Retour 
Ce blog fait partie de la série "I&O Perspectives", qui présente les points de vue d'experts du secteur sur l'impact des menaces actuelles, la mise en réseau et d'autres tendances en matière de cybersécurité.
Alors que je m'apprête à occuper un nouveau poste au sein de l'équipe d'ingénierie de la plateforme Netskope, je suis impatient de découvrir comment la vision de notre entreprise façonne l'évolution de la sécurité des réseaux d'entreprise. Ce premier article d'une série témoigne de mon introspection technique et présente le contexte, les défis et les besoins qui ont conduit à la création de SASE (Security Access Service Edge).
Over the past quarter of a century, enterprises have gradually recognized the internet as a reliable means of transporting applications. Remote work further accelerated this shift, transforming the workspace into a borderless environment. Coupled with the rise of corporate SaaS applications, this has led to a new era of connectivity.
However, in this new era, the internet has become a critical vector for cyber threats. As organizations rely more on the internet for connectivity, they face increased exposure to sophisticated threats, including data breaches, malware, and phishing attacks. SASE emerged as a response to the limitations of traditional networking and security models.
Compte tenu de tout cela, parcourons l'histoire récente des réseaux étendus pour comprendre la direction que prennent la sécurité et la mise en réseau.
L'évolution des réseaux étendus façonne notre présent et notre avenir
En 2000, avant l'éclatement de la bulle Internet, Cisco Systems avait la plus forte capitalisation boursière au monde et était le leader incontesté du secteur des réseaux d'entreprise. Les produits de sécurité Internet étaient négligeables dans les relevés de revenus de Cisco, ne contribuant qu'à une infime partie de leurs ventes. Dans l'ensemble, la cybersécurité reste un secteur relativement modeste. Les réseaux d'entreprise et l'internet existaient auparavant en tant que deux silos distincts, une séparation qui assurait intrinsèquement la sécurité sans nécessiter de cryptage.
Les dorsales des réseaux étendus (WAN), qui, par définition, fonctionnaient sur une infrastructure physique privée, s'appuyaient sur des lignes et des protocoles point à point dédiés, tels que le relais de trame et l'ATM.
Additionally, cloud applications were not that critical for corporations. Besides email, electronic communications and IT resources were mainly private.
Certains utilisateurs précoces ont commencé à utiliser davantage de tunnels IPsec de site à site pour la sauvegarde du réseau étendu et le délestage du trafic à faible priorité sur l'internet. Je me souviens avoir fait la démonstration d'une telle mise en œuvre pour une grande entreprise en 2002, mais cela n'a pas dépassé le stade de la preuve de concept. À l'époque, l'internet "best-effort" n'était pas considéré comme apte à transporter le trafic sensible des entreprises. Aujourd'hui, cela a évolué avec une qualité de service intelligente et une orchestration au sein d'une interface graphique, représentant la partie SD-WAN de SASE.
Multiprotocol Label Switching (MPLS) virtual private network (VPN), a genuine IP-minded solution, was the rising star.
MPLS et VRF : amélioration du routage IP et de l'isolation du réseau
MPLS est un ensemble de protocoles de commutation de base conçus pour accélérer le routage IP. Il combine les avantages de l'IP et de l'ATM.
Network operators and vendors developed the VPN application of MPLS to provide network isolation at layer 3. On an MPLS-VPN network, each VPN is a private routing context. Customers purchase one or several VPN contexts to segregate their WAN routing environments over the same physical infrastructure.
Traffic over MPLS-VPN is generally not encrypted and the network is trusted. In most cases, these VPN instances naturally became the long-haul extensions of the local area network VLANs. Machines with the same usage profile would sit in the same LAN segments and VPNs.
L'impact des accords de niveau de service sur la différenciation des services MPLS-VPN et des services Internet
Pour les entreprises (ou du moins leurs services juridiques), la principale mesure de la qualité était les accords de niveau de service (SLA) et les pénalités qui en découlent. En d'autres termes, comment les sanctions peuvent-elles être suffisamment préjudiciables aux prestataires de services pour leur permettre d'assurer une qualité de service décente ?
On MPLS-VPN networks, packet delivery, round-trip delays, and service availability are subject to SLAs. In contrast, most internet services only offer time-to-restore or availability SLAs. These contractual items have been the key argument for telcos to differentiate MPLS-VPN from IPsec over the internet.
SLAs do not apply when the link has been broken because of a force majeure event: natural disasters, acts of war, government actions, and pandemics, among others. For example, if an excavator cuts a fiber cable, and even if it’s not considered a force majeure event, it makes no difference whether the service is internet or MPLS-VPN. There’s only a small chance that the provider will restore the link within the SLA time.
Construire des réseaux résilients et performants : Respecter les accords de niveau de service dans un contexte de contraintes complexes
Pour soutenir les accords de niveau de service, la résilience et la gestion de la capacité ont toujours été des thèmes prédominants lors de la conception des réseaux de communication. Ces attributs visent essentiellement à garantir que le réseau est suffisamment étendu, redondant, rapide et souple pour répondre aux attentes des clients dans n'importe quelle condition de réseau. Cependant, pour y parvenir, il faut naviguer dans un ensemble complexe de contraintes, telles que
- Plusieurs itinéraires sont disponibles entre deux points.
- Chaque lien a sa propre gestion de la capacité.
- Les routes de secours doivent être restaurées suffisamment rapidement pour préserver les sessions en cours (par exemple, un appel téléphonique) sans que les utilisateurs ne s'aperçoivent de la défaillance d'une route.
- Avec l'IP, toutes les applications (comme la voix) ne disposent pas d'une bande passante réservée. Le réseau peut étrangler les applications à faible priorité en cas d'encombrement, mais pas de manière excessive.
Les approches des dorsales privées telles que MPLS et du réseau internet partagé sont naturellement très différentes. L'internet a toujours été considéré comme "best effort", alors que le MPLS-VPN garantit la qualité du service. Cependant, les utilisateurs s'attendent à ce que l'internet fournisse un service décent dans la plupart des conditions de réseau. La concurrence entre les fournisseurs de services internet a permis d'améliorer la qualité. Les techniques et les outils de gestion de la capacité de l'internet ont considérablement progressé
De nombreux efforts ont également été déployés pour enrichir l'arsenal des techniques d'ingénierie du trafic dans les protocoles IP et les environnements MPLS, notamment la gestion de la capacité en ligne, les réservations de bande passante, les priorités d'application, les politiques de chemins de bout en bout, le reroutage rapide, et bien d'autres encore.
La bonne nouvelle, c'est que MPLS, en tant que technologie de base, est désormais l'opérateur sous-jacent pour tout ce qui va des réseaux mobiles à l'internet, et certains de ces efforts profitent également à l'internet, et pas seulement à MPLS-VPN.
L'essor de l'internet : De la nécessité domestique à l'épine dorsale de l'entreprise
For consumers, the internet quickly started providing such valuable use cases that it soon became essential to subscribe to an internet service at home. Some of these examples include personal email, online shopping, search engines, encyclopedic content, social media, and instant messaging.
Around 2008, the internet conquered the mobile space with the user-friendly smartphone, its ecosystem, and high-speed cellular data. Smartphones made access to these ubiquitous use cases, causing a seismic growth in the volume of data flows and user counts.
Parallèlement à la croissance des volumes de trafic, qui a été multipliée par la croissance des services de vidéo sur internet (voir figure 1), le nombre d'utilisateurs de l'internet a augmenté de façon spectaculaire.
Internet use in the enterprise accelerated too. In addition to consumer-friendly applications, access to SaaS applications, starting with Salesforce, became a significant topic for IT departments. SaaS solutions offered scalable, cost-effective alternatives to traditional on-premises software, reducing the need for extensive IT infrastructure and maintenance.
Certains DSI ont même décidé d'acheminer le trafic des utilisateurs et de déployer une connectivité privée et coûteuse, telle que Secure Cloud Direct Interconnect (SDCI), pour accéder à des services principalement disponibles sur l'internet public (gratuit). Pendant longtemps, nous n'avons pas pu résoudre complètement le conflit entre l'omniprésence de l'internet et la qualité de service garantie par les dorsales privées.
Adopter le travail à distance : Le passage au SASE
Innovation was pushing for changes. The pandemicmarked a dramatic shift. Remote workers became the norm. They were able to benefit from business applications from their homes as if they were in the private and concealed areas of the enterprise locations and WAN networks. Cloud and particularly virtual meeting applications, such as Microsoft O365/Teams, would be affected in a centralized configuration with a single or few WAN breakouts to internet. Users require their internet traffic to go through the shortest possible path.
Les acteurs de l'internet n'ont cessé d'approvisionner massivement la bande passante pour faire face au rythme et absorber la charge supplémentaire. L'internet a très bien supporté la charge qui s'est soudainement déplacée des points d'extrémité des immeubles de bureaux vers les lieux d'habitation.
Naturally, the user’s workstation turned into the only remaining barrier to the privacy of company data. Intellectual property, secret commercial data, and any information to safeguard must be reached through the employee device and cloud services, which could be anywhere.
Nonetheless, CIOs couldn’t sacrifice service quality and security. Preserving productivity and guaranteeing privacy and data protection are essential. The removal of the corporate “perimeter” has led to the spread and growth of sophisticated attacks, ransomware, involuntary breaches of confidentiality, and insider threats. This threat landscape requires a ubiquitous and granular security model to protect users and data everywhere, moving from traditional defenses, the castle-and-moat, to a global, always-on security layer. This logically gave birth to SASE.
Dans la prochaine partie de cette série de blogs, nous explorerons le paradigme de la connectivité SASE et la manière dont Netskope fournit une connectivité de haute qualité dans ce nouveau paysage.
Restez à l'écoute pour les prochains articles de notre série I&O Perspective. Rejoignez-nous à la SASE Week 2024 pour explorer les dernières nouveautés en matière de SASE et de Zero Trust, et apprendre comment améliorer la stratégie de transformation de la sécurité et du réseau de votre organisation. Ne manquez pas la table ronde "SASE for Networkers" le 25 septembre, au cours de laquelle des clients partageront leur expérience de la transformation numérique vers SASE.
