Qu'est-ce que la microsegmentation ?

La microsegmentation est une technique de sécurité réseau qui divise un réseau en petits segments isolés et applique entre eux une politique d'accès granulaire, fondée sur l'identité, l'état de sécurité des appareils ou la charge de travail plutôt que sur l'emplacement réseau, de sorte qu'une intrusion dans un segment ne puisse pas se propager latéralement au reste du réseau.

Points clés à retenir

• La microsegmentation divise les ressources en petites zones régies par des règles.
• Elle remplace la défense uniquement au niveau du périmètre par un contrôle d'accès segment par segment.
• Les règles peuvent être associées à l'identité, à l'état de sécurité d'un appareil ou à une charge de travail, et pas seulement à une adresse IP.
• Il limite les mouvements latéraux, confinant les défaillances à un seul segment.
• Versa l'applique à l'ensemble de ses gammes de produits ZTNA, SD-LAN et de sécurité IoT.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Microsegmentation et Versa · FAQ

Pourquoi la microsegmentation est-elle importante ?

Les défenses basées sur le périmètre partent du principe que le trafic qui franchit le pare-feu est fiable – un modèle qui s'effondre dès qu'un attaquant dépasse la périphérie, que ce soit par hameçonnage, via un appareil IoT compromis ou à l'aide d'identifiants volés. Sur un réseau plat, ce simple point d'ancrage permet d'accéder à presque tout : serveurs de fichiers, contrôleurs de domaine, autres terminaux. La plupart des dommages liés à une violation ne proviennent pas de l'intrusion elle-même, mais de ce qui s'ensuit : un attaquant se déplaçant latéralement, à la recherche de cibles de grande valeur.

La microsegmentation supprime cette liberté de mouvement. En appliquant des règles granulaires à des ressources individuelles ou à des classes d’appareils plutôt qu’à l’ensemble du réseau, on confine un attaquant, ou un appareil compromis, au segment dans lequel il est entré. Un ordinateur portable infecté ou un capteur IoT non mis à jour peut être mis en quarantaine sans paralyser le reste du réseau. Elle prend également en charge les règles de conformité visant à isoler les données réglementées, et permet aux équipes de sécurité d’appliquer le modèle « Zero Trust » – vérifier chaque connexion, ne rien considérer comme fiable par défaut – au sein même du réseau, et pas seulement à sa périphérie.

Qu'est-ce que la microsegmentation ?

Pour créer un microsegment, un administrateur définit des critères de correspondance – les attributs qui placent un utilisateur, un périphérique ou une charge de travail dans ce segment – puis rédige une politique restreignant ou autorisant le trafic entre les segments. Les critères peuvent être des attributs réseau (adresse IP, adresse MAC, VLAN) ou des attributs de sécurité : identité, état de sécurité du périphérique, empreinte numérique ou score de risque calculé en continu. L’application de ces règles intervient lorsque le trafic franchit la frontière d’un segment, généralement via une règle de pare-feu de nouvelle génération qui inspecte le trafic et applique la politique définie pour cette paire de segments.

Ce qui distingue la microsegmentation de la segmentation par VLAN uniquement, c'est son niveau de granularité. Un VLAN regroupe les périphériques en fonction de leur emplacement sur le réseau et est essentiellement statique ; la microsegmentation permet quant à elle de regrouper les périphériques en fonction de leur identité ou de leur état de sécurité en temps réel, et de réaffecter un périphérique dès que son profil de risque évolue : par exemple, en déplaçant un terminal dont l'antivirus n'est pas à jour vers un segment restreint jusqu'à ce que le problème soit résolu, puis en le réintégrant une fois la conformité rétablie.

Types de microsegmentation

Les approches diffèrent principalement par la manière dont elles définissent les limites d’un segment. La segmentation basée sur le réseau regroupe le trafic à l’aide d’attributs conventionnels tels que le sous-réseau IP, le VLAN ou l’adresse MAC – des éléments familiers, mais statiques et qui ne tiennent pas compte de ce qui se passe sur le périphérique. La segmentation basée sur l’identité et la posture place un utilisateur, un périphérique ou une charge de travail dans un segment en fonction de son identité ou de sa nature et de son état de sécurité actuel, indépendamment de l’endroit où il se connecte physiquement. La segmentation basée sur les charges de travail ou les hôtes, courante dans les centres de données et les environnements cloud, applique la politique au niveau de chaque serveur ou machine virtuelle, souvent via un agent ou un hook d’hyperviseur, de sorte que la politique suit la charge de travail lors de ses déplacements. La microsegmentation adaptative (dynamique) ajoute une surveillance continue à l’une de ces approches, en déplaçant un périphérique d’un segment à l’autre à mesure que son score de risque évolue, plutôt que de l’affecter une seule fois au moment de la connexion.

Microsegmentation & Versa

Versa Le système d’exploitation (VOS) met en œuvre la microsegmentation aussi bien pour les périphériques avec client que pour les périphériques sans interface utilisateur. Les périphériques finaux exécutant le client « Versa »SASE sont placés dans des microsegments à l’aide de profils d’informations sur les périphériques finaux (EIP) – des mises à jour périodiques de l’état de sécurité, telles que le niveau des correctifs et l’état de l’antivirus ; voir « Configurer la microsegmentation basée sur les EIP pour SD-LAN ». Les périphériques IoT sans interface utilisateur sont quant à eux classés par empreinte numérique. Les règles classifient le trafic correspondant à l’aide d’une balise de groupe évolutive (SGT), que les politiques NPU et NGFW comparent ensuite pour appliquer les règles d’accès – voir « Configurer la microsegmentation ».

Du côté du SD-LAN, l’architecture Zero Trust LAN (ZT-LAN) d’ Versaintègre un pare-feu de nouvelle génération directement dans le commutateur du campus, évitant ainsi un détour par un point de présence dans le cloud. La microsegmentation adaptative réévalue en permanence le score de risque des appareils et place tout appareil non conforme dans un segment de quarantaine, comme expliqué en détail dans la section « Configurer la microsegmentation pour le SD-LAN ».

Questions fréquentes

Quelle est la différence entre la microsegmentation et les VLAN ?

Un VLAN segmente un réseau en fonction de l'emplacement physique ou logique et est configuré une seule fois, de manière essentiellement statique. La microsegmentation y ajoute des règles basées sur l'identité et l'état de sécurité, qui s'appliquent directement aux utilisateurs, aux appareils ou aux charges de travail et, dans les implémentations adaptatives, les déplacent automatiquement d'un segment à l'autre à mesure que le risque ou l'état de sécurité évolue.

Comment la microsegmentation empêche-t-elle les mouvements latéraux ?

En appliquant une politique d'accès à chaque limite de segment, et non plus uniquement au niveau du périmètre, la microsegmentation oblige un attaquant ou un appareil compromis à passer par un point de contrôle pour accéder à toute autre ressource. Une présence dans un segment reste ainsi confinée, au lieu de se propager librement à travers le réseau.

La microsegmentation est-elle la même chose que le modèle « Zero Trust » ?

Non. Le « Zero Trust » est un modèle de sécurité plus global : il consiste à vérifier chaque connexion et à ne rien considérer comme fiable par défaut. La microsegmentation est l’un des moyens de le mettre en œuvre, en limitant la portée de chaque connexion vérifiée. Le « Zero Trust » englobe également des contrôles relatifs à l’identité, aux appareils et aux applications, au-delà de la segmentation.

Qu'est-ce que la microsegmentation adaptative ?

La microsegmentation adaptative, ou dynamique, réévalue en permanence l'état de sécurité d'un appareil après son affectation à un segment, plutôt que de l'évaluer une seule fois au moment de la connexion. Si cet état se détériore (antivirus obsolète, vulnérabilité récemment découverte), l'appareil est automatiquement transféré vers un segment plus restrictif jusqu'à ce que le problème soit résolu.

La microsegmentation nécessite-t-elle la présence d'un agent sur chaque appareil ?

Pas nécessairement. Les appareils capables d'exécuter un client, tels que les ordinateurs portables utilisant le client Versa SASE , transmettent directement leurs informations de conformité via ce dernier. Les appareils sans interface utilisateur qui ne peuvent pas exécuter d'agent, tels que les capteurs IoT, sont quant à eux identifiés et classés dans des segments à l'aide de la technologie d'empreinte numérique des appareils.

En savoir plus sur la microsegmentation

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la microsegmentation, voici quelques articles qui méritent d'être consultés ensuite.