Microsegmentation Cloud

Définition

La micro-segmentation cloud est une technique de sécurité réseau divisant l'environnement cloud en zones de sécurité granulaires et appliquant des politiques de contrôle d'accès entre ces zones. Contrairement à la segmentation réseau traditionnelle (basée sur des VLANs et des pare-feux physiques), la micro-segmentation cloud s'applique au niveau des workloads (VMs, pods, containers) et s'adapte dynamiquement à l'élasticité des environnements cloud. Les bénéfices de sécurité de la micro-segmentation cloud sont significatifs pour la prévention du mouvement latéral : si un attaquant compromet une VM ou un pod, la micro-segmentation limite sa capacité à se déplacer vers d'autres systèmes. Sans micro-segmentation, les environnements cloud sont souvent plats (tout peut communiquer avec tout au sein d'un VPC), facilitant la propagation des compromissions. La micro-segmentation cloud s'implémente à plusieurs niveaux. Au niveau réseau cloud (L3/L4) : Security Groups AWS (stateful, par ENI), Network Security Groups Azure (par subnet ou NIC), et VPC Firewall Rules GCP avec tags réseau. Au niveau Kubernetes : les NetworkPolicies Kubernetes (par namespace et par label de pod). Au niveau service mesh : Istio AuthorizationPolicies pour le trafic L7 entre services (mTLS + filtrage HTTP/gRPC). Ces couches sont complémentaires et forment une defense en profondeur. La micro-segmentation basée sur l'identité (Identity-Based Micro-Segmentation) représente l'évolution vers le Zero Trust Network : plutôt que de baser les règles sur les IPs (qui changent dans les environnements cloud dynamiques), les règles sont basées sur l'identité cryptographique des workloads (certificats SPIFFE/SVID dans Istio, tags IAM dans AWS). Illumio, Guardicore (Akamai), et Cisco Secure Workload sont des solutions de micro-segmentation basée sur l'identité multi-cloud. La mise en place de la micro-segmentation cloud débute par une phase de découverte et de visualisation des flux existants (VPC Flow Logs, Hubble pour Cilium, Kiali pour Istio) avant de définir et d'appliquer les politiques. Une approche progressive (visualisation → audit → enforcement) minimise les risques de rupture de service.