Micro-segmentation NSX.

La micro-segmentation revient à placer un pare-feu devant chaque machine virtuelle, administré depuis une console centrale. Vous définissez les flux réseau et applicatifs autorisés entre vos VMs ; tout ce qui n'est pas explicitement permis est bloqué.

Elle sécurise le trafic dit Est-Ouest, c'est-à-dire les échanges internes à votre réseau, que le pare-feu périmétrique ne filtre pas.

Un pare-feu filtre les flux Nord-Sud, entre votre réseau et l'extérieur. Deux machines placées dans le même VLAN communiquent sans qu'il intervienne.

La micro-segmentation agit à l'intérieur du VLAN, au plus près de chaque VM. Si deux machines dialoguent en HTTP, rien ne justifie qu'elles puissent aussi le faire en SSH : la micro-segmentation autorise le premier protocole et bloque le second, ce qu'un pare-feu conventionnel ne permet pas à ce niveau de finesse.

Les deux sont complémentaires, pas concurrents.

Elle empêche sa propagation, ce qui est décisif. Un ransomware infecte d'abord une machine, puis cherche à rebondir vers les autres en exploitant les ports ouverts du réseau interne. La micro-segmentation bloque ce rebond : l'incident reste circonscrit à la VM touchée.

Elle ne détecte ni ne supprime le malware pour autant. C'est le rôle des solutions EDR / XDR, qui interviennent sur la machine compromise. Les deux se complètent : le cloisonnement limite la casse pendant que la détection traite l'infection.

Oui. La micro-segmentation NSX s'applique aux machines virtuelles gérées par VMware, qu'elles soient hébergées dans nos datacenters ou sur votre site.

Si votre infrastructure repose sur une autre technologie de virtualisation, d'autres approches de cloisonnement existent. Nos équipes étudient votre environnement pour identifier la solution adaptée, dans le cadre de notre offre Blue Cyber.

Moins qu'on ne l'imagine, parce qu'on ne raisonne pas machine par machine. Les règles s'appliquent à des groupes de VM : si vos serveurs sont administrés depuis une même adresse IP, une règle unique suffit, et NSX la déploie devant toutes les machines concernées.

Le nombre de VM n'alourdit donc pas la gestion. Tout se pilote depuis votre portail VMware Cloud Director, sans interface supplémentaire à apprendre.

Par des périmètres larges, avant d'affiner. Trois règles apportent déjà un gain immédiat :

• Restreindre l'accès administratif aux VM à la seule adresse IP de votre bastion
• Définir des règles par groupe de machines plutôt que machine par machine
• Limiter l'accès de supervision à des adresses IP identifiées

Nous animons également des workshops chez nos clients pour cartographier les applications métiers à autoriser. Cette progressivité évite l'effet tunnel d'un projet exhaustif.

Le Zero Trust repose sur un principe simple : rien n'est autorisé par défaut, seuls les accès nécessaires sont ouverts. C'est exactement le fonctionnement de la micro-segmentation.

Elle en constitue la première brique côté réseau et machines virtuelles. Son atout : le filtrage s'applique en dehors de la VM, sans dépendre du système d'exploitation ni des applications. Un attaquant qui compromet une machine ne peut donc pas désactiver les règles qui la cloisonnent.

Elle y contribue, sans s'y substituer. Le cloisonnement des flux limite l'exposition des données personnelles et documente qui accède à quoi, ce qui appuie une démarche RGPD ou un environnement soumis à l'hébergement de données de santé.

Ce n'est pas une obligation réglementaire en soi. Mais les exigences en matière de protection des données progressent, et la micro-segmentation fait partie des mesures techniques que les auditeurs considèrent favorablement.

La micro-segmentation cloisonne, mais ne détecte pas. Elle s'inscrit donc dans le dispositif Blue Cyber :

• EDR / XDR pour la détection et la remédiation sur les machines
• MFA, SSO et Bastion pour l'identité et les accès administrateurs
• SIEM et SOAR pour la corrélation des journaux et la réponse automatisée
• SOC pour la surveillance et le traitement des incidents

La micro-segmentation cloisonne, le XDR détecte, le SOC intervient.