Qu'est-ce que l'EIP ?

Le profil d’informations sur les terminaux (EIP) est un concept issu de l’ Versa SASE qui permet de collecter et d’évaluer l’identité et le niveau de sécurité d’un appareil se connectant au réseau (état de l’antivirus, chiffrement du disque, version du système d’exploitation, etc.) avant de lui accorder l’accès au réseau. Les objets EIP définissent les critères de correspondance, les profils EIP regroupent les objets au sein d’une politique, et les profils d’agent EIP indiquent au client d’ SASE s quelles données collecter.

Points clés à retenir

• L'EIP vérifie l'état de sécurité d'un appareil avant de lui accorder l'accès au réseau.
• Les objets EIP définissent les critères de correspondance ; les profils regroupent ces objets au sein d'une politique.
• Les profils d'agent indiquent au client « SASE » quelles données de point de terminaison collecter.
• Les catégories couvrent notamment les antivirus, le chiffrement de disque, les versions de système d'exploitation, etc.
• Les profils EIP sont associés à des règles de protection, d'accès et de déchiffrement.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · EIP et Versa · FAQ

Pourquoi l'EIP est-il important ?

Les utilisateurs en entreprise se connectent depuis des ordinateurs portables, des téléphones, des tablettes et des appareils IoT, via des réseaux que l’organisation ne contrôle pas – et chacun de ces terminaux constitue un point d’entrée potentiel pour un pirate. Vérifier l’identité d’un utilisateur n’a jamais suffi à lui seul ; un identifiant volé mais valide sur un ordinateur portable compromis et non mis à jour reste une connexion compromise. Les modèles « Zero Trust » comblent cette lacune en évaluant l’appareil en même temps que l’utilisateur, de manière continue, et pas seulement lors de la connexion.

L'EIP est le mécanisme mis en place par « Versa» pour effectuer cette vérification au niveau du terminal. Il permet à la politique de vérifier si un terminal est réellement conforme (correctifs installés, chiffrement activé, logiciels de sécurité requis en cours d'exécution) avant qu'il n'accède à des applications sensibles, et il peut réévaluer l'état de conformité tout au long de la session plutôt que de se fier à une vérification ponctuelle. Le contrôle d'accès passe ainsi d'un simple filtrage d'identité à une exigence de conformité strictement appliquée.

Qu'est-ce que l'EIP ?

Tout d’abord, une précision concernant la terminologie : certains titres de documents de l’ Versa traduisent « EIP » par « Endpoint Identity Profile ». Ces deux noms désignent le même objet de configuration ; ce glossaire utilise l’expression « Endpoint Information Profile », telle qu’elle est employée dans l’ensemble des articles de configuration publiés sur Versa.

L’EIP repose sur trois composants. Les objets EIP correspondent aux critères de correspondance – une règle telle que « l’antivirus est installé et en cours d’exécution » ou « le disque est chiffré » – qui filtrent les données brutes de posture transmises par un terminal. Les profils EIP regroupent les objets au sein d’une unité de politique : un ensemble de règles évaluées conjointement pour déterminer si un appareil est conforme. Les profils d’agent EIP sont distincts des profils EIP : ils définissent quelles données le client « SASE » collecte et transmet effectivement depuis le terminal, données que l’agent envoie ensuite à la passerelle pour qu’elles soient évaluées par rapport à un profil.

L'évaluation suit une logique bien définie : les éléments appartenant à différentes catégories au sein d'une même règle sont combinés par un « ET » (tous doivent correspondre), ceux appartenant à la même catégorie sont combinés par un « OU » (une seule correspondance suffit) ; lorsque plusieurs règles s'appliquent, elles sont évaluées de haut en bas et c'est la première correspondance qui prévaut ; enfin, les différents profils d'une même politique sont combinés par un « OU ».

Types d'EIP

Versa Il propose environ 156 objets EIP prédéfinis répartis dans quelque 19 catégories, et les administrateurs peuvent en définir d’autres sur mesure. La plupart des catégories évaluent l’état de conformité des logiciels de sécurité: anti-malware, anti-hameçonnage, suites de sécurité des terminaux (y compris une prise en charge spécifique de CrowdStrike Falcon et SentinelOne), pare-feu, chiffrement de disque, sauvegarde de disque, prévention des pertes de données, gestion des correctifs et protections associées basées sur des agents. Une catégorie « Général » vérifie l’identité de l’appareil : nom d’hôte, ID d’hôte, domaine Windows, nom d’utilisateur, ainsi que le fournisseur, le produit et la version du système d’exploitation. Une catégorie « Mobile » ajoute des vérifications spécifiques aux téléphones : code d’accès, prise en charge biométrique, statut de jailbreak et chiffrement du disque mobile. Le statut de gestion confirme si un appareil est inscrit dans la gestion d’entreprise, et une catégorie « Personnalisée » effectue des correspondances sur des noms de processus, des chemins d’accès aux fichiers ou des valeurs du registre Windows arbitraires pour les cas non couverts par les catégories prédéfinies.

EIP & Versa

L'EIP est configuré par locataire dans Concerto, sous « Configurer > Security Service Edge > Profils et connecteurs > Profil d'informations sur les terminaux (EIP) », où les administrateurs créent des objets EIP, des profils et des profils d'agents à partir d'éléments prédéfinis ou personnalisés. Les profils EIP sont ensuite associés à des règles de protection Internet, à des règles d’accès sécurisé basées sur le client et à des règles de déchiffrement TLS, de sorte qu’un même contrôle de conformité puisse réguler l’accès au Web, les connexions de type VPN ou déterminer si le trafic doit être déchiffré à des fins d’inspection. Les profils d’agent EIP sont associés séparément à la politique d’accès sécurisé, contrôlant ainsi les informations que le client « SASE » extrait du terminal ; la fréquence de mise à jour de ces données est régie par l’intervalle de contrôle de conformité configuré dans le profil d’accès sécurisé.

VersaLes guides de configuration étape par étape de [nom de l’entreprise] replacent l’EIP dans le contexte plus large du modèle « Zero Trust » : cette solution fonctionne en complément de l’accès privé sécurisé d’ Versa (VSPA) pour garantir un accès basé sur le principe du « privilège minimal » et évalué en continu, tant pour les appareils gérés que non gérés, plutôt qu’une simple vérification ponctuelle lors de la connexion.

Questions fréquentes

Quelle est la différence entre un objet EIP, un profil EIP et un profil d'agent EIP ?

Un objet EIP correspond à un critère de correspondance, tel que « un antivirus est installé ». Un profil EIP regroupe des objets au sein d'un ensemble de règles de stratégie évaluées au moment de la connexion. Le profil d'agent EIP est distinct : il définit les données que le client SASE collecte effectivement sur le terminal afin de les utiliser pour l'évaluation.

Comment fonctionne la logique d'évaluation des règles EIP ?

Au sein d'une même règle, les objets appartenant à différentes catégories sont soumis à la logique « ET » : tous doivent correspondre. Les objets appartenant à la même catégorie sont soumis à la logique « OU » : une seule correspondance suffit. Les différentes règles d'un profil sont évaluées de haut en bas ; la première correspondance trouvée l'emporte, et les différents profils d'une même politique sont combinés selon la logique « OU ».

Quels types d'état de sécurité des terminaux l'EIP peut-il vérifier ?

L'EIP couvre environ 19 catégories : les logiciels de sécurité tels que les anti-malwares, les pare-feu et le chiffrement de disque ; les informations générales d'identification des appareils, comme le nom d'hôte et la version du système d'exploitation ; les vérifications spécifiques aux appareils mobiles, telles que le jailbreak et le statut biométrique ; l'inscription à la gestion ; ainsi qu'une catégorie personnalisée pour les correspondances arbitraires de processus, de fichiers ou d'entrées de registre.

Où les profils EIP sont-ils appliqués ?

Les profils EIP sont associés aux règles de protection Internet, aux règles d'accès sécurisé via client et aux règles de décryptage TLS dans Concerto. Cela permet à une même évaluation de la posture de sécurité de réguler l'accès général au Web, l'accès à distance via client et de déterminer si le trafic d'une session doit faire l'objet d'un décryptage TLS.

À quelle fréquence les données relatives à l'état de sécurité des terminaux sont-elles mises à jour ?

Le client « SASE » collecte et transmet les données des terminaux selon une fréquence définie par l’intervalle de vérification de l’état de conformité dans le profil d’accès sécurisé, et non pas une seule fois au moment de la connexion. Ainsi, l’EIP peut révoquer ou restreindre l’accès si l’état de conformité d’un appareil venait à changer en cours de session.

En savoir plus sur l'EIP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'EIP, voici quelques liens qui pourraient vous intéresser.