Virtualisation des DMZ : possible ou non ?

flux. La couche de virtualisation induit elle-même des flux qu’il convient de considérer. Le principe fondateur d’une DMZ est d’ouvrir un flux pour un serveur. Ici, il faudra désormais considérer que N flux vont vers le même serveur physique. La criticité du serveur physique est redoutable car elle contient désormais plusieurs machines virtuelles très critiques.
Il faut donc renforcer grandement la sécurité des hôtes physiques et garantir une isolation totale entre les machines virtuelles.

Pour cela, plusieurs principes de base :

• L’isolation des machines virtuelles par rapport à l’hôte qui les héberge est garantie par la mise à jour via les patchs de sécurité de la couche de virtualisation (hyperviseur). Il faut donc patcher dès que possible
• L’isolation est garantie également par la séparation réseau : Il faut donc regarder du côté des VLAN, DvSwitch, Nexus 1000v (chez Cisco), Private VLAN, et autres moyens de garantir une étanchéité réseau
• L’isolation est enfin garantie par le filtrage inter machine virtuelle. Il devient primordial de regarder du côté de vShield ou de firewalls virtuels dédiés au filtrage des machines virtuelles. Stonesoft a été un des premiers acteurs à être conscient du problème et a donc proposé des solutions permettant d’y pallier : http://www.stonesoft.com/fr/products/virtualization/
• Le cloisonnement des droits via l’utilisation de réseau dédié au management et l’impossibilité pour les administrateurs de gérer les DMZ de la même manière que les environnements virtuels classiques.

Une réflexion émerge donc en ce moment. Faut il un vCenter (pour VMware) par DMZ, pour toutes les DMZ ou intègre t’on tous les hôtes dans le même vCenter. Il n’y a pas pour le moment de réponse toute faite. Cela dépendra de la gestion au jour le jour, l’aspect financier (plusieurs vCenter = plus de dépenses), ainsi que le type d’architecture. Par exemple, dans le milieu bancaire,on trouve beaucoup d’architecture trois tiers. Faut-il trois environnements séparés sans relation , ou une seule plateforme commune mais architecturée de façon à bien séparer les flux ? Tout est question de coûts et de niveau de sécurité recherché.