La virtualisation des DMZ est un sujet d’actualité. De nombreuses entreprises hésitent à franchir le pas. Aujourd’hui, la réponse sera plutôt favorable. Il est bien évidemment possible de virtualiser une DMZ mais il faut être prudent sur le sujet.
La première problématique est la gestion des
Virtualisation des DMZ : possible ou non ?
flux. La couche de virtualisation induit elle-même des flux qu’il convient de considérer. Le principe fondateur d’une DMZ est d’ouvrir un flux pour un serveur. Ici, il faudra désormais considérer que N flux vont vers le même serveur physique. La criticité du serveur physique est redoutable car elle contient désormais plusieurs machines virtuelles très critiques.
Il faut donc renforcer grandement la sécurité des hôtes physiques et garantir une isolation totale entre les machines virtuelles.
Pour cela, plusieurs principes de base :
- L’isolation des machines virtuelles par rapport à l’hôte qui les héberge est garantie par la mise à jour via les patchs de sécurité de la couche de virtualisation (hyperviseur). Il faut donc patcher dès que possible
- L’isolation est garantie également par la séparation réseau : Il faut donc regarder du côté des VLAN, DvSwitch, Nexus 1000v (chez Cisco), Private VLAN, et autres moyens de garantir une étanchéité réseau
- L’isolation est enfin garantie par le filtrage inter machine virtuelle. Il devient primordial de regarder du côté de vShield ou de firewalls virtuels dédiés au filtrage des machines virtuelles. Stonesoft a été un des premiers acteurs à être conscient du problème et a donc proposé des solutions permettant d’y pallier : http://www.stonesoft.com/fr/products/virtualization/
- Le cloisonnement des droits via l’utilisation de réseau dédié au management et l’impossibilité pour les administrateurs de gérer les DMZ de la même manière que les environnements virtuels classiques.
Une réflexion émerge donc en ce moment. Faut il un vCenter (pour VMware) par DMZ, pour toutes les DMZ ou intègre t’on tous les hôtes dans le même vCenter. Il n’y a pas pour le moment de réponse toute faite. Cela dépendra de la gestion au jour le jour, l’aspect financier (plusieurs vCenter = plus de dépenses), ainsi que le type d’architecture. Par exemple, dans le milieu bancaire,on trouve beaucoup d’architecture trois tiers. Faut-il trois environnements séparés sans relation , ou une seule plateforme commune mais architecturée de façon à bien séparer les flux ? Tout est question de coûts et de niveau de sécurité recherché.
Téléchargez cette ressource
État des lieux de la réponse à incident de cybersécurité
Les experts de Palo Alto Networks, Unit 42 et Forrester Research livrent dans ce webinaire exclusif leurs éclairages et stratégies en matière de réponses aux incidents. Bénéficiez d'un panorama complet du paysage actuel de la réponse aux incidents et de sa relation avec la continuité de l'activité, des défis auxquels font face les entreprises et des tendances majeures qui modèlent ce domaine. Un état des lieux précieux pour les décideurs et professionnels IT.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
