Isolation des charges de travail

Définition

L'isolation des charges de travail, workload isolation, est un principe architectural consistant à cloisonner les applications, services ou processus les uns des autres afin qu'une compromission de l'un ne puisse se propager librement aux autres. Elle se décline à plusieurs niveaux techniques, la virtualisation avec des hyperviseurs séparant physiquement les ressources entre machines virtuelles, la conteneurisation offrant une isolation légère au niveau du noyau via des espaces de noms et des groupes de contrôle, et la micro-segmentation réseau restreignant les flux autorisés entre charges de travail au strict nécessaire fonctionnel, indépendamment de la topologie physique. Dans les environnements cloud, l'isolation s'appuie également sur des comptes ou abonnements distincts, des réseaux virtuels privés, VPC, cloisonnés et des politiques de groupes de sécurité restrictives. Ce principe limite directement les mouvements latéraux d'un attaquant, technique documentée dans MITRE ATT&CK sous la tactique TA0008, en réduisant la surface accessible depuis un système compromis. L'isolation des charges de travail constitue un pilier des architectures Zero Trust, qui postulent qu'aucune confiance implicite ne doit être accordée à un système du seul fait de sa localisation réseau. Elle est particulièrement critique pour séparer les environnements de production, de test et de développement, ainsi que pour isoler les charges de travail multi-locataires dans les environnements cloud partagés.