Comment les SASE et l'internet ont pris le contrôle des réseaux étendus (partie 1)

Ce blog fait partie de la série "I&O Perspectives", qui présente les points de vue d'experts du secteur sur l'impact des menaces actuelles, la mise en réseau et d'autres tendances en matière de cybersécurité.

Alors que je m'apprête à occuper un nouveau poste au sein de l'équipe d'ingénierie de la plateforme Netskope, je suis impatient de découvrir comment la vision de notre entreprise façonne l'évolution de la sécurité des réseaux d'entreprise. Ce premier article d'une série témoigne de mon introspection technique et présente le contexte, les défis et les besoins qui ont conduit à la création de SASE (Security Access Service Edge).

Au cours des 25 dernières années, les entreprises ont progressivement reconnu Internet comme un moyen fiable de transport des applications. Le travail à distance a encore accéléré cette évolution, transformant l'espace de travail en un environnement sans frontières. Associée à l'essor des applications SaaS pour les entreprises, cette évolution a débouché sur une nouvelle ère de connectivité.

Cependant, dans cette nouvelle ère, Internet est devenu un vecteur essentiel de cybermenaces. Alors que les organisations dépendent de plus en plus d'internet pour leur connectivité, elles sont de plus en plus exposées à des menaces sophistiquées, notamment les violations de données, les logiciels malveillants et les attaques par hameçonnage (phishing). Le SASE est apparu comme une réponse aux limites des modèles traditionnels de mise en réseau et de sécurité.

Compte tenu de tout cela, parcourons l'histoire récente des réseaux étendus pour comprendre la direction que prennent la sécurité et la mise en réseau.

L'évolution des réseaux étendus façonne notre présent et notre avenir

En 2000, avant l'éclatement de la bulle Internet, Cisco Systems avait la plus forte capitalisation boursière au monde et était le leader incontesté du secteur des réseaux d'entreprise. Les produits de sécurité Internet étaient négligeables dans les relevés de revenus de Cisco, ne contribuant qu'à une infime partie de leurs ventes. Dans l'ensemble, la cybersécurité reste un secteur relativement modeste. Les réseaux d'entreprise et l'internet existaient auparavant en tant que deux silos distincts, une séparation qui assurait intrinsèquement la sécurité sans nécessiter de cryptage.

Les dorsales des réseaux étendus (WAN), qui, par définition, fonctionnaient sur une infrastructure physique privée, s'appuyaient sur des lignes et des protocoles point à point dédiés, tels que le relais de trame et l'ATM.

En outre, les applications Cloud n'étaient pas si essentielles pour les entreprises. Outre le courrier électronique, les communications électroniques et les ressources informatiques étaient essentiellement privées.

Certains utilisateurs précoces ont commencé à utiliser davantage de tunnels IPsec de site à site pour la sauvegarde du réseau étendu et le délestage du trafic à faible priorité sur l'internet. Je me souviens avoir fait la démonstration d'une telle mise en œuvre pour une grande entreprise en 2002, mais cela n'a pas dépassé le stade de la preuve de concept. À l'époque, l'internet "best-effort" n'était pas considéré comme apte à transporter le trafic sensible des entreprises. Aujourd'hui, cela a évolué avec une qualité de service intelligente et une orchestration au sein d'une interface graphique, représentant la partie SD-WAN de SASE.

Le réseau privé virtuel (VPN) MPLS (Multiprotocol Label Switching), véritable solution axée sur l'IP, était l'étoile montante.

MPLS et VRF : amélioration du routage IP et de l'isolation du réseau

MPLS est un ensemble de protocoles de commutation de base conçus pour accélérer le routage IP. Il combine les avantages de l'IP et de l'ATM.

Les opérateurs de réseaux et les fournisseurs ont développé l'application VPN du MPLS pour assurer l'isolation du réseau au niveau 3. Sur un réseau MPLS-VPN, chaque VPN est un contexte de routage privé. Les clients achètent un ou plusieurs contextes VPN pour séparer leurs environnements de routage WAN sur la même infrastructure physique.

Le trafic sur MPLS-VPN n'est généralement pas crypté et le réseau est fiable. Dans la plupart des cas, ces instances VPN sont naturellement devenues les extensions longue distance des VLAN du réseau local. Les machines ayant le même profil d'utilisation se trouvent dans les mêmes segments de réseau local et les mêmes réseaux privés virtuels.

L'impact des accords de niveau de service sur la différenciation des services MPLS-VPN et des services Internet

Pour les entreprises (ou du moins leurs services juridiques), la principale mesure de la qualité était les accords de niveau de service (SLA) et les pénalités qui en découlent. En d'autres termes, comment les sanctions peuvent-elles être suffisamment préjudiciables aux prestataires de services pour leur permettre d'assurer une qualité de service décente ?

Sur les réseaux MPLS-VPN, la livraison des paquets, les délais d'acheminement et la disponibilité du service sont soumis à des accords de niveau de service (service level-agreement - SLAs). En revanche, la plupart des services internet n'offrent que des SLAs sur le temps de rétablissement ou la disponibilité. Ces éléments contractuels ont été le principal argument des opérateurs de télécommunications pour différencier le MPLS-VPN de l'IPsec sur Internet. 

Les SLAs ne s'appliquent pas lorsque le lien a été interrompu en raison d'un cas de force majeure : catastrophes naturelles, actes de guerre, actions gouvernementales et pandémies, entre autres. Par exemple, si une pelleteuse coupe un câble de fibre optique, et même si cela n'est pas considéré comme un cas de force majeure, cela ne fait aucune différence que le service soit un service internet ou un service MPLS-VPN. Il n'y a qu'une faible chance que le fournisseur rétablisse la liaison dans le délai prévu par l'accord de niveau de service.

Construire des réseaux résilients et performants : Respecter les accords de niveau de service dans un contexte de contraintes complexes

Pour soutenir les accords de niveau de service, la résilience et la gestion de la capacité ont toujours été des thèmes prédominants lors de la conception des réseaux de communication. Ces attributs visent essentiellement à garantir que le réseau est suffisamment étendu, redondant, rapide et souple pour répondre aux attentes des clients dans n'importe quelle condition de réseau. Cependant, pour y parvenir, il faut naviguer dans un ensemble complexe de contraintes, telles que

• Plusieurs itinéraires sont disponibles entre deux points.
• Chaque lien a sa propre gestion de la capacité.
• Les routes de secours doivent être restaurées suffisamment rapidement pour préserver les sessions en cours (par exemple, un appel téléphonique) sans que les utilisateurs ne s'aperçoivent de la défaillance d'une route.
• Avec l'IP, toutes les applications (comme la voix) ne disposent pas d'une bande passante réservée. Le réseau peut étrangler les applications à faible priorité en cas d'encombrement, mais pas de manière excessive. 

Les approches des dorsales privées telles que MPLS et du réseau internet partagé sont naturellement très différentes. L'internet a toujours été considéré comme "best effort", alors que le MPLS-VPN garantit la qualité du service. Cependant, les utilisateurs s'attendent à ce que l'internet fournisse un service décent dans la plupart des conditions de réseau. La concurrence entre les fournisseurs de services internet a permis d'améliorer la qualité. Les techniques et les outils de gestion de la capacité de l'internet ont considérablement progressé

De nombreux efforts ont également été déployés pour enrichir l'arsenal des techniques d'ingénierie du trafic dans les protocoles IP et les environnements MPLS, notamment la gestion de la capacité en ligne, les réservations de bande passante, les priorités d'application, les politiques de chemins de bout en bout, le reroutage rapide, et bien d'autres encore.

La bonne nouvelle, c'est que MPLS, en tant que technologie de base, est désormais l'opérateur sous-jacent pour tout ce qui va des réseaux mobiles à l'internet, et certains de ces efforts profitent également à l'internet, et pas seulement à MPLS-VPN.

L'essor de l'internet : De la nécessité domestique à l'épine dorsale de l'entreprise

Pour les consommateurs, Internet a rapidement commencé à fournir des cas d'utilisation si précieux qu'il est rapidement devenu essentiel de s'abonner à un service internet à domicile. Parmi ces exemples, citons le courrier électronique personnel, les achats en ligne, les moteurs de recherche, les contenus encyclopédiques, les médias sociaux et la messagerie instantanée.

Vers 2008, Internet a conquis l'espace mobile grâce au smartphone convivial, à son écosystème et aux données cellulaires à haut débit. Les smartphones ont rendu l'accès à ces cas d'utilisation omniprésents, entraînant une croissance sismique du volume des flux de données et du nombre d'utilisateurs.

Parallèlement à la croissance des volumes de trafic, qui a été multipliée par la croissance des services de vidéo sur internet (voir figure 1), le nombre d'utilisateurs de l'internet a augmenté de façon spectaculaire.

L'utilisation d'Internet dans les entreprises s'est également accélérée. Outre les applications conviviales, l'accès aux applications SaaS, à commencer par Salesforce, est devenu un sujet important pour les services informatiques. Les solutions SaaS offrent des alternatives évolutives et rentables aux logiciels traditionnels sur site, en réduisant la nécessité d'une infrastructure informatique et d'une maintenance étendues.

Certains DSI ont même décidé d'acheminer le trafic des utilisateurs et de déployer une connectivité privée et coûteuse, telle que Secure Cloud Direct Interconnect (SDCI), pour accéder à des services principalement disponibles sur l'internet public (gratuit). Pendant longtemps, nous n'avons pas pu résoudre complètement le conflit entre l'omniprésence de l'internet et la qualité de service garantie par les dorsales privées.

Adopter le travail à distance : Le passage au SASE

L'innovation poussait au changement. La pandémie a marqué un changement radical. Les travailleurs à distance sont devenus la norme. Ils ont pu bénéficier d'applications professionnelles depuis leur domicile comme s'ils se trouvaient dans les zones privées des sites physiques et des réseaux WAN de l'entreprise. Les applications Cloud et en particulier les applications de réunion virtuelle, telles que Microsoft O365/Teams, seraient affectées dans une configuration centralisée avec un seul ou quelques points d'accès du réseau WAN vers Internet. Les utilisateurs exigent que leur trafic internet emprunte le chemin le plus court possible.

Les acteurs de l'internet n'ont cessé d'approvisionner massivement la bande passante pour faire face au rythme et absorber la charge supplémentaire. L'internet a très bien supporté la charge qui s'est soudainement déplacée des points d'extrémité des immeubles de bureaux vers les lieux d'habitation.

Naturellement, le poste de travail de l'utilisateur est devenu le seul obstacle à la confidentialité des données de l'entreprise. La propriété intellectuelle, les données commerciales secrètes et toute information à protéger doivent être accessibles via le device et les services Cloud de l'employé, qui peuvent se trouver n'importe où.

Néanmoins, les DSI ne pouvaient pas sacrifier la qualité du service et la sécurité. Il est essentiel de préserver la productivité et de garantir la protection de la vie privée et des données. La suppression du "périmètre" de l'entreprise a entraîné la propagation et la croissance d'attaques sophistiquées, de ransomwares, de violations involontaires de la confidentialité et de menaces internes. Ce paysage de menaces exige un modèle de sécurité omniprésent et granulaire pour protéger les utilisateurs et les données partout, en passant des défenses traditionnelles, le château et sa forteresse, à une couche de sécurité globale et permanente. C'est ainsi qu'est né logiquement le SASE. 

Dans la prochaine partie de cette série de blogs, nous explorerons le paradigme de la connectivité SASE et la manière dont Netskope fournit une connectivité de haute qualité dans ce nouveau paysage.

Restez à l'écoute pour les prochains articles de notre série I&O Perspective. Rejoignez-nous à la SASE Week 2024 pour explorer les dernières nouveautés en matière de SASE et de Zero Trust, et apprendre comment améliorer la stratégie de transformation de la sécurité et du réseau de votre organisation. Ne manquez pas la table ronde "SASE for Networkers" le 25 septembre, au cours de laquelle des clients partageront leur expérience de la transformation numérique vers SASE.