Qu'est-ce que SD-Security ?

SD-Security est une solution de sécurité Versa Networks exclusivement logicielle et multi-locataire qui intègre des services de sécurité – pare-feu, prévention des menaces et filtrage de contenu – au sein d’un déploiement SD-WAN de type « Versa ». Elle s’exécute n’importe où dans la structure réseau, que ce soit en succursale, dans le cloud ou dans le centre de données, conformément à des politiques gérées de manière centralisée depuis Versa Director.

Points clés à retenir

• Solution entièrement logicielle : aucun matériel de sécurité dédié à acheter ou à entretenir.
• Se déploie n'importe où dans l'infrastructure : succursale, hub, cloud ou centre de données.
• Intègre nativement un pare-feu de nouvelle génération (NGFW), un filtrage de fichiers, un filtrage DNS et un antivirus.
• Géré de manière centralisée depuis Director, avec une politique appliquée à l'échelle mondiale.
• Certifié par ICSA Labs, NSS Labs, ONUG et VMware Ready pour la NFV.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Modèles de déploiement SD-Security · SD-Security et la plateforme d'VersaONE · FAQ

Pourquoi la sécurité SD est-elle importante ?

La sécurité s'est traditionnellement traduite par une pile d'appareils dédiés – un pare-feu par-ci, un IPS par-là, une passerelle Web sécurisée ajoutée par la suite –, chacun étant acheté, sous licence et géré séparément du réseau qui achemine le trafic. La solution SD-Security regroupe cette pile en un logiciel fonctionnant au sein de la même instance VOS qui achemine déjà le trafic SD-WAN ; ainsi, les chemins du plan de contrôle et du plan de données sont inspectés en ligne, sans qu'aucun autre appareil ne vienne s'interposer dans la chaîne.

SD-Security étant une solution multi-locataire et de classe opérateur, un seul déploiement peut desservir plusieurs organisations isolées, chacune disposant de politiques de contrôle, de sécurité et de gestion des menaces gérées de manière indépendante – une caractéristique qui permet aux fournisseurs de services de proposer une sécurité gérée en complément d’un SD-WAN géré, plutôt que de mettre en place des piles distinctes pour chaque client. Grâce à la centralisation des politiques, une règle définie une seule fois dans Director est appliquée de manière identique partout où elle s’applique : succursales, hubs et centres de données, sur site ou dans le cloud.

Qu'est-ce que SD-Security ?

SD-Security constitue la couche de sécurité de la pile logicielle d’ Versa, et non un appareil distinct : elle s’exécute au sein de VOS sur n’importe quelle succursale, n’importe quel hub, n’importe quelle passerelle ou n’importe quelle instance cloud qui en a besoin. Ses services en couches comprennent des fonctions NGFW et UTM natives, le filtrage de fichiers (par type, taille, protocole et direction, avec des listes d’autorisation et de refus basées sur des hachages SHA-256/SHA-384 ainsi que des vérifications de réputation dans le cloud), le filtrage DNS (listes d’autorisation/de refus, détection des tunnels DNS et vérifications de réputation des domaines nouvellement observés), ainsi que l’analyse antivirus du trafic Web et de messagerie.

Les politiques et les informations sur les menaces sont gérées de manière centralisée : les politiques de contrôle, de sécurité et de lutte contre les menaces sont définies une seule fois puis déployées à l’échelle mondiale, tandis que les informations dynamiques sur les menaces (adresses IP, ports et URL) peuvent être maintenues à jour sur l’ensemble du parc grâce à des outils tels que VSync, qui distribue des flux mis à jour aux appareils SD-Security sans acheminer ce trafic via Director lui-même. La solution dispose de certifications, notamment celles d’ICSA Labs pour les pare-feu, de NSS Labs pour les NGFW/NG-IPS/SSL-Proxy, du Top 10 ONUG SD-WAN et SD-Security, ainsi que de la certification VMware Ready pour la NFV.

Modèles de déploiement SD-Security

SD-Security s'adapte là où l'application des règles est nécessaire. Le fonctionnement en ligne avec le SD-WAN est le mode par défaut : les nœuds VOS des succursales et des hubs appliquent SD-Security aux mêmes tunnels IPsec-over-VXLAN qui acheminent le trafic du plan de contrôle et du plan de données, de sorte que les chemins superposés sont sécurisés sans sauts supplémentaires. Le pare-feu autonome déploie une instance VOS uniquement en tant que point d’application des règles de sécurité – en mode « virtual-wire », de couche 2 ou de couche 3 – pour les sites qui ont besoin d’une protection par pare-feu sans recourir à un SD-WAN complet. Les déploiements dans le cloud et les centres de données étendent ce même modèle de politique aux charges de travail hors site, protégeant ainsi aussi bien le trafic nord-sud que le trafic est-ouest. Les déploiements chez les fournisseurs multi-locataires isolent les politiques de contrôle, de sécurité et de gestion des menaces par organisation sur une infrastructure partagée.

SD-Security et la plateforme « VersaONE »

SD-Security est l’un des trois piliers de la solution – aux côtés du SD-WAN et du SD-Branch – que la plateforme IP Secure Cloud d’ Versa fournit sous forme de services définis par logiciel, de la couche 3 à la couche 7. Chaque instance de SD-Security s’exécute au sein de VOS, le même système d’exploitation qui sous-tend le SD-WAN et le SD-Branch ; ainsi, un seul appareil peut prendre en charge les trois solutions sans nécessiter de licences distinctes par fonction. Le directeur de l’ Versa , provisionne et surveille les politiques SD-Security à l’échelle du parc, tandis que des outils tels que VSync assurent la synchronisation des flux de menaces externes sur chaque appareil SD-Security, garantissant ainsi une application toujours à jour sans mises à jour manuelles.

Questions fréquentes

Quelle est la différence entre SD-Security et un pare-feu matériel classique ?

Un pare-feu traditionnel est un appareil dédié qui inspecte le trafic qui le traverse. SD-Security est un logiciel fonctionnant au sein de la même instance VOS qui achemine déjà le trafic SD-WAN ; ainsi, la protection par pare-feu, la prévention des menaces et le filtrage de contenu s'effectuent en ligne, sans nécessiter d'appareil distinct, et les politiques sont gérées de manière centralisée plutôt que sur chaque appareil individuellement.

SD-Security nécessite-t-il du matériel de sécurité dédié ?

Non. SD-Security est exclusivement une solution logicielle : elle s'exécute sur le même appareil VOS, la même instance virtuelle ou le même nœud cloud basé sur x86 qui gère les fonctions SD-WAN ou SD-Branch. Il n'y a pas d'appareil de sécurité propriétaire à installer, à équiper d'une licence ou à entretenir séparément du reste du réseau.

Comment SD-Security se procure-t-il les dernières informations sur les menaces ?

Les entreprises gèrent des informations sur les menaces (adresses IP, ports, URL) sur des serveurs Web ou des serveurs d'API REST. Des outils tels que VSync détectent automatiquement les mises à jour de ces sources et transmettent les données consolidées directement aux appareils SD-Security VOS, sans passer par Director, ce qui garantit la rapidité des mises à jour et n'affecte pas le fonctionnement de Director.

Est-il possible de déployer SD-Security pour plusieurs locataires sur un même système ?

Oui. SD-Security est une solution de classe opérateur et multi-locataire de par sa conception : les politiques de contrôle, de sécurité et de gestion des menaces sont définies au niveau de chaque organisation ; ainsi, un seul déploiement peut prendre en charge plusieurs clients isolés, gérés chacun de manière indépendante, ce qui est au cœur même de la manière dont les fournisseurs de services proposent des services de sécurité gérés.

Quelles certifications SD-Security détient-elle ?

SD-Security a été certifié par ICSA Labs pour son pare-feu « stateful » et sa protection contre les attaques par déni de service (DoS), par NSS Labs pour ses solutions NGFW, NG-IPS et SSL-Proxy, conformément aux 10 principales exigences vérifiées par les groupes de travail ONUG SD-WAN et SD-Security, et a obtenu la certification « VMware Ready » pour la NFV.

Pour en savoir plus : Versa SD-Security

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à SD-Security, voici quelques articles qui pourraient vous intéresser.