Cloud CASB

Définition

Un CASB (Cloud Access Security Broker) est une solution de sécurité se positionnant entre les utilisateurs d'une organisation et les services cloud tiers (SaaS comme Microsoft 365, Salesforce, Box, Dropbox, Google Workspace) pour appliquer des politiques de sécurité, visibilité, conformité et protection des données. Les CASBs cloud permettent de contrôler l'utilisation des applications SaaS sanction (approuvées) et non-sanctionnées (shadow IT cloud). Les CASBs opèrent via différents modes de déploiement. En mode API : intégration directe avec les APIs des services SaaS pour analyser le contenu stocké (ex: données dans SharePoint, Salesforce). En mode proxy forward : tout le trafic web des utilisateurs passe par le CASB avant d'atteindre les SaaS (nécessite un agent ou une configuration PAC sur les devices). En mode proxy reverse : le trafic des applications spécifiques est routé via le CASB (utilisé pour les SaaS avec SSO). Ces modes peuvent être combinés. Les fonctionnalités principales des CASBs incluent : la découverte du shadow IT (identifier les services cloud non-approuvés utilisés par les employés en analysant les logs proxy/firewall), le contrôle des accès (bloquer certains services SaaS ou limiter les fonctionnalités selon le groupe utilisateur), la protection des données via DLP (scanner le contenu uploadé vers les SaaS pour détecter des données sensibles), la détection des comportements anormaux (UEBA - User and Entity Behavior Analytics : détection du téléchargement massif de données), et la conformité (appliquer des politiques de rétention et d'accès aux données SaaS conformes au RGPD). Les leaders du marché CASB incluent : Microsoft Defender for Cloud Apps (anciennement MCAS, intégré dans Microsoft 365 E5 et Defender XDR), Netskope, Zscaler CASB, Palo Alto Prisma Access CASB, et Symantec CloudSOC. Les plateformes SSE (Security Service Edge) intègrent CASB, SWG, et ZTNA dans une solution unifiée. L'intégration CASB avec Microsoft Sentinel, Splunk, ou d'autres SIEMs permet de corréler les alertes CASB (exfiltration de données, accès anormaux depuis des pays non autorisés, suppression massive) avec d'autres événements de sécurité pour détecter des attaques multi-étapes impliquant des SaaS.