Micro-segmentation Cloud

Définition

La micro-segmentation cloud est une approche de sécurité réseau qui divise un réseau cloud en segments très petits et isolés (jusqu'au niveau du workload ou de la VM individuelle), avec des politiques de contrôle du trafic définissant précisément les communications autorisées entre chaque segment. Elle contraste avec la macro-segmentation traditionnelle (par sous-réseaux ou VLANs) et permet d'isoler finement chaque application. Dans les environnements cloud, la micro-segmentation est implémentée à plusieurs niveaux. Au niveau réseau : les Security Groups AWS (par instance EC2 ou ENI), les NSGs Azure (par NIC ou subnet), et les VPC Firewall Rules GCP permettent une granularité par ressource. Au niveau des conteneurs : les NetworkPolicies Kubernetes segmentent le trafic entre pods avec une précision par label. Au niveau applicatif : les service meshes (Istio, Linkerd) implémentent une micro-segmentation L7 basée sur l'identité des services. L'approche Zero Trust appliquée à la micro-segmentation suit le modèle "default deny + exceptions" : tout le trafic est interdit par défaut, et seules les communications explicitement autorisées par des règles précises sont permises. Dans Kubernetes, cela se traduit par une NetworkPolicy default-deny dans chaque namespace, complétée par des politiques autorisant uniquement les flux légitimes inter-pods et inter-namespaces. La micro-segmentation présente des défis opérationnels significatifs dans les environnements dynamiques (cloud-native avec rotation fréquente des IPs et des pods). Les solutions NSX-T (VMware), Illumio, Guardicore, et Calico Network Policy Engine résolvent ce défi en utilisant des labels et des métadonnées plutôt que des adresses IP comme base des politiques, maintenant la cohérence des règles malgré le dynamisme de l'infrastructure. La visibilité est fondamentale pour implémenter efficacement la micro-segmentation : avant de définir des politiques deny, il faut cartographier tous les flux de trafic légitimes. Des outils comme Hubble (Cilium), Calico Network Flow, et les VPC Flow Logs permettent cette cartographie.