Qu'est-ce que l'UTM ?

La gestion unifiée des menaces (UTM) est une approche de sécurité consolidée qui regroupe plusieurs fonctions de protection des couches 4 à 7 (pare-feu, antivirus, prévention des intrusions et filtrage de contenu) au sein d'une seule couche de traitement en ligne, remplaçant ainsi une pile d'appareils de sécurité distincts à usage unique par un seul système géré.

Points clés à retenir

• UTM regroupe un pare-feu, un antivirus, un système de prévention des intrusions (IPS) et un système de filtrage au sein d'un seul et même système.
• Elle remplace plusieurs appareils à usage unique par une seule couche gérée.
• Les déploiements vont des appliances dédiées aux services fournis dans le cloud.
• Versa propose des licences UTM en tant que niveau de service aux côtés du NGFW sur les appareils VOS.
• UTM analyse en temps réel le trafic déchiffré afin de détecter les logiciels malveillants et les tentatives d'exploitation de vulnérabilités.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · UTM et Versa · FAQ

Pourquoi l'UTM est-il important ?

Avant l'UTM, la protection d'un réseau impliquait la gestion de dispositifs distincts pour chaque fonction : un pare-feu, une passerelle antivirus, un système de prévention des intrusions, un filtre d'URL… Chacun disposait de sa propre console et occupait une place spécifique dans le flux de trafic. Cette prolifération rendait difficile la cohérence des politiques de sécurité et multipliait l'encombrement matériel ainsi que les coûts sur chaque site.

L'UTM est important car il regroupe toute cette pile en une seule couche intégrée, avec une console unique et un ensemble de règles unique. Pour les succursales de petite et moyenne taille – où il n’est pas réaliste de disposer d’une équipe complète chargée des opérations de sécurité –, l’UTM permet à un seul appareil d’appliquer de manière cohérente des politiques de pare-feu, d’antivirus, d’IPS et de filtrage de contenu, sans avoir à assembler des produits provenant de différents fournisseurs. Il simplifie également la planification des capacités : un seul boîtier, ou niveau de licence, est dimensionné pour la charge de travail combinée, au lieu de plusieurs dimensionnés indépendamment. C’est sur cette consolidation que se sont construites les architectures ultérieures, telles que les pare-feu de nouvelle génération et les systèmes de gestion unifiée des menaces ( SASE ).

Qu'est-ce que l'UTM ?

Une plateforme UTM analyse le trafic en ligne – généralement après avoir déchiffré les sessions TLS – à l'aide de plusieurs moteurs de détection : un pare-feu à état pour le contrôle au niveau des connexions, une analyse antivirus à la recherche de signatures de logiciels malveillants connus, un système de prévention des intrusions (IPS) comparant le trafic à des signatures d'exploits, et un filtrage de contenu ou d'URL bloquant certaines catégories de destinations Web. De nombreuses plateformes intègrent également un filtrage anti-spam et une terminaison VPN.

Ce qui caractérise l'UTM, ce n'est pas un moteur en particulier – les pare-feu et les antivirus existaient bien avant l'UTM –, mais le fait que tous ces composants fonctionnent sous un seul moteur de politiques et un seul pipeline de mise à jour des signatures, dimensionnés pour la charge combinée. C'est ce qui distingue l'UTM d'un ensemble équivalent de produits ponctuels : une équipe rédige une seule politique au lieu d'avoir à concilier plusieurs, et le trafic est inspecté une seule fois, sans être déchiffré et réinspecté à chaque saut.

Types d'UTM

Au fur et à mesure que le marché a mûri, l’UTM a pris trois formes de déploiement. Les appliances UTM dédiées constituent le format d’origine : il s’agit de matériel spécialement conçu pour exécuter tous les moteurs de sécurité sur un seul boîtier, couramment utilisé dans les déploiements de succursales de petite et moyenne taille où le coût d’appliances distinctes n’est pas rentable. L’UTM virtuel ou logiciel exécute la même pile de moteurs sous forme de machine virtuelle ou d’image logicielle sur du matériel x86 standard ou dans un hyperviseur, troquant ainsi une appliance fixe contre une flexibilité de dimensionnement. L’UTM intégré, le modèle utilisé aujourd’hui par la plupart des plateformes SD-WAN et « SASE », intègre l’UTM dans une pile réseau et de sécurité plus large sous la forme d’un niveau de fonctionnalités sous licence plutôt que d’un boîtier autonome : le périphérique ou la passerelle cloud qui gère déjà le routage et le pare-feu ajoute une analyse des logiciels malveillants et des failles de sécurité de niveau UTM en tant que niveau supplémentaire, sans qu’il soit nécessaire de gérer un appareil distinct.

UTM & Versa

Versa considère l'UTM comme un niveau de licence au sein de VOS, distinct mais complémentaire du NGFW : le NGFW couvre les contrôles de couche 7 tels que l'identification des applications, le filtrage des URL et la proxy DNS, tandis que l'UTM analyse le trafic en ligne à la recherche de logiciels malveillants et de tentatives d'exploitation de vulnérabilités. Consultez le document « Présentation des licences d’Versa Secure SD-WAN » (2019 à 2024) pour découvrir comment le NGFW et l’UTM s’associent aux niveaux de bande passante SD-WAN, jusqu’au niveau « Premier Elite », qui inclut les deux. Le clustering haute disponibilité avec suivi d’état nécessite un niveau incluant déjà le NGFW ou l’UTM.

Sur les passerelles du portail Titan SASE , la disponibilité de la fonctionnalité UTM dépend du niveau de licence : la version Professional inclut l’UTM complet et un accès illimité aux applications, tandis que la version Essential ne comprend pas l’UTM – voir « Modifications de comportement des modèles VSIA, VSPA et VSPIA entre les versions 11.0 et 11.2 d’ Titan » pour le détail par niveau de licence. La fonctionnalité UTM coexiste également avec les fonctionnalités NGFW, IPS et ZTNA sur les appliances CSG et CSX d’ Versa, gérées via Director ou Concerto.

Questions fréquentes

Quelle est la différence entre un UTM et un NGFW ?

Le NGFW se concentre sur les contrôles de couche 7 (identification des applications, filtrage des URL, réputation IP et proxy DNS), tandis que l’UTM se concentre sur l’analyse en ligne des logiciels malveillants et des failles de sécurité. Versa les propose sous forme de niveaux distincts et complémentaires ; les niveaux SD-WAN supérieurs, tels que « Premier Elite », incluent les deux.

Quelles sont les fonctionnalités généralement proposées par une plateforme UTM ?

Une plateforme UTM regroupe généralement un pare-feu avec suivi d'état, une analyse antivirus, un système de prévention des intrusions (IPS) et un filtrage d'URL ou de contenu au sein d'une seule couche en ligne ; de nombreuses plateformes intègrent en outre, en tant que fonctions supplémentaires gérées par le même moteur de politiques, un filtrage anti-spam et une prévention de base contre la perte de données.

L'UTM remplace-t-il les pare-feu de nouvelle génération ?

Non, ces deux solutions sont complémentaires et ne se substituent pas l’une à l’autre. Le NGFW gère les contrôles de couche 7 spécifiques aux applications ; l’UTM y ajoute une analyse en ligne des logiciels malveillants et des exploits de vulnérabilités. Le niveau « Premier Elite » de Versaregroupe le SD-WAN, la sécurité de couches 4 et 7 et l’UTM, plutôt que de privilégier l’un au détriment de l’autre.

En quoi l'UTM influe-t-il sur les performances du réseau ?

L'exécution en série de plusieurs moteurs d'inspection entraîne une surcharge, en particulier lorsque le déchiffrement TLS est impliqué ; c'est pourquoi les appliances compatibles UTM et les niveaux de licence sont généralement dimensionnés en tenant compte de cette charge de travail combinée. Le clustering HA avec suivi d'état, par exemple, nécessite un niveau incluant déjà une capacité NGFW ou UTM.

L'UTM est-il déployé sous forme de matériel, de logiciel ou de service cloud ?

Les trois, selon la plateforme. L'UTM classique est fourni sous forme d'appareils dédiés ; l'UTM virtuel fonctionne comme une machine virtuelle sur du matériel standard ; et l'UTM intégré, le modèle utilisé par la plupart des plateformes SD-WAN et « SASE », offre les mêmes capacités d'analyse qu'un niveau sous licence au sein d'un appareil existant ou d'une passerelle cloud.

En savoir plus sur l'UTM

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'UTM, voici quelques liens qui pourraient vous intéresser.