Comment assurer une sécurité optimale de solutions applicatives qui évoluent sans cesse et qui désormais s’appuient sur des environnements de plus en plus hétérogènes et hybrides ? Trend Micro propose des solutions qui feront de la sécurité un allié de votre agilité.

S’appuyant sur les possibilités offertes par la technologie, le business se transforme toujours plus rapidement. Les acteurs, dans une course effrénée, se dotent des capacités d’évoluer plus rapidement. Entre le développement et les opérations, il faut gagner en agilité, trouver les moyens de délivrer en continu de nouvelles fonctionnalités et d’apporter des améliorations aux applicatifs proposés. « Au cœur d’une démarche DevOps, les organisations conçoivent désormais leurs solutions au départ de micro-services agrégés les uns avec les autres, commente Olivier Bertrand, presales Engineer au sein de Trend Micro Luxembourg. Ces micro-services peuvent en outre être chacun hébergés sur des plateformes très différentes : on premise, dans le cloud ou encore dans des containers. Au départ de cet environnement hétérogène, plus évolutif, les entreprises cherchent en permanence à mieux aligner leur besoin en ressources informatiques sur leur modèle business. »

Déploiement continu et nouveaux risques

Si ces nouvelles approches de développement et de gestion de l’environnement applicatif offrent bien des avantages, elles posent aussi de nouveaux défis. L’un d’eux a trait à la sécurisation de ces applications appelées à évoluer toujours plus vite. « Les organisations doivent appréhender de nouveaux risques de compromission, précise Stéphane Bonifazzi, Territory Manager de Trend Micro au Luxembourg. Dans une optique de développement et de déploiement continu, des malwares peuvent malencontreusement se retrouver dans les nouvelles lignes de codes déployés sur une infrastructure vulnérable à de nombreuses exploitations (docker). Dans cette course, il devient difficile de tout tester et le risque de laisser passer un élément non sécurisé vers l’écosystème de production se fait plus important.
D’autre part, ces nouveaux environnements sont de plus en plus ouverts, afin notamment de permettre aux utilisateurs de s’y connecter depuis l’extérieur. Or, en s’ouvrant de cette manière, on s’expose à la possibilité qu’un utilisateur infecté puisse contaminer l’environnement. »

Contrôler le code, sécuriser les opérations

De nouvelles mesures de sécurité doivent donc être envisagées afin de garantir un haut niveau de protection, quels que soient les environnements sur lesquels on s’appuie. Afin de protéger l’intégrité de l’applicatif mais aussi des données qu’il traite, les responsabilités doivent être clairement établies. « Un cloud provider, comme AWS, va s’engager à sécuriser le cloud, autrement dit l’infrastructure, les serveurs sur lesquels on va déployer son environnement. En aucun cas, toutefois, le cloud provider ne s’engagera sur la sécurité des applications développées, poursuit Olivier Bertrand. Il appartient à l’organisation de veiller à la sécurisation de chacun des micro-services. A cette fin, elle doit se doter des procédures et outils adaptés. »

L’enjeu est donc double. D’une part, il faut pouvoir contrôler chaque nouvelle ligne de code développée et déployée dans l’environnement opérationnel, afin de s’assurer qu’elle n’intègre pas de faille. D’autre part, il est important d’opérer un contrôle de sécurité de l’application ou du micro-service au niveau opérationnel, peu importe l’environnement dans lequel il se trouve.

Intégrer la sécurité à l’environnement DevOps

Les solutions proposées par Trend Micro permettent aujourd’hui de répondre à ces enjeux, en fournissant une protection complète pour tous les environnements physiques, virtuels, cloud, de conteneurs et version SaaS. « Le technologie proposée vient en soutien des équipes en intégrant toute une série de fonction : HIDS, application control, integrity monitoring, micro-segmentation, malware prevention & detection, behavior analysis, à travers un monitoring permanent des OS, virtual patchning…, explique Stéphane Bonifazzi. La volonté est de faire de la sécurité un allié, en l’intégrant au cœur du processus DevOps, et non un frein comme c’est encore souvent le cas. »

Un patch virtuel pour se protéger en attendant de mettre à jour

La démarche poursuivie par Trend Micro s’illustre par exemple très bien dans l’apport de la fonction virtual patching. Les organisations savent notamment qu’un patch de sécurité d’un système d’exploitation peut entrainer des répercussions, souvent difficiles à évaluer, sur le bon fonctionnement des applicatifs en son sein. Afin de laisser du temps aux équipes d’analyser les enjeux, la solution Trend Micro va tenir compte des dernières vulnérabilités décelées (à titre d’exemple, en 2017, plus de 60% des nouvelles vulnérabilités de principaux vendors avait été découvert par Trend Micro) pour appliquer une politique de détection renforcée autour des applications. «En outre, la solution Deep Security, qui intègre cette fonctionnalité, couvre les anciennes versions d’OS de serveurs, pour lesquels il n’y a plus de support : Windows 2008, Linux ou encore Redhat, ajoute Stéphane Bonifazzi. Pour des acteurs, avec un legacy important tournant sur ces vieilles technologies, notre solution compense efficacement l’absence de patches. »

Accompagner les montées en charge

Au cœur d’un environnement cloud, les solutions de Trend Micro sont désormais proposées en mode pay as you go. La technologie permet donc de facilement accompagner les éventuelles montées en charge. De manière automatique, la technologie permet de sécuriser de nouvelles machines déployées pour faire face à une demande croissante ou exceptionnelle. « Aujourd’hui, ce modèle unique est intégré au cœur des marketplaces des grands providers de cloud public, comme AWS. Elle est donc simple à déployer et garantit une sécurité optimale, adaptée aux besoins réels », assure Olivier Bertrand. Tout en faisant évoluer ses environnements plus rapidement, l’organisation a la garantie que ses applications sont toujours bien protégées.