Optimisez la sécurité de votre cloud avec des zones d’isolement

Assurer la sécurité de votre application est crucial pour une entreprise efficace. Que vous utilisiez des architectures d’applications cloud natives ou des systèmes sur site, ou quoi que ce soit d’autre, il est généralement considéré que la division de votre infrastructure en zones de sécurité est une bonne pratique. Ces zones offrent une isolation de sécurité qui protège vos applications et leurs informations des mauvaises étoiles extérieures. Une faille de sécurité dans un emplacement peut être restreinte pour n’affecter que les ressources de cet emplacement.

Maîtrisé correctement, ce processus d’isolement basé sur une zone peut entraîner une faille de sécurité qui pourrait autrement avoir un impact énorme sur votre application. stabilité, et le transformer en un problème de taille beaucoup plus petite, peut-être une violation insignifiante avec très peu d’impact.

Comprendre les zones de sécurité

Bien qu’il existe différentes façons de concevoir vos zones de sécurité, une modèle commun est d’utiliser trois zones. Les trois zones assurent une séparation entre le Web grand public (zone publique) et vos services internes et magasins de données (zone personnelle), en plaçant une couche d’isolation (DMZ) entre les deux. La figure 1 montre comment ils collaborent.

IDG

Figure 1. Services dans les zones d’isolement.

Les utilisateurs se connectent à votre application depuis l’Internet public en accédant aux services dans la zone publique. La zone grand public est exposée et reliée au web. Les solutions de cette zone sont exposées directement sur le Web et disponibles directement sur Internet. Les services s’exécutent sur des serveurs protégés par divers pare-feu, mais obtiennent autrement le trafic directement des utilisateurs sur Internet externe.

Ces services publics font le moins de travail possible, mais l’un de leurs plus importants consiste à contrôler et à inspecter les données reçues du Web externe pour s’assurer qu’elles sont valides et appropriées. Ces services doivent filtrer les attaques par déni de service (DoS), les mauvaises infiltrations d’étoiles et annuler l’entrée de l’utilisateur final.

La majeure partie de l’application existe dans la zone personnelle. Cette zone est l’endroit où les données d’application sont conservées avec les services qui accèdent aux informations et les manipulent, et c’est là que se trouve la majeure partie du back-end de votre application. En vérité, la plus grande partie possible de l’application devrait se trouver dans cette zone. Cette zone est la plus éloignée de l’internet grand public. Il n’y a pas de serveurs publics dans cette zone. La zone est aussi isolée que possible de l’internet public.

Afin de protéger la zone privée, personne ne peut accéder directement aux services de cette zone. Même les services de la zone publique de l’application ne peuvent pas accéder aux services de la zone privée. Au lieu de cela, les services de la zone publique accèdent à la zone privée via une troisième zone, la DMZ. La DMZ, ou zone démilitarisée, est une zone intermédiaire qui offre un niveau d’isolement et de sécurité supplémentaire entre les zones publiques et privées, protégeant davantage l’essentiel de l’application contenue dans la zone personnelle.

La fonction de cette conception à trois zones est de garder « l’internet brut sauvage » loin des parties sensibles de votre application. 2 zones séparées, la zone publique générale et la DMZ, fournissent une couche de sécurité entre l’Internet public et la majeure partie des services back-end.

Les zones sont séparées les unes des autres en utilisant des des sections de mise en réseau qui sont liées à des programmes de pare-feu de sécurité spécifiques au niveau du réseau et de l’application. Alors que le trafic circule généralement facilement dans la zone grand public sur le front-end, il est limité dans la zone personnelle sur le back-end, de sorte que seuls les services conçus pour se parler peuvent communiquer. Aucune interaction inutile entre les services principaux n’est autorisée. Toutes ces limitations sont développées pour limiter le rayon d’explosion, ou la zone d’effet d’une attaque. Si une partie de votre système est compromise, ces défenses empêcheront l’agresseur de plonger plus profondément dans votre application. Vos données délicates, stockées profondément dans les entrailles de la zone personnelle, sont séparées de tout mauvais acteur par de nombreuses couches de protection.

La sécurité cloud standard gère

Dans le cloud, Amazon Web Provider (AWS), Microsoft Azure et Google Cloud offrent tous des systèmes de sécurité de base qui aident à la construction et à la gestion de ces zones. Par exemple, AWS propose des outils et des services spécifiques qui aident à créer ces zones de sécurité et fournissent l’isolement nécessaire entre elles :

• Amazon VPC. Les VPC, ou clouds personnels virtuels, offrent des variétés d’adresses IP et des règles de routage isolées. Chaque zone de sécurité peut être développée en tant que VPC distinct. Ensuite, des règles de routage particulières sont créées pour gérer le flux de trafic entre les VPC. En faisant de chaque zone un VPC distinct, vous pouvez facilement produire les zones et les maintenir isolées. Ce modèle maintient le trafic à l’intérieur de chaque zone régionale à cette zone. Le trafic destiné à passer d’un service d’une zone à un service d’une autre zone doit passer par des points naturels d' »opt-in de trafic » qui limitent le type de trafic qui peut circuler. Ces pare-feu au niveau du réseau constituent la toute première ligne de défense pour séparer vos zones de sécurité.
• Groupes de sécurité. Les groupes de sécurité fournissent des logiciels de pare-feu au niveau du serveur qui gèrent le trafic qui circule dans des circonstances individuelles. Ils sont généralement attachés à chaque instance de serveur que vous désignez, en plus d’autres instances d’éléments cloud, telles que des bases de données. Des groupes de sécurité peuvent être utilisés pour éviter tout accès non autorisé à toute partie fournie. Un groupe de sécurité peut s’assurer que le trafic apparaissant sur le serveur d’un service de transition doit provenir d’un ensemble particulier de services frontaux et peut ne pas provenir d’un autre serveur sur le Web. Les groupes de sécurité fournissent une sécurité solide au niveau du serveur, mais nécessitent une diligence pour s’assurer qu’ils sont configurés pour autoriser uniquement le trafic approprié vers des instances particulières. Ils doivent être utilisés avec les VPC, et non à leur place, pour créer vos zones d’isolation.
• ACL réseau. Ceux-ci offrent un contrôle d’accès au niveau du réseau. Ils empêchent le trafic indésirable de circuler n’importe où dans un VPC proposé entre des serveurs et des services individuels. Les ACL réseau sont sans état, ce qui suggère qu’elles gèrent le trafic IP de bas niveau et non des canaux d’interactions point à point spécifiques. En tant que tels, ils fournissent un large bouclier à vos zones de sécurité, tandis que les groupes de sécurité fournissent une défense spécifique et approfondie. Par exemple, les ACL réseau peuvent être utilisées pour empêcher quiconque d’essayer de se connecter directement à un service back-end en interdisant tout le trafic SSH dans la zone.

Chaque zone de sécurité configure normalement plusieurs règles de sécurité. Dans la zone publique, par exemple, il peut être judicieux de permettre aux services à l’intérieur de cette zone moins sûre et sécurisée de communiquer de manière vraiment ouverte. Dans la zone personnelle, les communications entre les services peuvent être sérieusement restreintes. Évidemment, en fonction de votre application, les exigences de sécurité particulières que vous utilisez pour chaque zone peuvent varier.

Même si vous avez établi vos zones de sécurité, elles fournissent une meilleure pratique solide pour améliorer la sécurité de votre application, et pour garder vos données en sécurité et protégées. Les zones de sécurité doivent être considérées comme un outil essentiel dans votre arsenal pour maintenir la sécurité des applications.