Retour 
Ce blog fait partie de la série "I&O Perspectives", qui présente les points de vue d'experts du secteur sur l'impact des menaces actuelles, la mise en réseau et d'autres tendances en matière de cybersécurité.
Dans la première partie de cette série de blogs, nous avons observé le début d'un modèle basé sur Internet où les réseaux d'entreprise n'ont plus de frontières, où la maison est le bureau et où les applications résident dans le cloud.
Ce changement de paradigme rend la connectivité omniprésente. Mais les risques de sécurité ont considérablement augmenté. Pour que le SASE puisse s'étendre et protéger tous les utilisateurs, il a besoin d'une plateforme solide. Chez Netskope, nous avons créé NewEdge, une plateforme spécialement conçue pour fournir un SSE et un SD-WAN rapides et hautement disponibles. Jetons un coup d'œil sur les technologies et les conceptions qui ont rendu cela possible :
Internet vs. MPLS-VPN
Face aux réseaux MPLS-VPN, inflexibles mais compatibles avec les accords de niveau de service, se trouve le géant contorsionniste dédaigné qu'est Internet.
Les fournisseurs de contenu et de services Cloud ont été très actifs dans la construction d'un internet sur lequel ils peuvent compter. En fait, ils ont besoin d'un réseau ouvert et de haute qualité pour fournir du trafic et donc du contenu sur les écrans de leurs clients. Ils investissent dans des câbles sous-marins et exploitent des infrastructures de transport qui supplantent certains opérateurs de télécommunications et réseaux de transit. Ils ont également soutenu massivement des initiatives d'interconnexion telles que des facilités d'échange d'accès à Internet. Les interconnexions sont essentielles et constituent un sujet délicat. D'une part, les FAI investissent massivement dans leurs infrastructures d'accès. Inversement, les fournisseurs de contenu ont besoin d'un accès à ces consommateurs. Au milieu, les fournisseurs de transport tentent de gagner de l'argent en reliant les deux extrémités. Par conséquent, les intérêts sont parfois contradictoires.
Il y a eu quelques litiges, certains estimant qu'ils n'étaient pas assez payés pour la valeur qu'ils apportaient. En mai 2024, par exemple, Cogent a supprimé une partie de sa connectivité avec Tata, car les deux fournisseurs de services de transit n'ont pas réussi à s'entendre sur une stratégie d'interconnexion équilibrée. Cette situation a eu des répercussions sur les réseaux qui dépendaient fortement de ces fournisseurs et qui ne disposaient pas d'alternatives décentes.
Sur le plan technologique, l'optique, les puces de transfert et les améliorations des protocoles ont permis à Internet d'atteindre des niveaux de bande passante élevés avec des budgets réduits. La généralisation de la télémétrie matérielle a énormément contribué à l'optimisation des réseaux à large bande passante, tels que les réseaux fédérateurs de Internet.
En 2012, dans le cadre d'une entreprise précédente, nous avons développé un logiciel d'optimisation du routage internet. Grâce à des milliards de mesures de performance, nous avons eu la confirmation ferme qu'Internet avait besoin d'améliorations pour plus de disponibilité et de performance, principalement dans certaines zones géographiques spécifiques ou dans des conditions de réseau particulières. Comme Netskope, la plupart des fournisseurs de contenu et des fournisseurs de services Cloud ont développé leur propre cadre d'ingénierie du trafic BGP afin d'améliorer la disponibilité et les performances.
Grâce aux largeurs de bande élevées, aux collaborations de peering et au routage intelligent, les longs débats sur la qualité de service, l'ingénierie du trafic et les accords de niveau de service se sont estompés.
Netskope a investi des centaines de millions dans sa plate-forme, NewEdge, et dans le réseau de connectivité sous-jacent. Avec un full compute et tous les services de sécurité disponibles dans plus de 75 régions et de 100 centres, NewEdge garantit une performance sans compromis. Les utilisateurs de Netskope bénéficient de la proximité géographique et d'une meilleure connectivité du dernier kilomètre grâce à des voies de transit multiples et à un peering dense.
SDN - Réseaux définis par logiciel (ou pas)
Avec le MPLS-VPN, l'opérateur télécom configure explicitement chaque contexte client et contrôle toutes les configurations dans le backbone. En revanche, dans un cadre SDN approprié, le client a le contrôle de la configuration.
Des tentatives ont été faites pour fournir aux clients des interfaces utilisateur et des API en libre-service pour gérer leurs configurations et automatiser les configurations des réseaux centraux. Outre le contrôle strict, l'absence d'interférences avec d'autres clients et le respect des contraintes de conception, il s'agit également de limiter les options de configuration et les déploiements fantaisistes que seuls les ingénieurs des opérateurs de télécommunications peuvent effectuer manuellement. Enfin, avec les backbones privés, le SDN reste limité par l'infrastructure sous-jacente.
L'établissement de tunnels en tant que superpositions sur Internet, par exemple les SD-WAN IPsec, est une tâche de configuration qui relève uniquement du contrôle du client, ce qui offre plus d'autonomie et de flexibilité. Tant que vous disposez d'une large bande passante, tout est possible. Le SD-WAN bénéficie également de l'innovation et des efforts en matière de modèles d'orchestration, d'ergonomie et d'interfaces graphiques modernes, rendant l'expérience de configuration légère et facile.
Exploiter le multi-tenant
Le concept SDN s'accompagne d'un besoin de multi-tenancy. Le MPLS-VPN a apporté la séparation du routage, une architecture standardisée et interopérable qui isole plusieurs clients dans des contextes différents. De même, les fournisseurs et les contributeurs open source ont mis en œuvre la séparation du routage dans les pare-feu et les systèmes d'exploitation. La plupart des périphériques SD-WAN ont des techniques propriétaires similaires et étendent des segments séparés par des tunnels IPsec.
Outre la séparation du routage, le multi-tenant permet de fournir une instance de service complète à plusieurs clients : interfaces de gestion et API, applications de couches supérieures et sécurité. Il permet l'abstraction du matériel et des systèmes d'exploitation pour un approvisionnement instantané, l'indépendance géographique et l'élasticité. La mise en œuvre d'un véritable modèle multi-tenant nécessite la maîtrise de l'architecture et de l'orchestration IT pour construire un système efficace et sécurisé. Au cours des dix dernières années, des centaines d'ingénieurs de la plate-forme Netskope ont investi leur énergie dans les spécificités de ces technologies pour construire le réseau NewEdge.
L'essor des services de sécurité Cloud
Alors que les services de sécurité fonctionnent sur du matériel dédié dans les sites distants des clients et dans leur centre de données, le multi-tenant leur permet de le faire dans cloud. Il présente tous les avantages bien connus des solutions Cloud bien conçues :
- Améliorations continues
- Évolutivité
- Redondance
- Performance - proximité
- Observabilité
- Tranquilité (service géré 24/7)
Le SASE pour les utilisateurs professionnels
Pourquoi le SASE prend-il le pas sur la sécurité périmétrique ?
- Tout d'abord, le SASE fournit les services qu'un département IT interne ne pourrait pas mettre en place avec les meilleurs équipements et logiciels dédiés, et ce quelle que soit la complexité. En effet, la prévention des pertes de données (DLP), la protection contre les menaces et les logiciels malveillants nécessitent des modèles Cloud avec une activation centrale des API et un calcul à haute performance, qui sont difficilement extensibles dans un modèle décentralisé basé sur un pare-feu.
- Deuxièmement, ils sont disponibles n'importe où avec des performances plus élevées que si nous faisions du trafic-tromboning dans le centre de données d'un client.
Si nous nous arrêtions là, nous pourrions imaginer un monde où les réseaux locaux sont devenus une simple commodité. Ils isolent et segmentent le périphérique les uns des autres à tous les niveaux, et toutes leurs communications passent par la plateforme SASE. Pour les utilisateurs (humains), c'est tout à fait exact.
Cependant, l'infrastructure informatique comprend également d'autres types de machines pour lesquelles une connectivité privée et Internet sont indispensables. Comment cela fonctionne-t-il ?
Intégrer l'IoT, les dispositifs legacy et les réseaux non gérés à l'aide du SASE
Avec le SASE, les utilisateurs se connectent à la plateforme de sécurité Cloud à l'aide d'un client intégré à leur système d'exploitation. A l'intérieur du périmètre de l'entreprise, certains périphériques ne peuvent pas embarquer le même client intelligent. Ils assurent aussi parfois la connectivité entre eux au sein de l'emplacement géographique ou avec le centre de données. Dans ces cas, la connectivité privée est assurée par des mailles IPsec sur Internet dans un modèle SD-WAN, complété par le modèle de sécurité SSE avec :
- Serveurs locaux
- Matériel industriel, médical et tout IoT sensible
- Cas d'utilisation anciens, imprimantes par exemple
- Périphérique non géré et Wi-Fi Invités
Perspectives d'avenir
Avec Internet comme réseau de transport stable et performant, l'adoption incontestée des applications SaaS et la maturité des Clouds de sécurité multi-tenant, les entreprises peuvent désormais connecter les utilisateurs de manière transparente et sécurisée, marquant ainsi un changement par rapport aux réseaux d'entreprise traditionnels. Bien que certains cas d'utilisation nécessitent encore un contrôle du périmètre, et que les pare-feu périmétriques restent nécessaires pour le campus routing, le SASE - y compris les devices SD-WAN - offre la solution la plus flexible pour les utilisateurs d'entreprise ainsi que pour les périphériques fixes et non gérés.
L'élan en faveur du SASE continue de croître, marquant un tournant dans la manière dont les services IT connectent et sécurisent leurs réseaux.
Restez à l'affut de mon prochain article de blog, dans lequel nous aborderons l'architecture, la disponibilité et les performances d'Internet.
Rejoignez-nous sur SASE Week 2024 pour découvrir les dernières nouveautés en matière de SASE et de Zero Trust, et apprendre comment améliorer la stratégie de transformation de votre organisation en matière de sécurité et de réseau. Ne manquez pas la table ronde "SASE for Networkers : Atteindre la sécurité du réseau sans compromis de performance" le 25 septembre, où nos clients partageront leurs parcours de transformation numérique vers SASE.
Lire le blog