La transformation numérique a changé notre façon de travailler. Le passage au cloud, au travail à distance et au BYOD (apportez votre propre appareil) ne sont que quelques-unes des évolutions de l’informatique d’entreprise. Mais une numérisation accrue s’accompagne aussi d’un risque accru de menaces.
Face à l’augmentation fulgurante des cyberattaques, les entreprises cherchent un moyen de contrer les menaces. Par exemple, des technologies comme les VPN (réseaux privés virtuels) chiffrent les données de l’entreprise et permettent leur transmission sécurisée, afin que les télétravailleurs puissent accéder au centre de données de l’entreprise en toute sécurité.
Bien que la technologie VPN soit solidement établie, elle reste plus populaire que jamais. De fait, de nombreuses entreprises ont renforcé leurs capacités VPN pendant la pandémie de COVID-19 pour répondre aux besoins de leur personnel travaillant à distance.
Pourtant, malgré l’adoption accrue des VPN, les cas de compromission de VPN n’étaient pas rares non plus. C’est pourquoi le SASE (secure access service edge), un modèle de cybersécurité relativement récent, a également séduit de nombreux utilisateurs pendant la crise sanitaire.
La question de savoir si le SASE remplacera ou non les VPN — ou si les deux pourront coexister — reste ouverte. Examinons ces deux technologies.
Voir aussi : Meilleures solutions de réseau cloud
Qu’est-ce qu’un VPN ?
Un VPN est un moyen privé et sécurisé d’envoyer des données sur Internet sans craindre qu’elles soient interceptées en chemin. Lorsqu’un employé à distance accède aux données de l’entreprise via l’Internet public, les données sensibles risquent d’être exposées involontairement à des acteurs malveillants.
Les VPN créent un tunnel chiffré entre le réseau de l’entreprise et l’appareil d’un employé, de sorte que les données qui y transitent restent sécurisées. Une fois que les données chiffrées ont traversé le tunnel et atteint le point de terminaison, elles sont déchiffrées à l’aide des clés de déchiffrement appropriées.
Fonctionnalités d’un VPN
Fonctions de chiffrement
L’un des principaux objectifs d’un VPN est de bloquer les tentatives d’accès non autorisées de tiers et de les empêcher d’accéder aux informations personnelles et confidentielles. Les VPN y parviennent grâce au chiffrement, qui convertit les données en texte chiffré. Les données chiffrées ne sont accessibles qu’aux utilisateurs autorisés et ne peuvent être lues qu’après déchiffrement à l’aide des clés appropriées.
Tunneling fractionné
Le tunneling fractionné permet de sélectionner les applications qui doivent passer par le VPN et celles qui doivent utiliser le réseau local. Il s’agit d’une excellente méthode pour économiser de la bande passante et prévenir les interruptions du réseau.
Politique sans journaux
Une politique sans journaux signifie que les VPN ne stockent aucune information transitant par leur réseau. Cela garantit la sécurité des informations privées.
Kill switch
Un kill switch est une fonctionnalité d’une connexion VPN qui interrompt automatiquement votre activité lorsque vous perdez la connexion à votre VPN. Il empêche les utilisateurs non autorisés d’accéder à vos données confidentielles en cas d’interruption des services VPN.
Voir aussi : 7 défis des réseaux d’entreprise
Pourquoi le SASE ?
Traditionnellement, les applications étaient déployées dans un seul centre de données, les employés accédant aux serveurs de l’entreprise via un réseau privé virtuel. Le système fonctionne jusqu’à un certain point. Cependant, les VPN traditionnels commencent à montrer leurs limites dès lors qu’on y ajoute des environnements informatiques complexes et des zones géographiques diverses.
Le passage au cloud et l’adoption accrue des services cloud produisent précisément cet effet. Ajoutez-y un nombre d’attaques contre le réseau plus élevé que jamais — après tout, davantage de points de terminaison signifie une surface d’attaque plus vaste — et vous obtenez une situation dans laquelle les technologies de sécurité actuelles sont clairement insuffisantes face aux défis des entreprises modernes.
Il faut une solution indépendante de la plateforme, accessible depuis n’importe où et capable de bien s’adapter aux opérations agiles. Du point de vue de la cybersécurité, le SASE répond parfaitement à ces exigences.
Michael Cade, technologue mondial senior chez Veeam, l’explique à l’aide d’un exemple.
« Avec un VPN, nous aurions besoin d’une connexion VPN entre A (l’ordinateur portable de l’utilisateur) et B (le centre de données central/l’authentification), qui acheminerait ensuite le trafic vers C (exemple de partage de stockage en réseau basé dans le cloud), a déclaré Cade. Les données pourraient ainsi rester longtemps en transit, et B devrait gérer la bande passante ainsi que d’éventuelles contraintes de sécurité supplémentaires.
« Avec une solution SASE, vous pourrez probablement toujours vous authentifier auprès de B, mais les données iront directement de C à A via un intermédiaire. Cela signifie que vos données resteront moins longtemps en transit. Les besoins en bande passante de B seront réduits. En définitive, la solution est plus sécurisée et probablement plus rapide pour l’utilisateur final qui accède aux données. »
Voir aussi : Principales entreprises de réseaux professionnels
Qu’est-ce que le SASE ?
Le SASE est un modèle de service basé dans le cloud qui regroupe des fonctions de sécurité réseau, comme la passerelle web sécurisée (SWG), le pare-feu en tant que service (FWaaS), le courtier de sécurité d’accès au cloud (CASB) et l’accès réseau zero trust (ZTNA), ainsi que des fonctionnalités de réseau étendu (WAN), au sein d’une console unique. Cette console permet aux appareils et aux utilisateurs de se connecter en toute sécurité au serveur de l’entreprise, quel que soit leur emplacement.
« Il s’agit d’une approche visant à sécuriser les connexions au moyen de plusieurs plateformes dans le cloud. Ainsi, plutôt que de se connecter à un seul serveur, on dispose d’un périmètre réseau », a déclaré Volodymyr Shchegel, vice-président de l’ingénierie chez Clario.co. « Le SASE constitue une amélioration par rapport aux VPN… grâce à ce périmètre, qui permet aux utilisateurs d’accéder au cloud en toute sécurité, avec moins de congestion et de latence.
« À l’ère du travail à distance, c’est essentiel, car le coût prohibitif des VPN à grande échelle n’est pas viable pour la plupart des grandes entreprises. Les solutions cloud sont plus évolutives lorsque de nombreux utilisateurs doivent accéder à un réseau depuis des distances variables par rapport à leur lieu de travail. »
Avec le SASE, les données sont traitées directement à la périphérie, là où se trouve l’utilisateur. Une entreprise n’a donc pas besoin de maintenir un VPN dédié. Ses employés peuvent simplement se connecter à une solution SASE basée sur le ZTNA, dotée de capacités granulaires, et accéder aux réseaux en toute sécurité.
Voir aussi : Meilleures plateformes IoT pour la gestion des appareils
Principaux composants du SASE
SD-WAN
Un réseau étendu défini par logiciel (SD-WAN) est un réseau de superposition qui sépare les services réseau du matériel sous-jacent, éliminant ainsi les complexités liées à la gestion d’un WAN traditionnel. Outre la simplification de la gestion du WAN, ses autres avantages comprennent de meilleures performances réseau, des coûts réduits et la capacité à répondre aux besoins en bande passante élevée.
Pare-feu en tant que service
Le FWaaS est un service cloud natif de pare-feu de nouvelle génération (NGFW) qui utilise des techniques avancées telles qu’un système de prévention des intrusions (IPS), le filtrage web et la sécurité du système de noms de domaine (DNS) pour prévenir les menaces.
Passerelle web sécurisée
Une SWG est un produit de sécurité web qui joue le rôle de gardien entre une entreprise et un utilisateur. En s’appuyant sur des technologies telles que le filtrage des URL, le sandboxing, la prévention des pertes de données (DLP) et l’inspection Secure Sockets Layer (SSL), elle offre une visibilité complète sur le trafic réseau et contribue à contrecarrer les attaques malveillantes. Lorsqu’elles sont utilisées dans une plateforme SASE, les SWG filtrent le trafic malveillant et empêchent les utilisateurs d’accéder à des sites web suspects.
Courtier de sécurité d’accès au cloud
Le CASB est l’un des piliers essentiels d’une stratégie de prévention des menaces. Il s’agit d’une application de sécurité qui identifie les applications à risque dans le cloud et aide les entreprises à établir des politiques strictes de protection des données.
Accès réseau zero trust
La politique zero trust repose sur le principe du moindre privilège, ce qui signifie que tous les utilisateurs ne se voient accorder que les droits minimum nécessaires. Dans ce cadre, les utilisateurs sont vérifiés et contrôlés avant d’accéder à une application. En surveillant en permanence les utilisateurs et les appareils, le ZTNA limite le périmètre d’une violation de données.
Avantages du SASE
- Le SASE prend en charge les utilisateurs quel que soit leur emplacement.
- Il élimine le réacheminement du trafic, réduisant ainsi les coûts de transport. Il diminue également la latence.
- Le SASE fonctionne dans tous les types d’environnements informatiques.
- Les équipes informatiques bénéficient d’une visibilité complète sur les opérations.
- Il applique le ZTNA, qui connecte en toute sécurité les employés aux réseaux de l’entreprise.
La fin des VPN ?
Selon Shchegel, « le discours présentant le “SASE comme un remplacement des VPN” concerne principalement les VPN basés sur des serveurs que la plupart des entreprises utilisent jusqu’à présent. Il suppose également que toutes les entreprises peuvent migrer entièrement vers le cloud en une seule fois. En réalité, la plupart devront utiliser une forme d’hybride entre SASE et VPN (en tant que service ou sur site) jusqu’à leur migration complète vers le cloud. »
Bien que le SASE soit déployé à un rythme soutenu, de nombreuses équipes informatiques et de sécurité peinent à le mettre en œuvre dans leur entreprise. Les VPN restent l’une des principales méthodes permettant de fournir un accès sécurisé aux effectifs répartis. À l’avenir, il semble que les deux technologies perdureront et répondront aux besoins de leurs publics respectifs.
« Le VPN ne va pas disparaître ; il reste parfaitement adapté aux besoins pour lesquels il est utilisé. Mais, comme nous le savons, les environnements ne se trouvent plus confinés aux quatre murs du centre de données », a déclaré Cade. « Nous avons des services ici, là et partout auxquels nos utilisateurs doivent accéder.
« Un VPN vous permet d’accéder à un emplacement central, puis aux services, mais la sécurité s’en trouve quelque peu amoindrie à ce stade. C’est là que le SASE intervient, potentiellement à nouveau, selon le cas d’usage et la nature de l’entreprise. »
Voir aussi : Meilleures solutions de réseau zero trust