Livre blanc
de Cloud public et les environnements hybrides Sécuriser la migration vers les plates-formes
Comment Barracuda CloudGen Firewall simplifie et accélère l’évolution de votre réseau
Page2 sur 8
Où se trouveront vos applications dans deux ans ?
Cloud public
«tout compris»
HQ SaaS
HQ
Centre de données sur site Applications
Cloud public et SaaS
Cloud public et SaaS
HQ
Hybride Applications
La migration vers le Cloud passe généralement par 3 phases :
•
•
•
Si votre organisation se trouve dans la moyenne, la réponse à cette question comprend un hébergement en Cloud public pour un certain nombre ou l’intégralité des applications sur lesquelles vous comptez pour fonctionner. Les avantages à utiliser des plates-formes basées sur le Cloud sont tout simplement trop conséquents pour être ignorés, et ceux qui n’en tirent pas parti risquent de perdre un avantage concurrentiel important.
Dans la Phase 1, où la plupart des organisations se trouvent aujourd’hui, les applications et les données résident sur des datacenters sur site. Toutefois, même les organisations en Phase 1 comptent déjà sur des applications SaaS hébergées dans le Cloud comme SalesForce, Microsoft Office 365 et bien d'autres. En conséquence, elles font déjà face à des défis d'architecture et de sécurité liés au besoin constant d'accéder à des ressources hébergées en dehors du périmètre réseau traditionnel.
En phase 2, certaines charges applicatives sont déplacées vers un environnement de Cloud public, mais les applications et données stratégiques sont conservées autant que possible dans des datacenters sur site. Dans ce modèle hybride, le périmètre réseau traditionnel reste important mais sa taille est réduite. L’importance d'une connectivité rapide et fiable à Internet à partir de n’importe quel emplacement est plus prononcée, ce qui requiert une attention particulière pour les straté- gies de sécurité et les ajustements architecturaux.
La phase finale consiste à sauter le pas et passer à un environnement 100 % Cloud et une infrastruc- ture sans serveur. Votre périmètre traditionnel disparaît complètement. Votre réseau s’étend sur un paysage en constante évolution de ressources, applications et données hébergées dans le Cloud.
L’architecture réseau et la sécurité sont constamment remises en question.
En faisant face aux défis liés à la migration dans le Cloud, il est essentiel de comprendre les rôles joués par votre pare-feu réseau. La protection contre les menaces qui tentent de passer un certain seuil n’est plus suffisante. Les pare-feu réseau actuels doivent en revanche présenter de nouvelles fonctionnalités et une nouvelle intelligence pour gérer de manière centralisée les réseaux dispersés, conserver une approche cohérente de la sécurité sur site et dans le Cloud, et assurer la disponibilité transparente des applications et des charges applicatives, où qu’elles se trouvent. Le rôle du pare-feu change de manière aussi drastique que votre architecture réseau et votre approche de la sécurité.
Page 3 sur 8
Les risques d’une migration dans le Cloud avec une approche héritée de la sécurité
Exigences : des pare-feu conçus pour la génération Cloud
•
•
•
Sécuriser la migration vers les plates-formes de Cloud public et les environnements hybrides Barracuda •
Le développement des pare-feu traditionnels de dernière génération est bien antérieur à l’évolution du Cloud en tant que pièce centrale des architectures réseau modernes. Ils étaient conçus pour protéger de manière optimale des réseaux « clôturés », alors que les applications et les données étaient conservées dans un environnement contrôlé. De plus, tout le trafic de données repassait par le siège de l’entreprise via une connexion Internet unique et sécurisée, avec des règles gérées de manière centralisée.
Dans le Cloud, les architectures réseau (et le rôle du pare-feu en leur sein) sont complètement différentes. À l’heure actuelle, les tâches du pare-feu ont évolué : il ne s'agit plus seulement de repousser le trafic malveillant, mais de s'assurer que l'accès au Cloud et aux sites est disponible à partir de n’importe quel emplacement du réseau étendu, n’importe quand.
Certains fournisseurs ont répondu à cette évolution en transposant simplement leurs images de pare-feu virtuel de nouvelle génération vers le Cloud. Mais ils ont vite constaté (tout comme leurs clients) que les pare-feu conçus pour les architectures traditionnelles ne s’intègrent pas facilement ou de manière transparente aux plates-formes de Cloud public, qu’elles ne répondent pas aux exigences des applications typiques du Cloud, et qu’elles n’offrent pas de modèles de consommation optimisés pour le Cloud. Ainsi, ces solutions bricolées empêchent les utilisateurs de profiter de tous les
avantages du Cloud. Elles ne font que créer des goulots d’étranglement et compliquer la sécurité, la gestion du réseau et le travail de déploiement, d’intégration et de configuration lorsque de nouvelles ressources de serveur virtuel sont nécessaires.
Pour profiter de tous les avantages de la migration vers le Cloud, vous avez besoin de pare-feu entièrement conçus pour les architectures réseau dispersées et connectées au Cloud, qui doivent remplacer les conceptions en étoile et clôturées que l'on élaborait traditionnellement. Vous avez besoin de pare-feu conçus pour la génération Cloud.
Il existe six principes de conceptions clés pour les pare-feu de la génération Cloud :
Leur conception doit tenir compte des fonctionnalités natives Cloud de différentes plates-formes IaaS. Un pare-feu de génération Cloud doit s’intégrer de manière facile et transparente aux fonctionnalités spécifiques à la plate-forme comme Azure Security Center, Azure OMS, AWS Autoscaling, AWS Elastic Load Balancing et AWS CloudWatch. Ces fonctionnalités sont critiques pour tirer pleinement parti des avantages du Cloud et simplifier votre utilisation de différentes plates-formes IaaS de manière simultanée.
Une connectivité au Cloud à la fois fiable, sécurisée, grande vitesse et continue est essentielle pour une activité qui s’étend sur tout le réseau distribué. C’est pour cette raison que les véritables pare-feu de la génération Cloud doivent comprendre un ensemble de fonctionnalités SD-WAN et d’intelligence du trafic qui permettent d'optimiser la bande passante et de minimiser la latence du trafic stratégique. Ils doivent être capables de grouper plusieurs liaisons montantes Internet physiques en un tunnel VPN logique vers le Cloud, afin de s'assurer de la disponibilité des liaisons montantes et du basculement automatique. Ils doivent détecter de manière dynamique la bande passante en temps réel et la latence sur plusieurs liaisons montantes, et s'assurer que le trafic critique est toujours acheminé via le meilleur lien. Et ils doivent utiliser un protocole VPN robuste et facile à utiliser qui transmet de manière sécurisée des données de Cloud à Cloud, de Cloud à branche et de branche à branche, quel que soit le type de connexion.
Les charges applicatives d'aujourd’hui sont de plus en plus distribuées sur plusieurs emplacements et plates-formes, ce qui nécessite un grand nombre de pare-feu avec différents formats. Les pare-feu de la génération Cloud doivent être capables de proposer un ensemble complet de fonctionnalités de sécurité avancées, indépendamment de leur taille ou de leur nombre d’utilisateurs.
Page 4 sur 8
•
•
•
Des pare-feu conçus pour le Cloud
Sur les réseaux postérieurs au réseau de backhaul, chaque site distant du réseau étendu (y compris un nombre croissant d'appareils IoT) requiert son propre pare-feu de la génération Cloud. Pour vous permettre de déployer des centaines, voire des milliers de pare-feu sur votre réseau de manière pratique et efficace, les pare-feu de la génération Cloud doivent disposer de fonctionnalités d'automatisation du déploiement. Le déploiement sans intervention (ou « Zero Touch ») permet à chaque pare-feu de se connecter simplement au réseau et de télécharger et exécuter immédiatement son propre script de configuration précis. Sans besoin de personnel IT qualifié sur site, les déploiements massifs et simultanés se font pratiquement sans effort. Les instances de Cloud doivent utiliser l'amorçage (bootstrapping) et l’intégration étroite de plate-forme pour permettre un déploiement rapide et simple.
La configuration et la maintenance d’un grand nombre de réseaux SD-WAN et de pare-feu de nouvelle génération sur plusieurs infrastructures de plates-formes Cloud peuvent être très complexes et chronophages, même pour des départements IT de grande taille et bien financés. Les pare-feu de la génération Cloud doivent fournir une gestion puissante et centralisée permettant l'application de politiques partagées, la configuration facile à l’aide de modèles de configuration, le contrôle complet, les tâches administratives quotidiennes et la gestion du cycle de vie à partir d’une console de gestion unique. Ils doivent permettre aux administrateurs de contrôler des centaines ou même des milliers de pare-feu sous forme de système unique et unifié.
À la flexibilité du Cloud doit correspondre la flexibilité des modèles de facturation, et de nombreux utilisateurs connaissent déjà les différentes options tarifaires proposées par les fournisseurs de service Cloud. Les véritables pare-feu de la génération Cloud doivent prendre en charge des modèles de consommation optimisés pour le Cloud. Vous devez avoir le choix, notamment des licences BYOL (bring-your-own-license), PAYG (pay-as-you-go) et une
facturation à la consommation, afin de déployer autant de pare-feu que nécessaire et ne payer que pour le trafic protégé par volume.
Les pare-feu Barracuda CloudGen Firewall sont conçus pour les réseaux d'aujourd’hui et non d’hier, dans le but précis de répondre aux exigences répertoriées plus haut.
Les pare-feu CloudGen Firewall sont disponibles sous forme d’appliances matérielles ou virtuelles, et sur des plates-formes de Cloud public comme Microsoft Azure, Amazon Web Services (AWS) et Google Cloud Platform.
À l’heure actuelle, Barracuda est le pare-feu de Cloud public numéro un du marché : il protège plus de clients dans Microsoft Azure que les trois fournisseurs de pare-feu qui le suivent.
Barracuda a conçu le premier pare-feu sur Azure et a été nommé Partenaire Microsoft de l’année en 2016, dans la catégorie « Azure Certified ISV Solution ».
Barracuda CloudGen Firewall est certifié « AWS Security Competency » et Barracuda a clôturé la plus grande transaction de sécurité tierce sur AWS en 2017.
Aujourd'hui, Barracuda propose également le premier pare-feu sur Google Cloud Platform.
Segmentation réseau pour les applications hybrides
Haute disponibilité (HA)
Niveau Web
Application
+ +
Tier Haute disponibilité (HA)Niveau base de données
Haute disponibilité (HA)
VPN sécurisé avec SD-WAN:
• Hiérarchisation applications multitransports
• Compression
• Mise en cache des données
Page5 sur 8 Sécuriser la migration vers les plates-formes de Cloud public et les environnements hybrides
Barracuda •
Lorsque vous migrez des plates-formes sur des plates-formes IaaS, vous devez envisager l’utilisation du modèle de sécurité de « responsabilité partagée ». Dans ce modèle, les fournisseurs de Cloud sont également responsables de la sécurité de l'infrastructure Cloud, alors que vous êtes responsable de la sécurité de vos données, applications et chemins d'accès au Cloud public. Dans le domaine du Cloud, les pare-feu réseau doivent aller au-delà de la sécurisation de votre réseau : ils doivent aussi s'assurer de la disponibilité ininterrompue du réseau et d'un accès robuste aux applications hébergées dans le Cloud.
Les pare-feu Barracuda CloudGen Firewall protègent et améliorent l’infrastructure dispersée du réseau. Ils proposent une sécurité avancée grâce à l’étroite intégration d'un ensemble complet de technologies de pare-feu de nouvelle génération, y compris le profilage des applications de niveau 7, la prévention d'intrusion, le filtrage Web, la protection contre les logiciels malveillants et les menaces avancées, la protection contre le spam et le contrôle d'accès au réseau.
En outre, Barracuda CloudGen Firewall allie une technologie VPN hautement résiliente à des fonctionnalités de gestion intelligente du trafic et d’optimisation WAN. Cela vous permet de réduire les coûts de ligne, augmenter la disponibilité globale du réseau, améliorer la connectivité de site à site, et s'assurer d'un accès non interrompu aux applications hébergées dans le Cloud.
Une gestion centralisée et évolutive vous aide à réduire la charge administrative tout en définissant et en appliquant des politiques granulaires sur l’intégralité du réseau dispersé. Les pare-feu de Barracuda sont parfaitement adaptés aux entreprises multi-sites, aux fournisseurs de services gérés et à d'autres organisations dotées d'infrastructures réseau complexes et dispersées.
La segmentation des réseaux sur de multiples couches du réseau améliore la sécurité, la visibilité et la conformité pour des applications hébergées dans le Cloud public. Pour des raisons de conformité, les charges applicatives telles que les serveurs de bases de données qui contiennent des données sensibles peuvent être hébergées sur site, alors que les serveurs d'applications ou Web peuvent être hébergés dans le Cloud public. Les pare-feu Barracuda CloudGen Firewall sécurisent, restreignent et surveillent les communications entre ces tiers, tout en limitant les dommages potentiels infligés à une organisation dans l’éventualité d’une attaque.
Si toutes les charges applicatives co-existent dans la même infrastructure Cloud, la connectivité VPC (Virtual Private Clouds) est gérable. Toutefois, si vous devez utiliser plus d'une infrastructure Cloud à la fois, les pare-feu Barracuda CloudGen Firewall vous permettent de segmenter les réseaux de manière transparente sur plusieurs fournisseurs d'infrastructure Cloud, afin que vos charges applicatives Cloud collaborent de manière transparente.
Intégration étroite avec des plates-formes de Cloud public
Options de licences flexibles optimisées pour le Cloud
Les fonctionnalités de Barracuda CloudGen Firewall en un clin d’œil
Sécurité
• Protection avancée contre les menaces et les logiciels malveillants
• Protection contre les botnets et les logiciels espions
• Détection et prévention des intrusions
• Interception SSL
• Inspection approfondie des paquets stateful
Connectivité et SD-WAN
• Détection dynamique de la bande passante et de la latence
• Sélection du transport basé sur les performances
• Basculement et équilibrage des liaisons
•
• TINA VPN1
Accès à distance
• Nombre illimité de clients VPN
• Fonctionnalité Network Access Control (NAC)
• Portail mobile basé sur un navigateur
• Application CudaLaunch pour les politiques BYOD
1 TINA (Transport Independent Network Architecture) est un protocole VPN propriétaire à hautes
performances vous permettant de créer des tunnels logiques qui utilisent plusieurs chemins physiques de transport.
Page 6 sur 8 Les plates-formes Cloud les plus populaires disposent chacune de leurs fonctionnalités, capacités
et avantages uniques. Les pare-feu Barracuda CloudGen Firewall sont étroitement intégrés aux écosystèmes IaaS, ce qui assure un déploiement, une configuration et une évolutivité en toute transparence et simplicité. Les fonctionnalités l’automatisation et l’intégration natives Cloud, avec la gamme complète de fonctionnalités natives de gestion et de surveillance, notamment Amazon CloudWatch, AWS CloudFormation templates, AWS Direct Connect, Azure Security Center, Microsoft OMS, Azure ExpressRoute, etc.
Les pare-feu Barracuda CloudGen Firewall permettent des économies en matière de sécurité et de connectivité, quelle que soit votre architecture réseau. Sur site, ils peuvent être déployés sous forme d'appliances ou sur des machines virtuelles. Sur les plates-formes IaaS, ils peuvent être déployés sous forme d'instances virtuelles sous licence (BYOL) ou via des modèles PAYG sans licence ou de tarification à la consommation, qui évoluent en même temps que votre charge applicative. Avec la tarification à l’utilisation et à la consommation vous avez la flexibilité de payer pour l’utilisation réelle du pare-feu, avec une tarification à l’heure ou au volume.
Mise en forme du trafic et qualité de service
Gestion centralisée
• Évolutivité à 100 % du centre de contrôle des pare-feu
• Déploiement sans intervention et amorçage (bootstrapping)
• Interface de tunnel graphique VPN de type glisser-déplacer
• Gestion à plusieurs versions
• Revision Control System (RCS)
Les outils adéquats
Sécurisation des applications Web hébergées dans le Cloud public
•
•
•
Page 7 sur 8 Sécuriser la migration vers les plates-formes de Cloud public et les environnements hybrides
Barracuda •
Quel que soit votre stade dans la transition vers le Cloud, Barracuda vous propose les outils adéquats. Le large éventail de pare-feu CloudGen Firewall comprend des appliances matérielles dans différents formats, des appliances virtuelles et des éditions hébergées dans le Cloud, disponibles directement sur Microsoft Azure, Amazon Web Services et Google Cloud Platform.
Vous avez ainsi un maximum de flexibilité en termes de dimensionnement et d'options de déploiement pour répondre à vos besoins spécifiques sans surprovisioning.
Les pare-feu Barracuda CloudGen Firewall allient des fonctionnalités complètes de sécurité nouvelle génération (notamment la protection avancée contre les menaces via la mise en bac à sable de l’émulation du processeur) avec SD-WAN sécurisé. Cela vous permet d’établir une architecture réseau de maille pleine, d’améliorer la connectivité de Cloud à Cloud, de Cloud à branche et de branche à branche, d'optimiser l’utilisation du MPLS, d'assurer une approche cohérente de la sécurité pour les données et les charges applicatives, où qu’elles résident, de gérer le lancement sur des sites distants de manière économique grâce au déploiement sans intervention, et de réduire la charge IT avec une gestion centralisée puissante mais simple.
À l’heure actuelle, de nombreuses organisations hébergent leurs sites et leurs applications Web sur des plates-formes de Cloud public. L'agilité et la flexibilité du Cloud apportent de véritables avantages, mais vous devez sécuriser vos applications Web dans le Cloud aussi bien que sur site.
Barracuda CloudGen WAF (Web Application Firewall) est un produit dérivé de CloudGen Firewall:
c’est un pare-feu d'application Web disponible pour Azure, AWS et Google Cloud Platform.
Barracuda CloudGen WAF assure une protection contre les attaques de déni de service distribuées et les attaques répertoriées OWASP, ainsi que la prévention des pertes de données sortantes. Il apporte également un contrôle d'accès efficace pour vos sites Web hébergés dans le Cloud.
Vérifiez vos sites Web à la recherche de vulnérabilités grâce au service gratuit Barracuda Vulnerability Remediation Service. Les résultats de l’analyse peuvent également être utilisés en tant que document de configuration WAF pour éliminer automatiquement les vulnérabilités.
Le déploiement, la configuration et la mise à l'échelle de manière rapide et facile sont des exigences basiques dans le Cloud. Barracuda CloudGen WAF utilise des modèles, la mise à l'échelle automatique, l’intégration avec les services Cloud et des API pour permettre l’orchestration et le déploiement automatiques.
Barracuda CloudGen Firewall et Barracuda CloudGen WAF représentent une alliance parfaite pour assurer une disponibilité transparente et une protection complète de vos applications Web dans le Cloud.
Barracuda Networks Inc.
3175 S. Winchester Boulevard Campbell, CA 95008 USA
t: 1-408-342-5400
1-888-268-4772 (USA & Canada) e: [email protected] w: fr.barracuda.com
À propos de Barracuda Networks, Inc.
US 1.0 • Copyright 2018 Barracuda Networks, Inc. • 3175 S. Winchester Blvd., Campbell, CA 95008 408-342-5400/888-268-4772 (US & Canada) • fr.barracuda.com
Barracuda Networks et le logo Barracuda Networks sont des marques déposées de Barracuda Networks, Inc. aux États-Unis.
Tous les autres noms appartiennent à leurs propriétaires respectifs.
Conclusion
Gartner Research, Magic Quadrant pour les pare-feu réseau d’entreprise 2017
• Les pare-feu Barracuda CloudGen Firewall sont conçus dans l’optique de sécuriser les réseaux connectés au Cloud.
•
• Les partenariats de longue date avec les principaux fournisseurs de Cloud assurent des améliorations continues.
• Barracuda propose des modèles de licence flexibles qui permettent de tirer pleinement parti des avantages du Cloud public.
Les pare-feu Barracuda CloudGen Firewall sont le choix idéal pour les organisations qui tirent parti d'applications SaaS ou de plates-formes de Cloud public, mais aussi pour celles qui ont un grand nombre de sites distants et/ou d'appareils IoT, et celles qui souhaitent se positionner de manière optimale pour une migration potentielle vers le Cloud.
Les entreprises qui disposent d'une infrastructure Cloud et souhaitent la sécuriser devraient
envisager l’utilisation de Barracuda.
Enterprise Security Group (ESG) a récemment publié dans un guide d'achat réalisé à la demande d’Amazon : « Barracuda propose une solution native Cloud disposant du niveau de référence requis pour l’intégration avec AWS : des options d’amorçage (bootstrapping) pour le déploiement, un chiffrement AES 256 sur tous les types de liaisons, des contrôles de mise en forme du trafic et un accès IAM basé sur des rôles pour la sécurité. Barracuda prend en charge des fonctionnalités supplémentaires qui dépassent cette référence, sur la base de son marché cible et des cas d’utilisation. »
Barracuda propose des éditions Cloud pour les plates-formes IaaS majeures : Azure, AWS et Google.
Barracuda propose des solutions de sécurité et de stockage connectées dans le Cloud qui simplifient l’IT. Ces solutions puissantes, faciles à utiliser et abordables, sont utilisées par plus de 150 000 organisations à travers le monde. Elles sont disponibles sous forme d'appliances, d'appliances virtuelles et de déploiements Cloud et hybrides. Le modèle économique de Barracuda, axé sur le client, s'attache à offrir des solutions IT de grande valeur avec abonnements, pour la sécurité de bout en bout du réseau et des données. Pour des informations supplémentaires, visitez barracuda.com.
