Leçons d'un géant du numérique : comment eBay est parvenu à la cyber-résilience - en segmentant 3 000 serveurs et en ne cassant jamais une application

Du service d'assistance au responsable de la sécurité

Avec 134 millions d'acheteurs actifs sur plus de 190 marchés, eBay dispose d'une infrastructure complexe couvrant des milliers de charges de travail. Pour rester résilient(e), eBay avait besoin de plus que des défenses périmétriques traditionnelles. L'entreprise avait besoin d'un nouveau modèle de sécurité conçu pour les environnements hybrides, les charges de travail dynamiques et les changements constants.

Ce modèle était celui de la confiance zéro. C'est là que Brian Hansen, aujourd'hui administrateur principal des systèmes chez le détaillant en ligne, entre en jeu.

"J'ai commencé par répondre au téléphone dans le service clientèle", se souvient Brian. "Vingt-trois ans plus tard, je dirige un déploiement à grande échelle d'Illumio qui protège plus de 3 000 serveurs. Non pas parce que j'ai commencé en tant qu'expert en sécurité, mais parce que j'ai dit oui". Lorsque son supérieur direct a pris la tête de l'initiative d'eBay en matière de microsegmentation, un pilier essentiel de Zero Trust, Brian a pris les devants, bien qu'il n'ait aucune expérience formelle en matière de sécurité. "Je n'avais aucune expérience en matière de sécurité. Je savais ce qu'était un pare-feu, mais c'était tout", dit-il. "Mais nous avions le mandat - et les outils - pour le faire correctement.

Le défi : La complexité à la vitesse du nuage

Avec plus de 3 000 serveurs Windows et Linux prenant en charge environ 250 applications uniques - et environ 350 environnements au total si l'on inclut le développement et l'assurance qualité - les pare-feu périmétriques traditionnels n'étaient plus suffisants. L'équipe avait besoin :

• Visibilité sur la façon dont les applications communiquent réellement
• Contrôle pour contenir les menaces - même après la violation
• Un déploiement qui n'aurait rien de cassant
• Rapidité et évolutivité sans ajout de complexité
  

"Nous avions l'habitude de jouer au chat et à la souris en essayant de bloquer toutes les menaces", explique Brian. "Nous avons dû inverser le modèle pour contenir et contrôler de manière proactive."

Comment eBay a mis en place la segmentation - en toute sécurité, progressivement et à grande échelle

Le voyage a commencé par la visibilité, en faisant fonctionner Illumio en mode observation. "Les premiers mois, nous nous sommes concentrés sur la visibilité", explique Brian. "Cela nous a permis de gagner en confiance. Lorsque nous avons vu quel était le trafic - et ce qui ne devait pas l'être - nous avons pu agir sans crainte".

Armés de cartes de trafic en temps réel, ils sont passés progressivement à l'application de la politique. En regroupant les serveurs par application et par environnement, ils ont créé des règles par petits lots, les ont validées, puis les ont étendues. "Nous n'avons pas essayé de faire bouillir l'océan. Nous avons construit un ensemble de règles solides à la fois", explique Brian.

À l'aide de Microsoft Endpoint Manager et de scripts PowerShell, l'équipe a automatisé le déploiement et l'étiquetage dynamique. Presque toutes les nouvelles charges de travail sont mises en ligne, étiquetées et pleinement appliquées. "Nous avons construit les étiquettes à l'avance. Ainsi, dès qu'une charge de travail est mise en ligne et obtient ce label, la politique est déjà en place", explique Brian.

Mais l'automatisation n'a pas seulement simplifié le déploiement, elle a aussi mis au jour des risques cachés.

"Nous avons découvert d'anciens contrôles de santé de l'équilibreur de charge toujours en cours d'exécution, des appels d'application mal acheminés et des ports ouverts que personne n'utilisait", explique Brian. "Illumio nous a aidés à mettre fin à tout cela. Même les propriétaires d'applications ont été surpris : Ils disaient : "Attendez, nous utilisons toujours ce port ? Et nous leur montrions les données".

La mission critique d'abord : Protégez ce qui compte le plus

‍
Illumio ne s'est pas contenté d'arrêter les menaces. Il fait apparaître un trafic inconnu et indésirable.

L'équipe a commencé par verrouiller les actifs les plus critiques - DNS, contrôleurs de domaine, systèmes d'identité - puis s'est déplacée vers l'extérieur. "Si ces derniers baissent, tout le reste baisse", explique Brian. "Illumio, construisons d'abord un noyau résilient."

‍Lesuccès n'a pas été seulement technique, il a été organisationnel. "Nous avons travaillé avec les équipes chargées des réseaux, de l'infrastructure et des applications. Tout le monde a joué un rôle. C'est ce qui a fait son succès", explique Brian. "Lorsque quelque chose tombe en panne, les équipes chargées des applications nous demandent de vérifier d'abord Illumio. Nous pouvons généralement identifier le problème en quelques minutes."

Pour Brian, Illumio n'est pas seulement un projet ponctuel. Il s'agit d'une partie intégrante de la stratégie de sécurité "Zero Trust" d'eBay. "Nous affinons régulièrement les politiques et surveillons les anomalies. Nous nous améliorons sans cesse. Et son conseil aux autres ? "N'attendez pas d'avoir tout compris. Tout ce que vous faites avec Illumio vous rend plus sûr que vous ne l'étiez hier".

Des résultats qui comptent

• Aucun temps d'arrêt: "Nous n'avons pas cassé une seule application pendant le déploiement.
• Dépannage plus rapide: "Nous pouvons résoudre les problèmes en quelques minutes, et non en quelques heures.
• Des environnements plus propres: "Nous avons supprimé les flux hérités, les configurations obsolètes et le trafic bruyant.

‍