Qu'est-ce qu'un CASB ?

Un Cloud Access Security Broker (CASB) est un point de contrôle de sécurité – déployé en ligne via une passerelle ou par intégration directe d'API avec les fournisseurs de services SaaS – qui se situe entre les utilisateurs et les applications cloud afin de permettre aux entreprises d'avoir une visibilité sur l'utilisation du cloud, de détecter l'informatique fantôme et d'appliquer des politiques d'accès basées sur les risques ainsi que des mesures de prévention des pertes de données sur les données transitant vers, depuis et au sein des services cloud.

Points clés à retenir

• Le CASB permet de visualiser et de contrôler l'utilisation des solutions SaaS, qu'elle soit autorisée ou non.
• Le CASB « inline » inspecte le trafic en temps réel ; le CASB « API » analyse les données déjà stockées.
• La détection de l'informatique parallèle classe chaque application en deux catégories : « autorisée » ou « non autorisée ».
• Le CASB s'associe aux solutions DLP et ATP pour contrôler les téléchargements, les partages et les publications.
• CASB est le composant de contrôle SaaS de Security Service Edge (SSE) au sein d'SASE.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · CASB et Versa · FAQ

Pourquoi le CASB est-il important ?

Une fois les applications migrées vers le SaaS, la plupart des données d’une entreprise ont cessé de transiter par les périmètres contrôlés par l’équipe de sécurité. Les employés adoptent les outils cloud plus rapidement que le service informatique ne peut les valider, et un même domaine d’entreprise sert souvent à la fois au tenant professionnel autorisé et au compte personnel d’un utilisateur ; ainsi, un écran de connexion ne suffit pas à les distinguer.

Le CASB comble cette lacune. Il détecte le « shadow IT » – ces applications SaaS que les collaborateurs utilisent à l’insu du service informatique – et transforme le profil de risque de chaque application en une règle applicable : autoriser, bloquer ou autoriser sous réserve d’inspection. Il étend ensuite cette application aux données elles-mêmes, en contrôlant les connexions, les téléchargements, les transferts et les partages, afin qu’une application « autorisée » ne devienne pas une voie d’exfiltration non contrôlée dès qu’un fichier sensible est partagé en externe.

Qu'est-ce que le CASB ?

Un CASB applique ses règles à l'aide de deux modèles de déploiement complémentaires. Le CASB « en ligne » s'intègre dans le flux de trafic – généralement en tant que proxy inverse derrière une passerelle Web sécurisée – et inspecte les sessions en temps réel lorsque les utilisateurs se connectent, téléchargent, partagent ou publient du contenu, en appliquant une action d'autorisation, de blocage ou de rejet en fonction de l'activité. Le CASB API, quant à lui, se connecte directement à l’API de gestion d’un locataire SaaS, ce qui lui permet de détecter ce que l’inspection en ligne ne peut pas voir : les données déjà stockées chez le locataire et les événements de partage, tels que la mise en ligne d’un fichier.

Aucun de ces deux modes n'est complet à lui seul. Le CASB en ligne ne peut pas détecter les applications natives associées à un certificat ni l'activité du cache du navigateur ; le CASB par API ne peut pas intervenir sur une session en cours. Ensemble, ils assurent le contrôle d'accès en temps réel et la gouvernance des données au repos pour l'ensemble des locataires SaaS et IaaS.

Types de CASB

Les déploiements CASB sont généralement définis en fonction de l’endroit où s’effectue l’application des politiques. Un CASB de type « proxy en avant » achemine le trafic sortant via un agent ou une configuration de proxy explicite, ce qui est le plus courant pour les terminaux gérés. Un CASB de type « proxy inverse » (en ligne) intercepte le trafic au niveau de la passerelle sans configuration des terminaux, inspectant les sessions au fur et à mesure de leur passage – c’est le modèle qui sous-tend la plupart des solutions sans agent, couvrant tous les types d’appareils. Les CASB basés sur une API (hors bande) se connectent directement à l’API de gestion du fournisseur SaaS plutôt que de se situer sur le chemin du trafic ; c’est le seul moyen d’inspecter des données déjà au repos ou de partager des modifications qui ne génèrent jamais de trafic en temps réel. Les déploiements aboutis combinent un mode en ligne avec un mode basé sur une API plutôt que de se limiter à l’un ou à l’autre, car chacun couvre des scénarios que l’autre ne peut structurellement pas prendre en charge.

CASB et Versa

VersaLe CASB de [nom de l’entreprise] est intégré au chemin de données VOS™ et fourni dans le cadre de la structure « SASE », avec des modèles de déploiement aussi bien en ligne (inline) que via API. Le CASB en ligne fonctionne sous forme de logiciel en utilisant l’inspection approfondie des paquets (DPI) de VOS via la passerelle cloud « Versa » ou un appareil VOS. Il prend en charge environ 80 applications SaaS avec une classification des risques à cinq niveaux, configurées sous forme de profils CASB associés à une règle de protection Internet dans Director ou Concerto.

Le modèle API, configuré sous forme de connecteurs API-DP dans Concerto, analyse les données déjà stockées dans un tenant et réagit aux événements de partage, en s'associant aux profils DLP et Advanced Threat Protection pour la correction. Les bonnes pratiques en matière de sécurité CASB recommandent de déployer les deux modes pour chaque locataire concerné, en y ajoutant une classification de l’informatique fantôme et des en-têtes de restriction par locataire qui empêchent l’exfiltration vers des comptes cloud personnels. Les administrateurs suivent l’activité via les onglets CASB dans les tableaux de bord de sécurité de Concerto.

Questions fréquentes

Quelle est la différence entre un CASB « inline » et un CASB « API » ?

Le CASB « inline » s'intègre dans le flux de trafic et inspecte les sessions en temps réel lorsque les utilisateurs se connectent, téléchargent ou partagent du contenu. Le CASB API se connecte directement à l'API de gestion d'un tenant SaaS pour inspecter les données déjà stockées, que l'inspection « inline » ne détecte jamais.

Le CASB remplace-t-il un pare-feu ou une passerelle Web sécurisée ?

Non. Le CASB est un dispositif de contrôle complémentaire axé spécifiquement sur l'activité des applications SaaS et cloud, et non sur le trafic réseau général. Il est généralement déployé en complément d'une passerelle web sécurisée et d'un pare-feu de nouvelle génération, souvent dans le cadre d'une plateforme SSE ( SASE ) convergée plutôt que sous la forme d'un appareil autonome.

Qu'est-ce que l'informatique fantôme, et comment le CASB y remédie-t-il ?

L'« informatique fantôme » désigne l'utilisation d'applications cloud à l'insu du service informatique ou sans son autorisation. Le CASB identifie les applications utilisées, évalue leur niveau de risque et permet aux administrateurs de classer chacune d'entre elles comme « autorisée » ou « non autorisée », afin que cette classification puisse être appliquée sous forme de règle d'autorisation ou de refus.

Un CASB peut-il protéger les données déjà stockées dans une application SaaS, et pas seulement celles en transit ?

Oui, c'est précisément le rôle d'une solution CASB basée sur une API. En se connectant directement à l'API de gestion du fournisseur SaaS, elle analyse le contenu déjà stocké, surveille les modifications apportées au partage et peut mettre en quarantaine ou corriger les violations sans que le trafic ait besoin de transiter par une passerelle.

Quel est le lien entre le CASB, l'SASE et le SSE ?

Le CASB est l'un des services clés de Security Service Edge (SSE), aux côtés de la passerelle Web sécurisée, du ZTNA et du DLP. SSE constitue le volet sécurité d'SASE; le CASB est donc mis à la disposition des utilisateurs dans le cadre de l'infrastructure plus large d'SASE , et non en tant que produit distinct.

En savoir plus sur le CASB

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au CASB, voici quelques liens qui pourraient vous intéresser.