Micro-segmentation

general

Définition

La micro-segmentation est une approche de sécurité réseau qui divise le réseau en segments très granulaires (jusqu'au niveau de la charge de travail individuelle ou du processus), avec des politiques de sécurité appliquées à chaque segment, limitant drastiquement les possibilités de mouvement latéral d'un attaquant dans un réseau compromis. C'est l'implémentation technique centrale de l'architecture Zero Trust dans les environnements data center et cloud. Dans les réseaux traditionnels, la segmentation est grossière : on divise par grands VLANs (réseau utilisateurs, serveurs, DMZ, OT). Une fois qu'un attaquant a compromis un poste dans le VLAN serveur, il peut potentiellement communiquer librement avec tous les autres serveurs du même VLAN — le "mouvement latéral" est facilité par l'absence de contrôles Est-Ouest (entre charges de travail dans la même zone). La micro-segmentation résout ce problème en appliquant des politiques de filtrage à chaque serveur, conteneur, ou VM individuellement. La micro-segmentation peut être implémentée à plusieurs niveaux. Au niveau réseau : SDN (Software-Defined Networking) avec des règles de firewall appliquées dynamiquement par un contrôleur central (VMware NSX, Cisco ACI, Juniper Contrail). Au niveau host : firewall de l'OS de la charge de travail, configuré centralement (iptables/nftables sur Linux, Windows Firewall géré par GPO ou Intune). Au niveau applicatif : sidecar proxies dans les architectures microservices (Istio, Envoy, Linkerd) qui appliquent des politiques de communication entre les microservices. VMware NSX (devenu Broadcom NSX) est la solution de micro-segmentation la plus déployée dans les datacenters privés. Il virtualise le réseau et applique des politiques de firewall distribuées au niveau de chaque vNIC de machine virtuelle — sans changer la topologie réseau physique sous-jacente. Les politiques NSX peuvent être basées sur des tags (labels) plutôt que des IPs (qui changent dans les environnements dynamiques), simplifiant la maintenance dans les environnements cloud-native. La micro-segmentation est particulièrement critique pour contenir les ransomwares. Un ransomware qui se propage par SMB (EternalBlue, WannaCry) ou par des credentials compromis est stoppé net si la politique de micro-segmentation interdit les connexions SMB entre les serveurs qui n'ont pas besoin de communiquer entre eux.

VMware NSX et politiques de micro-segmentation

VMware NSX-T implémente la micro-segmentation via le Distributed Firewall (DFW) — des règles de firewall appliquées au niveau de chaque vNIC de VM, dans le kernel VMkernel de l'hyperviseur. Les politiques NSX utilisent des Security Groups (groupes de VMs définis par des critères dynamiques : tags, nom, type, datacenter) plutôt que des IPs, rendant les politiques stables malgré les changements d'IP des VMs. Exemple de politique : "Allow [web_servers] to [app_servers] on port 8080; Deny [app_servers] to [app_servers]; Allow [app_servers] to [db_servers] on port 5432". Cette politique interdit les communications latérales entre serveurs applicatifs (mouvement latéral stoppé) tout en autorisant les flux applicatifs légitimes. La visualisation du trafic avec NSX Intelligence permet d'identifier les flux existants avant de créer les politiques de micro-segmentation (approche "discover, then enforce").

Micro-segmentation dans les environnements Kubernetes

Kubernetes Network Policies permettent la micro-segmentation des pods. Une NetworkPolicy Kubernetes définit les règles d'ingress et d'egress pour des ensembles de pods (sélectionnés par labels). Par défaut, Kubernetes permet toutes les communications entre pods — créer une NetworkPolicy "deny-all" comme baseline puis autoriser uniquement les flux nécessaires est la bonne pratique. Cilium (basé sur eBPF) est la solution CNI (Container Network Interface) la plus avancée pour la micro-segmentation Kubernetes : elle applique les politiques à la couche eBPF du kernel, avec des politiques L7 (HTTP, gRPC, DNS) en plus des politiques L3/L4 standard. Calico, Weave Net, et Flannel supportent aussi les NetworkPolicies. Dans les services cloud managés (EKS, AKS, GKE), les NetworkPolicies sont supportées nativement et intégrées avec les security groups du provider cloud.

Implémentation progressive — cartographie préalable

Implémenter la micro-segmentation sans casser les applications existantes requiert une approche méthodique. (1) Découverte des flux : déployer des agents de monitoring (NSX Intelligence, Guardicore, Illumio) en mode passif pour cartographier tous les flux réseau existants entre les charges de travail. (2) Modélisation des politiques : à partir de la cartographie, créer les politiques "allow" pour les flux légitimes et les politiques "deny" pour le reste. (3) Test en mode "simulate/log" : appliquer les politiques en mode simulation (les connexions sont loguées mais non bloquées) pour identifier les faux positifs. (4) Déploiement progressif par application ou segment, en commençant par les environnements non critiques. (5) Mode enforce : activer le blocage effectif. Cette approche évite les interruptions de service dues à des politiques trop restrictives qui bloquent des flux légitimes non documentés.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis