Palo Alto Networks met à niveau sa plateforme Prisma Cloud afin de renforcer la sécurité des applications dans un environnement informatique toujours plus distribué, une tendance qui n’a fait que s’accélérer depuis la pandémie de COVID-19 et le basculement massif vers le travail à distance.
Les annonces faites cette semaine lors de l’événement Ignite ’21 du fournisseur mettent en lumière la vulnérabilité des applications, alors qu’un nombre croissant d’entre elles migrent vers le cloud, et insistent sur la nécessité de sécuriser les réseaux qu’elles traversent, du datacenter au cloud ou entre plusieurs clouds.
Palo Alto a indiqué qu’une étude de Gartner avait conclu qu’en 2023, 70 % des charges de travail des entreprises seraient déployées sur des infrastructures cloud et des services de plateforme, contre 40 % l’année dernière. En outre, les chercheurs en renseignement sur les menaces de l’Unit 42 de l’entreprise ont déclaré qu’entre avril et juin 2020, les incidents de sécurité dans le cloud avaient bondi de 188 % sur un an, certaines industries ayant enregistré des hausses supérieures à 400 %.
« La difficulté à sécuriser ces environnements cloud découle de la nature même du cloud », a écrit Ankur Shah, vice-président senior et directeur général de l’activité Prisma Cloud de Palo Alto, dans un billet de blog. « Les charges de travail et les ressources du cloud sont largement distribuées et hautement éphémères. Tout nouveau compte cloud se connecte à des charges de travail, des applications et des données, chaque point constituant un vecteur d’attaque potentiel. Pour sécuriser les applications et les infrastructures cloud natives, les organisations doivent s’adapter afin de gagner en agilité et en intégration. »
À lire également : Falco Rocks AWS Cloud Security One Louder
Développer Prisma Cloud
Aider les organisations à atteindre cet objectif est la raison d’être de Prisma Cloud 3.0, qui arrive deux ans après le lancement initial de la plateforme. Cette version s’accompagne d’un éventail de nouvelles fonctionnalités conçues pour aider les entreprises à adopter une approche DevOps, notamment en ajoutant la sécurité aux environnements d’infrastructure as code (IaC), en renforçant les capacités de sécurité pour le cloud public Azure de Microsoft, en améliorant la microsegmentation réseau et en accélérant la détection des erreurs de configuration.
En outre, Palo Alto a dévoilé son CASB de nouvelle génération (courtier de sécurité d’accès au cloud) afin de renforcer la sécurité des logiciels en tant que service (SaaS), alors que le monde de l’entreprise est passé à des modèles de travail hybrides.
« Avec le passage massif à une main-d’œuvre hybride et l’adoption rapide du cloud, la manière dont le travail est effectué a changé », a déclaré Lee Klarich, directeur produit de Palo Alto, dans un communiqué. « Les applications de collaboration SaaS deviennent essentielles à la productivité d’une main-d’œuvre hybride, mais la sécurité SaaS n’a pas suivi. »
Le nouveau CASB, disponible dans Prisma Cloud 3.0, est conçu pour répondre à ce besoin de sécurité, a précisé Klarich.
L’évolution des besoins en matière de réseau et de sécurité
Selon Rob Enderle, analyste principal chez The Enderle Group, les initiatives de Palo Alto et d’autres fournisseurs s’inscrivent dans une évolution plus large de la sécurité réseau amorcée il y a plusieurs années. Il ajoute que « au cours des deux dernières décennies, le réseau est devenu la principale exposition des entreprises aux attaques externes et le point sur lequel elles doivent concentrer leurs efforts pour mettre en œuvre une défense viable ».
Au départ, tout était isolé, ce qui rendait la propagation difficile sans qu’une personne n’active physiquement l’attaque, a expliqué Enderle à Enterprise Networking Planet. Cette approche a cédé la place à une défense de premier ordre, qui a fonctionné jusqu’à ce que des outils comme les VPN et les liaisons de confiance rendent les autorisations excessivement perméables.
« L’approche actuelle repose sur l’IA [intelligence artificielle] et recherche des flux ou des comportements inhabituels au sein de l’entreprise, une grande partie de cette activité pouvant être détectée sur le réseau », a-t-il déclaré. « Cette évolution confère au fournisseur réseau un rôle essentiel : il est soit responsable des vulnérabilités de l’entreprise, soit chargé de lui fournir la défense la plus robuste contre un nombre toujours croissant de vulnérabilités. »
Avec le passage au cloud, « les solutions de sécurité doivent s’étendre à cette nouvelle frontière, sous peine d’échouer », a déclaré Enderle. « À nos débuts, il n’y avait pas de réseau à sécuriser. Désormais, le réseau est généralement la zone sur laquelle il faut se concentrer pour qu’une solution de sécurité soit efficace. Si une solution de sécurité n’inclut pas le cloud, elle ne peut véritablement être considérée comme adéquate dans ce monde hybride et cloud natif où nous opérons aujourd’hui. »
À lire également : Google Cloud et Palo Alto créent un service de détection des menaces
L’accent sur l’IaC
Pour remédier aux erreurs de configuration dans les modèles IaC, Prisma Cloud 3.0 propose une analyse intégrée et des corrections de code dans des outils de développement couvrant tout le cycle de vie du développement applicatif, une capacité essentielle à l’heure où les équipes DevOps utilisent de plus en plus des modèles tels qu’Amazon Web Services (AWS) CloudFormation et HashiCorp Terraform, a écrit Shah.
Le groupe Unit 42 a constaté dans un récent rapport que près de la moitié des modèles CloudFormation utilisés contiennent des erreurs de configuration.
« Si un modèle IaC mal configuré est utilisé des dizaines ou des centaines de fois, il peut facilement générer des centaines ou des milliers d’erreurs de configuration et d’alertes que les équipes de sécurité devront traiter ultérieurement », a-t-il écrit.
Palo Alto a racheté plus tôt cette année le fournisseur de solutions de sécurité IaC Bridgecrew, une acquisition stratégique pour ses ambitions plus larges en matière de sécurité sur l’ensemble du cycle de vie des applications. Palo Alto a depuis intégré la technologie de Bridgecrew à Prisma Cloud, offrant aux entreprises une solution unique pour traiter les risques associés à l’IaC et intégrer la sécurité au pipeline de développement.
Le fournisseur transforme également son outil d’analyse des menaces WildFire, basé dans le cloud, en produit autonome. Celui-ci collecte des renseignements auprès de plus de 80 000 clients. En outre, son CASB de nouvelle génération a été conçu pour remédier aux limites des solutions actuellement disponibles sur le marché concernant les charges de travail SaaS.
Les dernières évolutions des CASB
Selon Anand Oswal, vice-président senior et directeur général chez Palo Alto, ces limites incluent l’incapacité à protéger la plupart des applications critiques, car ces solutions se concentrent sur les applications accessibles via HTTP/S, ce qui exclut les applications SaaS et non web représentant plus de la moitié du trafic des entreprises. Elles utilisent également des bases de données statiques et des demandes d’assistance pour découvrir les applications, et ne disposent pas d’API permettant de sécuriser les applications modernes de collaboration.
Elles utilisent également une détection imprécise fondée sur des modèles et s’appuient sur le sandboxing de tiers pour le trafic HTTP/S comme unique méthode de détection des menaces, a écrit Oswal dans un billet de blog. Le CASB de nouvelle génération du fournisseur remédie à ces problèmes et fait partie d’une offre consolidée de périmètre de services d’accès sécurisé (SASE).
“Le SASE doit réunir dans le cloud les meilleures capacités de sécurité et de SD-WAN [WAN défini par logiciel] afin d’offrir une expérience utilisateur exceptionnelle tout en réduisant les risques de sécurité », a-t-il écrit. « Prisma SASE… regroupe la sécurité réseau, le SD-WAN et la gestion autonome de l’expérience numérique au sein d’un service unique fourni par le cloud, sans compromis. »
Il regroupe des produits autonomes tels que le SD-WAN, l’accès réseau zero trust, la passerelle web sécurisée cloud, le pare-feu en tant que service (FWaaS) et le CASB de nouvelle génération au sein d’un service entièrement intégré, conçu pour réduire la complexité des réseaux et de la sécurité et améliorer l’agilité des organisations, selon Osawal.
À lire ensuite : Gérer la sécurité dans les environnements multicloud