Software-Defined Perimeter

Définition

Le Software-Defined Perimeter (SDP) est un cadre de sécurité réseau développé par la Cloud Security Alliance (CSA) qui cache les infrastructures réseau (serveurs, routeurs, etc.) des utilisateurs non autorisés via une validation d'identité et de contexte préalable à toute connexion réseau. Le SDP implémente les principes du Zero Trust en rendant les ressources réseau "noires" (invisibles sur Internet) sauf pour les utilisateurs authentifiés et autorisés. Le modèle SDP repose sur trois composants. Le SDP Controller est l'élément central qui authentifie les clients et les hôtes, définit les politiques de connexion, et orchestre l'établissement des connexions. Les SDP Clients (initiating hosts) sont les utilisateurs/appareils cherchant à accéder aux ressources ; ils s'authentifient auprès du Controller avant de recevoir les informations de connexion. Les SDP Gateways (accepting hosts) sont les protecteurs des ressources serveur ; ils n'acceptent de connexions que depuis des clients autorisés par le Controller. Le workflow SDP commence par un Single Packet Authorization (SPA) : le client envoie un paquet unique chiffré au Controller pour demander l'accès, sans révéler son adresse IP ou déclencher de réponse visible. Si le Controller authentifie la demande (identité + posture de l'appareil), il informe le Gateway d'accepter les connexions du client, et le client peut établir une connexion directe et chiffrée vers la ressource. Cette approche rend les ressources complètement invisibles aux attaquants : même si un attaquant scanne le réseau, il ne voit pas les ports ouverts car les Gateways SDP n'acceptent que les connexions autorisées par le Controller. Cette invisibilité élimine les attaques par balayage de ports et par exploitation de vulnérabilités de services exposés. Le SDP est la base technique sur laquelle reposent de nombreuses solutions ZTNA commerciales. Des implémentations open source comme OpenZiti permettent de déployer un SDP complet avec des connecteurs dans différents environnements cloud et on-premises.