprises souhaitent profiter des capacités natives du cloud. Aujourd'hui, la plupart des entités envisagent ou évaluent le cloud natif pour améliorer l'expérience de leurs clients. Dans certains cas, c'est la capacité de tirer des analyses de marché client plus riches ou de fournir l'excellence opérationnelle.

Le cloud natif est un programme stratégique clé qui permet aux clients de profiter de nombreuses nouvelles capacités et infrastructures. Il permet aux organisations de construire et d'évoluer à l'avenir pour gagner un avantage sur leurs concurrents.

Les applications évoluent

Avouons-le! Les applications évoluent très rapidement. Les applications traditionnelles sont désormais complétées par des capacités natives cloud supplémentaires. Nous avons des applications traditionnelles fonctionnant avec les nouveaux services frontaux ou backend modulaires conteneurisés.

L'application principale est toujours un monolithe à trois niveaux, mais les services natifs du cloud sont boulonnés pour renvoyer des données à l'application principale du centre de données privé.

Objectifs de transition

Idéalement, les entreprises auront une position de sécurité qui leur plaira. Ils ont des pare-feu, IDS / IPS, WAF et segmentation: des approches qui fonctionnent parfaitement bien.

Alors que nous nous lançons dans des services natifs du cloud, nous devons ajouter une autre couche de sécurité. Les entreprises doivent s'assurer qu'elles ont des capacités de sécurité égales ou meilleures qu'auparavant.

Cela crée un vide qui doit être comblé. La transition implique la capacité de maintenir la couverture, la visibilité et le contrôle, dans les environnements traditionnels, tout en tirant parti des services natifs du cloud. Tout est fait avec une posture de sécurité de confiance zéro de refus par défaut.

L'environnement complexe

Objectivement, dans les environnements traditionnels, il existe une variété d'architectures de centres de données qui fonctionnent dans des modèles de déploiement publics, privés, hybrides et multicloud. Formellement, c'était juste privé et public, mais maintenant hybride et multi-cloud sont les normes conventionnelles.

Une transition vectorielle se produit dans l'environnement physique, cloud et applicatif. Cette transition est très dynamique et hétérogène. Dans un futur proche, nous aurons probablement une connectivité hybride. 

Sécurité et cloud hybride

L'un des principaux objectifs de la connectivité hybride est sur les interactions. Il est courant que les grandes entreprises aient un peu de tout. Il y aura des applications dans le cloud, sur site, des microservices et des monolithes. Toutes ces entités vivent et fonctionnent en silos.

Il faut une bonne couverture de chaque interaction entre les composants au sein de différentes architectures. Pour une sécurité efficace, il convient de surveiller les comportements inattendus lors des interactions. Si cette couverture est négligée, la porte est ouverte au compromis car ces composants communiquent avec d'autres. La sécurité sera le maillon le plus faible.

L'approche réseau traditionnelle

L'approche réseau traditionnelle est ce que tout le monde connaît et c'est la façon dont la majorité de la sécurité est mise en œuvre aujourd'hui. C'est également l'architecture la moins flexible, car la sécurité est liée à une adresse IP, un VLAN ou un 5-tuple traditionnel. L'approche traditionnelle est un moyen inefficace de définir une politique de sécurité.

En outre, la mise en réseau est spécifique au fournisseur. La façon dont vous implémentez une ACL ou un VLAN entraînera des configurations différentes par fournisseur et, dans certains cas, des différences existent également au sein du même fournisseur. Certains ont évolué vers Chef ou Puppet, mais la majorité des fournisseurs font toujours une CLI qui est manuelle et sujette aux erreurs.

L'hyperviseur

Pour l'application, il existe une surface d'attaque qui englobe tout sur l'hyperviseur. Il est très étendu lorsque l'on considère le nombre de VM pouvant être placées sur un hyperviseur. Plus il y a de VM, plus le rayon de souffle est grand.

Par conséquent, il existe une possibilité d'évasion de VM, où le compromis d'une VM peut entraîner un mauvais acteur accédant à toutes les autres VM sur cet hyperviseur. Essentiellement, un hyperviseur peut grossir par inadvertance la surface d'attaque.

Pare-feu basés sur l'hôte

Ces derniers temps, les pare-feu basés sur l'hôte ont apporté certaines améliorations à la sécurité en empêchant l'accès du trafic entrant indésirable via le numéro de port. Par conséquent, la surface d'attaque et le contrôle sont désormais situés au niveau de la charge de travail. Cependant, nous sommes toujours confrontés au problème que la politique soit menée de manière répartie.

Les outils décrits ci-dessus décrivent une variété d'approches de sécurité, qui sont toutes largement mises en œuvre aujourd'hui. Ce sont toutes des solutions nécessaires qui vous font passer d'un modèle de sécurité grossier à un modèle de sécurité à grain fin. Cependant, le passage à l'hybride et au cloud natif nécessite une approche encore plus fine, appelée zéro confiance.

La prochaine phase évolutive

Nous arrivons tout juste à une phase où les solutions pour les environnements virtualisés basés sur des VM dans les clouds publics et privés commencent à mûrir. Par conséquent, alors que nous atteignons cette phase, nous commençons déjà à assister à la prochaine évolution.

La prochaine étape dans l'évolution des environnements dirigés DevOps est basée sur les conteneurs et les frameworks d'orchestration. Cela apporte un autre ordre de grandeur à la complexité de l'environnement en termes de calcul et de mise en réseau.

Les environnements virtualisés existants basés sur des machines virtuelles ne seront pas en mesure de gérer la complexité que présentent les environnements conteneurisés. Alors, quelle est la bonne voie à suivre?

Indépendance du réseau et des applications

Le cadre de sécurité et de conformité doit être indépendant du réseau. Dans un sens, ils devraient fonctionner comme deux navires qui passent la nuit. En outre, ils devraient être basés sur l'identité.

Le principal avantage d'une solution basée sur l'identité est que vous bénéficiez d'une visibilité sur la communication de service à service, qui devient la pierre angulaire de l'authentification et du contrôle d'accès.

Politiques de sécurité uniformes et évolutivité adaptative

Vous devez pouvoir couvrir une grande variété de combinaisons possibles. Il ne s'agit pas seulement de couvrir différents types d'infrastructures, vous devez également couvrir les interactions entre elles, qui peuvent être mises en œuvre dans des environnements très complexes.

Dans le monde moderne, nous avons une orchestration, des conteneurs, des services éphémères et dynamiques qui changent de fonctionnalité avec la capacité d'augmenter et de réduire. Par conséquent, la solution de sécurité doit être adaptative aux services sous-jacents, qu'elle soit évolutive ou évolutive..

Crypter automatiquement les données en mouvement (mTLS)

Comme nos applications couvrent des modèles de déploiement hybrides et multicloud, le chiffrement se complique avec les systèmes d'infrastructure à clé publique (PKI) et la gestion des jetons..

Si vous avez une solution qui étend les environnements d'application, physiques et cloud, vous aurez une approche élastique et omniprésente. Finalement, cela vous permet de chiffrer les données en mouvement sans avoir à gérer des systèmes PKI complexes.

Zero Trust

Tout utilisateur, microservice, port ou API peut introduire des vulnérabilités. Cela nous ramène à une confiance zéro - «ne faites jamais confiance, vérifiez toujours». L'idée de déplacer le périmètre pour protéger les actifs internes est un mandat pour le modèle de sécurité de confiance zéro. Les périmètres augmenteront en nombre, devenant plus granuleux et plus proches de la charge de travail. L'identité sera le nouveau périmètre.

Cependant, tous les actifs que vous deviez protéger, lorsque vous vous concentriez uniquement sur les services sortants, sont plus complexes en termes d'ampleur lorsque vous devez maintenant protéger les actifs internes. Les solutions actuelles n'évolueront tout simplement pas pour atteindre ce niveau. Nous avons un ordre de grandeur plus vaste que l'environnement que vous devez protéger.

Par conséquent, la mise en place d'une solution entièrement conçue pour être aussi évolutive que le centre de données et l'environnement de calcul est obligatoire. La confiance zéro devient encore plus importante pendant la période de transition, car vous avez plus d'interférences entre les services et les charges de travail déployés dans différents environnements. De plus, le milieu entre les environnements peut avoir un niveau de confiance variable.

Par conséquent, la décision d'adopter l'approche de confiance zéro est un élément essentiel pour maintenir une posture de sécurité efficace pendant la phase de transition. Si vous ne faites pas confiance à votre périmètre, le seul moyen de sécuriser est de crypter toutes les communications entre les services.

Exemple de résumé de solution

Idéalement, la solution doit offrir une plateforme de sécurité unique au niveau de l'application. Une solution de couche 7 permet aux administrateurs de comprendre le «qui» et le «quand». En outre, cela aide à comprendre les services utilisés tout en ayant la capacité de niveau application tirant parti de la PNL.

Un réseau indépendant et une solution de sécurité centrée sur l'application est la proposition de valeur de base. Il couvre une grande variété d'environnements virtuels et réseau en mettant l'accent sur la transition vers le cloud natif avec une approche de confiance zéro.

Centré sur la charge de travail et non sur le réseau, c'est ce qui rend la solution plus stable, lisible et gérable. Il amortit l'utilisation de l'automatisation pour dériver la politique de moindre privilège de l'activité observée.

Cela fournit une approche circulaire de la visualisation, de l'activité, de la politique et des différences entre eux. La stratégie centrée sur la charge de travail avertit lorsqu'une activité enfreint la stratégie et lorsque la stratégie peut être trop lâche compte tenu de l'activité observée. Les politiques doivent être définies à l'aide d'attributs logiques et non d'attributs physiques.

La plate-forme de sécurité garantit que vous savez exactement ce qui se passe, pendant que vous passez de l'héritage aux environnements d'applications natifs du cloud. Il vérifie avec succès, comblant le vide pour une migration sécurisée et en douceur.

Rejoignez les communautés Network World sur Facebook et LinkedIn pour commenter des sujets qui vous tiennent à cœur.