Qu'est-ce que la microsegmentation ?
La microsegmentation consiste à diviser un réseau en petits segments isolés et à contrôler précisément quel trafic est autorisé entre eux. Plutôt que de traiter l'ensemble du réseau comme un seul espace de confiance où tout peut atteindre tout, la microsegmentation place les systèmes dans des zones à granularité fine et applique une politique à leurs frontières. Une compromission dans une zone reste ainsi contenue au lieu de se propager librement.
La microsegmentation divise un réseau en petites zones isolées dont une politique contrôle le trafic entre elles, de sorte qu'une compromission dans une zone ne puisse pas se propager librement aux autres.
Ce que permet la microsegmentation
- 01
Elle limite le déplacement latéral : un attaquant qui prend un point d'ancrage dans un segment ne peut pas automatiquement rebondir vers des systèmes d'un autre.
- 02
Elle applique le moindre privilège au niveau du réseau : les zones ne communiquent qu'à travers des flux explicitement autorisés, avec un refus par défaut partout ailleurs.
- 03
Elle protège les systèmes incapables de se défendre eux-mêmes, comme les appareils anciens ou OT, en les isolant plutôt qu'en s'appuyant sur des agents installés sur l'appareil.
- 04
Elle réduit la surface d'attaque et offre des frontières d'audit plus claires : vous pouvez voir et prouver ce qui est autorisé à franchir chaque segment.
Microsegmentation face à la segmentation traditionnelle
La segmentation réseau classique utilise des zones larges, souvent des VLAN et des sous-réseaux séparés par des règles de pare-feu. Cela aide, mais les zones sont grossières, et au sein d'une zone tout peut encore communiquer librement. La microsegmentation va plus loin dans la finesse : elle isole des charges de travail, des applications ou des classes d'appareils dans de petits segments et contrôle le trafic entre eux au moyen d'une politique précise. Il reste ainsi bien moins de marge pour le déplacement latéral, mais il faut un moyen de définir et d'appliquer de nombreuses politiques de manière cohérente. C'est pourquoi elle s'associe naturellement à un réseau défini par logiciel, avec une politique sous forme de code, plutôt qu'à des règles de pare-feu maintenues à la main.
Microsegmentation et zero trust
La microsegmentation est un fondement du réseau zero trust. Le zero trust n'accorde aucune confiance implicite fondée sur l'emplacement réseau ; il a donc besoin d'un réseau découpé en zones fines, avec vérification et politique entre elles, et c'est précisément ce que fournit la microsegmentation. Ensemble, elles garantissent que même un attaquant à l'intérieur du périmètre se heurte à une frontière en refus par défaut à chaque segment et ne peut atteindre que ce qu'une politique explicite autorise. C'est particulièrement précieux pour protéger les systèmes critiques et les environnements OT, où contenir une compromission importe autant que la prévenir.
Lien avec Vexaro Mesh (en développement)
Vexaro Mesh, actuellement en développement, est conçu pour aborder l'isolation du côté de l'accès : chaque nœud et chaque session sont authentifiés, et l'accès via le maillage est accordé par rôle depuis une seule console, afin que personnes et services n'atteignent que les systèmes que leur rôle autorise plutôt que l'ensemble du réseau. Les événements de connexion sont prévus pour être exportables vers votre SIEM à des fins d'audit.
Voir les fonctions prévues