Sécurité des centres de données et de l'informatique en nuage - Pourquoi nous avons besoin d'une révolution

Voici une série de blogues du directeur technique d'Illumio, PJ Kirner, qui couvrira les concepts clés pour vous aider à penser à la sécurité des centres de données et des nuages d'une nouvelle façon, et à réaligner votre approche avec les exigences en évolution dans les environnements d'application.

Les révolutions se produisent pour de bonnes raisons. Ils sont le résultat d'une divergence entre les attentes et la réalité, ce qui provoque une frustration refoulée qui pousse au changement. Les anciennes méthodes ne correspondent plus aux nouvelles exigences et la pression atteint un point d'ébullition où il n'y a pas d'autre option que d'opérer ce changement. 

L'évolution des applications, du centre de données et de l'informatique en nuage a repoussé les limites de la sécurité, où les anciennes méthodes comme les points d'étranglement et les approches basées sur le réseau ne s'alignent plus sur les nouvelles exigences des équipes chargées des applications. Ces équipes se sont habituées à de nouveaux modèles d'utilisation des ressources et de fourniture d'applications, et il n'y a pas de retour en arrière possible. Il est temps de révolutionner la sécurité.

La pression du centre de données

Nous avons vu le centre de données évoluer rapidement au cours des quinze dernières années, ce qui nous a permis de mieux utiliser les ressources, d'atteindre de nouveaux niveaux d'échelle et d'avancer plus rapidement que jamais. L'époque où l'on supposait que vos applications étaient plus ou moins statiques et qu'elles se trouvaient toutes dans votre centre de données privé est révolue.

Les nouveaux niveaux de consommation, d'échelle et de vitesse ont créé de nouveaux défis et de nouvelles pressions pour les équipes de sécurité.

• La virtualisation a permis d'abstraire les ressources centrales des centres de données (calcul, réseau et stockage), rendant les charges de travail plus portables et adaptables, tout en rendant les applications plus évolutives et plus résistantes.
• L'informatique en nuage a créé des environnements élastiques à la demande qui nous permettent de répondre à nos besoins d'infrastructure à la demande, ce qui facilite la consommation et rend l'utilisation plus efficace.
• Les conteneurs sont de plus en plus courants dans les environnements actuels, car ils permettent de développer, de construire et de conditionner rapidement des applications et des services.
   

Pression exercée par les applications

L'infrastructure n'est pas le seul domaine d'évolution et d'innovation. Nous avons constaté des changements similaires dans la manière dont nous développons et fournissons des applications. Grâce à l'intégration et à la livraison continues (CI/CD), nos attentes tout au long du cycle de livraison de logiciels (SDLC) ont évolué. Nous attendons désormais des logiciels qu'ils soient développés et livrés plus rapidement et de manière plus fluide que les approches traditionnelles basées sur les versions.

Pour beaucoup, l'époque des cycles de publication distincts, où les équipes se réunissaient dans une salle et planifiaient les détails d'une prochaine date de mise en service, est révolue. Chaque semaine et, dans certains cas, chaque jour ou même plusieurs fois par jour, un nouveau code est développé et mis en production.

Les applications monolithiques ont été remplacées par des architectures de microservices. Les applications elles-mêmes et les architectures de services connexes sont également devenues plus complexes et leurs composants plus connectés. Les applications dépendent des données et des services à travers l'environnement, ce qui conduit à une communication est-ouest exponentielle que nous n'avons jamais vue dans le passé.

Plus d'interconnexions signifie plus de voies ouvertes, ce qui peut entraîner une plus grande surface d'attaque à défendre et plus de risques pour l'entreprise. En outre, la nature éphémère des conteneurs, ainsi que la connectivité entre ces environnements, créent un tout nouvel ensemble de défis en matière de sécurité.

Le mouvement DevOps a réuni les développeurs et les équipes d'exploitation pour alimenter ce besoin d'agilité des applications et de l'infrastructure. Mais la première génération de ce mouvement a laissé la sécurité à l'écart. Pour beaucoup, l'implication dans la sécurité a été considérée comme un obstacle au progrès et à la philosophie des déploiements rapides et, dans certains cas, a fait que la sécurité a été complètement éludée.

La sécurité n'a pas suivi

L'évolution de l'infrastructure et des applications des centres de données a alimenté le mouvement des organisations qui sont de plus en plus axées sur les logiciels et qui évoluent plus rapidement que jamais. La sécurité a toujours été importante, mais comme les entreprises dépendent de plus en plus des logiciels pour mener à bien leurs activités, il devient de plus en plus critique de bien gérer la sécurité afin de minimiser les risques commerciaux. Une erreur peut se traduire par une perte de données, un impact sur le chiffre d'affaires, un effet durable sur la marque et même des pénalités liées à la conformité. La sécurité n'a pas suivi l'évolution de l'infrastructure et des applications.

Les solutions traditionnelles basées sur le réseau et les points d'étranglement pour l'application de la politique ne sont pas seulement peu pratiques, elles peuvent être carrément impossibles à concevoir et à déployer. Les applications étant la somme de leurs parties, parfois distribuées dans des centres de données et même dans le nuage, la complexité de l'application cohérente de la politique peut représenter un énorme défi. Si l'on ajoute à cela le fait que l'infrastructure des applications devient de plus en plus dynamique, il peut s'avérer presque impossible de maintenir la politique en phase avec les mouvements et l'échelle.

L'un des objectifs de l'évolution de la sécurité est de faire pencher la balance du côté de l'avantage du pirate et d'exploiter les forces du défenseur.

Même les attaquants ont évolué pour déjouer les dernières approches en matière de sécurité. Pour faire pencher la balance en faveur du défenseur, il faut un modèle qui passe de la réaction aux menaces à un modèle qui change le jeu de manière proactive, en redonnant le contrôle au défenseur. Pour ce faire, nous devons adopter une nouvelle approche de la sécurité et réfléchir différemment aux environnements applicatifs et à la manière dont nous les protégeons.

Les approches actuelles en matière de sécurité peuvent constituer un obstacle, ralentir les progrès, voire les bloquer complètement. En continuant à suivre la voie traditionnelle, les équipes de développement risquent de chercher des moyens de contourner la sécurité pour continuer à avancer au rythme dont elles ont besoin pour rester efficaces.

Ce besoin d'efficacité est l'une des raisons pour lesquelles nous devons repenser la sécurité et mieux l'aligner sur les évolutions que nous avons observées dans le centre de données.

Sécurité évolutive pour les environnements applicatifs modernes

Alors que la plupart des solutions de sécurité actuelles sont basées sur des hypothèses anciennes selon lesquelles les choses évoluent plus lentement et sont plus ou moins statiques, nous savons que cette réalité n'est plus vraie.

Même si vous n'en ressentez pas encore toutes les conséquences, les entreprises sont de plus en plus axées sur les logiciels, les applications évoluent plus rapidement et les environnements applicatifs deviennent plus complexes et hétérogènes, ce qui nécessite une révolution dans la sécurité des centres de données et de l' informatique en nuage.

Des technologies telles que la virtualisation et l'IaaS ont permis d'abstraire l'infrastructure pour mieux l'aligner sur les exigences des applications. Nous devons envisager la sécurité de la même manière.

Considérer les charges de travail dans le contexte de l'application et des processus d'entreprise est le meilleur moyen de comprendre les risques et d'élaborer une politique. C'est aussi le seul langage commun que toutes les équipes de l'organisation peuvent comprendre. Une équipe de développement d'applications ne pense pas à l'environnement de ses applications dans le contexte du réseau (adresses IP et ports). Ils l'envisagent dans le contexte des composants de cette application, de la manière dont ils sont liés et dont ils fonctionnent ensemble.

Il en va de même pour les responsables de processus métier qui réfléchissent à leur processus, aux applications et aux services qui y sont liés, et à la manière dont ils fonctionnent ensemble pour répondre aux besoins de l'entreprise.

Ce changement de perspective est fondamental et constitue un premier pas vers une nouvelle approche. C'est le seul moyen de créer une sécurité qui s'adapte aux environnements applicatifs modernes, répartis sur plusieurs plateformes et sites, qui se déplacent et s'adaptent dynamiquement pour répondre aux demandes.

Dans mon prochain article, j'expliquerai pourquoi une carte centrée sur les applications est essentielle et comment elle devient la base pour repenser et faire évoluer la sécurité.

Note de l'éditeur : Lisez le prochain article, "Vous avez besoin d'une carte pour faire évoluer la sécurité."