Qu'est-ce que la protection en temps réel ?

La « Protection en temps réel » est la catégorie de politiques du Security Service Edge (SSE) d’ Versa qui inspecte et applique des contrôles de sécurité – filtrage d’URL, protection contre les logiciels malveillants, prévention des intrusions (IPS), CASB et prévention des pertes de données (DLP) – sur le trafic en cours. Les administrateurs la configurent dans Concerto sous forme de règles de « Protection Internet » pour le trafic destiné à Internet et de règles de « Protection des applications privées » pour le trafic vers les applications privées de l’entreprise.

Points clés à retenir

• La « Protection en temps réel » est la catégorie de politiques SSE d'Versadédiée à l'inspection du trafic en direct.
• Les règles de protection Internet s'appliquent au trafic destiné à Internet sur la passerelle Web sécurisée.
• Les règles de protection des applications privées s'appliquent aux applications personnalisées accessibles via le VPN d'entreprise.
• Les profils de sécurité associent aux règles des contrôles relatifs aux logiciels malveillants, aux systèmes IPS, aux solutions CASB, aux solutions DLP et aux URL.
• Les règles ne prennent effet qu'une fois la configuration publiée depuis Concerto.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Protection en temps réel et Versa · FAQ

Pourquoi la protection en temps réel est-elle importante ?

Le trafic ne reste pas immobile assez longtemps pour qu’une équipe de sécurité puisse l’examiner manuellement : soit une session est inspectée et soumise à l’application de la politique dès qu’elle se produit, soit elle n’est pas inspectée du tout. La protection en temps réel est la couche qui effectue ce travail en ligne : elle évalue chaque session vers Internet et vers des applications privées en fonction de critères de correspondance (applications, utilisateurs, géolocalisation, réseau) et applique des mesures de contrôle, allant d’une simple autorisation ou refus à un ensemble complet de profils de sécurité, avant que le trafic n’atteigne sa destination.

C’est également là que réside l’essentiel de la posture de sécurité effective d’un déploiement « SASE ». Le filtrage d’URL, l’analyse des logiciels malveillants, la prévention des intrusions, les contrôles CASB pour les applications cloud et la prévention des fuites de données (DLP) pour les données sensibles s’intègrent tous aux règles de protection en temps réel plutôt que d’exister en tant que contrôles autonomes distincts. Ainsi, une seule règle peut, par exemple, autoriser l’accès à une application SaaS tout en analysant les fichiers téléchargés à la recherche de logiciels malveillants et en bloquant les documents correspondant à un profil de données DLP. C’est en définissant correctement ces règles que l’architecture « SASE » passe du simple statut de connectivité réseau à celui de véritable périmètre de sécurité.

Qu'est-ce que la protection en temps réel ?

Dans Concerto, la protection en temps réel s'inscrit dans le cadre de Security Service Edge et regroupe deux types de règles de pare-feu avec les profils de sécurité qui appliquent la politique au trafic auquel elles correspondent. Chaque règle associe des critères de correspondance – applications (individuelles, regroupées ou par catégorie), utilisateurs et groupes, géolocalisation de la source et adresse IP, critères réseau de couches 3/4, et éventuellement état de sécurité du terminal – à une action de mise en œuvre de la sécurité : Autoriser, Refuser ou Rejeter, éventuellement étayée par un ensemble complet de profils de sécurité.

Les règles sont configurées par locataire, et la première règle de chaque type guide l'administrateur à l'aide d'un assistant ; les règles suivantes sont créées directement dans les écrans « Protection Internet » ou « Protection des applications privées ». Aucune de ces règles ne prend effet sur la passerelle tant que la configuration n'a pas été publiée depuis Concerto : une règle peut être entièrement créée et enregistrée sans pour autant protéger le trafic pour le moment.

Types de protection en temps réel

Deux types de règles permettent de différencier l'application des mesures en fonction de la destination du trafic. Les règles de protection Internet s'appliquent, au niveau de la passerelle Secure Web Gateway de Versa , au trafic à destination d'Internet ; elles effectuent une correspondance avec des applications prédéfinies, des catégories d'URL et des réputations d'URL, ainsi qu'avec des critères liés aux utilisateurs et au réseau. Les règles de protection des applications privées s'appliquent, au niveau de la passerelle Versa , au trafic destiné aux applications personnalisées accessibles via le VPN de l'entreprise ; elles ne peuvent pas effectuer de correspondance avec des applications prédéfinies ou regroupées, mais uniquement avec les applications privées qu'un administrateur a explicitement définies.

Ces deux types de règles s'appuient sur les mêmes profils de sécurité, configurés une seule fois dans la section « Protection en temps réel > Profils » et référencés par toute règle correspondante : les profils de protection contre les logiciels malveillants et IPS pour l'analyse des menaces, les profils CASB pour le contrôle des applications cloud et les actions basées sur les risques, ainsi que les profils DLP – élaborés à partir de modèles de données, de profils de protection des données et de règles DLP – pour détecter les contenus sensibles dans les fichiers téléchargés ou mis en ligne, ainsi que dans le corps des messages, et prendre les mesures qui s'imposent.

Protection en temps réel et Versa

Le processus de configuration « SASE » de Concerto considère la protection en temps réel comme l’une des dernières étapes, une fois que l’accès sécurisé, les applications et le décryptage TLS sont en place – le décryptage TLS, en particulier, doit être configuré au préalable pour que les profils CASB et DLP puissent inspecter les charges utiles chiffrées. Un exemple de déploiement présenté dans le guide de configuration étape par étape de VSPA permet de créer une règle de protection des applications privées qui associe les utilisateurs VIP à des applications financières et RH, et applique des profils prédéfinis de protection contre les logiciels malveillants et d’IPS, les critères relatifs à l’état de sécurité des terminaux, à la géolocalisation et aux couches 3/4 restant à leurs valeurs par défaut.

Le DLP est le type de profil le plus complexe à configurer : le guide de configuration DLP explique étape par étape comment créer un modèle de données, un profil de protection des données, une règle DLP avec un niveau de gravité et une action de déclenchement, ainsi qu’un profil DLP qui les associe à des applications cloud spécifiques – puis, en dernière étape, comment associer ce profil DLP à une règle de protection Internet. Chaque règle, quelle que soit la combinaison de profils, ne prend effet qu’une fois que la configuration du locataire a été publiée depuis Concerto vers la passerelle.

Questions fréquentes

Quelle est la différence entre les règles de « Protection Internet » et celles de « Protection des applications privées » ?

Les règles de protection Internet s'appliquent, au niveau de la passerelle Secure Web Gateway, au trafic général destiné à Internet et peuvent correspondre à des applications prédéfinies, à des catégories d'URL et à des évaluations de réputation. Les règles de protection des applications privées s'appliquent, au niveau de la passerelle « Versa », au trafic destiné à des applications personnalisées via le VPN d'entreprise, et ne peuvent correspondre qu'aux applications privées définies par l'administrateur.

Quels profils de sécurité une règle de protection en temps réel peut-elle appliquer ?

La mise en œuvre d'une règle de sécurité peut inclure des profils de protection contre les logiciels malveillants et IPS pour l'analyse des menaces, des profils CASB pour le contrôle des risques liés aux applications cloud, ainsi que des profils DLP pour la détection des données sensibles. Les profils sont configurés une seule fois dans « Protection en temps réel > Profils » et sont référencés par toute règle de protection Internet ou de protection des applications privées.

Une règle de protection en temps réel prend-elle effet dès qu'elle est enregistrée ?

Non. L'enregistrement d'une règle permet de stocker la configuration dans Concerto, mais la passerelle « Versa » ou la passerelle Web sécurisée ne l'applique qu'une fois la configuration du locataire publiée. Un administrateur peut créer et vérifier une règle sans risque qu'elle n'affecte le trafic en production avant sa publication.

Pourquoi le DLP nécessite-t-il que le déchiffrement TLS soit configuré au préalable ?

Les profils DLP analysent le contenu réel des fichiers mis en ligne, téléchargés et des corps de messages afin de détecter des modèles de données. La majeure partie de ce trafic étant chiffrée, sans règle de déchiffrement TLS pour les applications concernées, la charge utile reste opaque et le système DLP n'a rien à analyser.

Les règles de protection des applications privées peuvent-elles correspondre à des applications prédéfinies ?

Non. La protection des applications privées s'applique uniquement aux applications personnalisées définies explicitement par un administrateur ; elle ne peut pas correspondre à des applications prédéfinies ou à des groupes d'applications prédéfinis, contrairement aux règles de protection Internet. Toute application mentionnée dans une règle de protection privée doit d'abord être créée en tant qu'application privée.

En savoir plus sur la protection en temps réel

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la protection en temps réel, voici quelques articles qui pourraient vous intéresser.