Guide d'achats solutions SD-WAN : l'heure de la maturité

Le besoin en bande passante ne fait qu’augmenter entre l’accès aux ressources internes des entreprises, aux applications cloud et plus généralement à la montée en charge exponentielle du numérique (charges IA, Edge, etc.). Ce besoin s’accompagne en parallèle d’une connexion réseau sécurisée et optimale en fonction de la criticité des applications et des données. A cela, comme le rappelle Stéphane Gilliers, Sales Engineer chez Barracuda Networks, les entreprises veulent aussi reprendre en main la gestion de leur réseau afin de retrouver de l’agilité et de ne plus être totalement dépendantes d’un opérateur. Pour toutes ces raisons, le SD-WAN reste une alternative fiable, sécurisée et moderne notamment face au MPLS. Toutefois, à l’heure où l’hybridité se généralise notamment dans les grandes entreprises, l’idée ici n’est pas non plus de dire que le SD-WAN doit remplacer le MPLS, ce dernier, malgré son coût élevé (surtout vrai aux Etats-Unis, moins en France), représente toujours l’un des meilleurs services WAN en garantissant des performances et des SLA notamment dans l’acheminement du trafic, à savoir les applications existantes, sur le réseau vers les datacenters de l'entreprise.

Des projets SD-WAN motivés par la sécurité

Cela dit, le SD-WAN garantit aussi des SLA et au rythme d’adoption des applications dans le cloud, cette technologie gagne donc du terrain. Chiffres à l’appui : selon le rapport intitulé Worldwide SD-WAN Infrastructure 2023 Vendor Assessment et publié par le cabinet d'études IDC, le marché mondial du SD-WAN aurait augmenté de 25 % en 2022 et devrait croître de 10 % par an pour atteindre les 7,5 milliards de dollars d'ici à 2027. En soi, le SD-WAN est un marché mature qui s’est largement démocratisé depuis 5 ans. Pour GTT Communications qui a mené une étude sur le SD-WAN avec le cabinet Hanover Research, les déploiements SD-WAN actuels sont principalement et logiquement justifiés par la nécessité d'optimiser les connexions réseau vers les applications cloud (pour 86 % des entreprises sondées) mais les déploiements sont aussi motivés pour améliorer la posture de sécurité dans son ensemble (pour 81 % des répondants). En effet, au-delà de sa capacité originelle à optimiser la priorisation des flux cloud, le SD-WAN poursuit actuellement sa transition vers davantage de fonctions de sécurité intégrées et, plus encore, vers une synergie avec les approches SASE portées par la majorité des éditeurs qu’ils soient historiquement liés à la sécurité ou au réseau. D’ailleurs, les interlocuteurs que nous avons interviewés dans ce dossier, le confirment. N’oublions pas qu’avec le cloud, le SD-WAN amène aujourd’hui à distribuer la sécurité. De ce constat, le SD-WAN devient un service dans une architecture globale SASE, tout comme le sont les autres composants, à savoir la passerelle web sécurisée (Secure Web Gateway, SWG), le courtier en sécurité d'accès au cloud (Cloud Access Security Broker, CASB) ou encore l’accès au réseau Zero Trust (Zero Trust Network Access, ZTNA). L’idée d’avoir une offre globale fait donc son chemin mais comme le mentionne aussi Christian Guyon, responsable des avant-ventes et directeur technique chez Forcepoint, la réalité du marché nous dit aussi que les entreprises ne souhaitent pas toutes avoir leurs œufs dans le même panier, bref de ne pas être dépendantes d’un seul acteur surtout dans le cloud. Un avis que partage aussi Grégory Gatineau, Category Manager chez HPE Aruba Networking, qui estime qu’un certain nombre d’entreprises ne souhaitent effectivement pas être tributaires d’un seul fournisseur tout en prônant en parallèle l’importance d’une interaction entre la brique SD-WAN et la brique SSE. C’est d’ailleurs dans cette optique que bon nombre d’éditeurs, comme Cisco par exemple, offrent une grande liberté de choix aux entreprises. « Notre objectif est bien de répondre à tous les cas d’usages », indique Christophe Perrin, directeur technique de Cisco France.

Une IA pour guider l’utilisateur

Si l’IA, dans sa version classique, aide déjà à l’automatisation des processus dans le SD-WAN (configuration, provisionnement, contrôle des réseaux, sélection des liens, observabilité, etc.), l’IA générative et son langage naturel, encore peu exploitée dans ce domaine, peut apporter une aide précieuse supplémentaire à l’utilisateur au quotidien. C’est d’ailleurs dans cet objectif que Palo Alto Networks a créé Precision AI, un moteur qui alimente plusieurs de ses assistants comme Strata Copilot, lequel aide les équipes d'exploitation réseau à comprendre les performances de leur réseau et de leurs applications et pourquoi les utilisateurs rencontrent des problèmes. Et ce, en posant par exemple la simple question : Pourquoi certains utilisateurs de mon organisation ont-ils une expérience applicative dégradée ? De son côté, pour réduire la complexité et améliorer l'efficacité opérationnelle des utilisateurs, Fortinet s’appuie sur son moteur FortiAI embarqué dans la dernière version de FortiOS et dans sa console FortiManager. Quant à HPE Aruba, l’IA générative est déjà intégrée à sa console Aruba Networking Central et se renforcera un peu plus à l’avenir suite au rachat de Juniper par HPE en janvier dernier. Comme le conclut Grégory Gatineau, Juniper arrive avec 700 développeurs supplémentaires et de nombreux brevets portant sur la propriété intellectuelle d’une entreprise ayant plus de 20 ans d’ancienneté.

Héritage du rachat de la société autrichienne Phion AG en 2008, l’offre Secure SD-WAN de Barracuda est nativement intégrée dans la gamme de firewalls CloudGen. Et ce qui fait sa force, c’est déjà sa facilité de déploiement avec son approche ZTD (Zero Touch Deployment) en mode distribué depuis la console centrale (Control Center). De plus, comme le rappelle Stéphane Gilliers Sales Engineer chez Barracuda Networks, les entreprises ont la possibilité de remplacer gratuitement le matériel à la fin de la quatrième année. A noter que les boîtiers CloudGen Firewall incluent le protocole VPN TINA, propriété de Barracuda permettant de créer automatiquement des tunnels VPN. L’offre SD-WAN dans les firewalls CloudGen vient aussi en complément de l’offre SASE SecureEdge de Barracuda annoncée en juin 2023. « En un an, nous avons opéré plus de synergie entre la partie SD-WAN et notre offre SecureEdge, c’est ce que nous avons d’ailleurs annoncé auprès de nos partenaires lors de notre dernier Discover le mois dernier », indique Stéphane Gilliers. Barracuda SecureEdge garantit ainsi un accès réseau Zero Trust (ZTNA), un pare-feu en tant que service, une sécurité web et une connectivité entièrement intégrée avec Secure SD-WAN. Précisons enfin que Barracuda a déjà séduit de nombreuses entreprises françaises avec son offre SD-WAN dont la conserverie La belle-iloise. En effet, l’entreprise est passée du MPLS au SD-WAN avec à la clé une réelle souplesse opérationnelle pour la gestion de ses liens internet par magasin (possibilité de multiplier ces derniers pour augmenter la résilience de chaque site ou avoir de la tolérance de panne).

Si le SD-WAN est nativement intégré dans les firewalls Quantum de Check Point Software, il devient aussi une composante dans l’offre SASE Harmony Connect de l’éditeur pour sécuriser l’espace de travail. Cette combinaison permet ainsi, selon Eddy Sifflet, responsable de l’équipe avant-ventes Channel chez Check Point, d’obtenir une solution complète de sécurité et d’accès à Internet (SASE) gérée depuis la console cloud Check Point Infinity. Derrière cette stratégie se met en place une phase progressive de consolidation vers une plateforme plus homogène au sein de laquelle les entreprises peuvent activer les fonctions qui répondent à leurs besoins. Parmi les points différenciants de l’offre SD-WAN de Check Point, Eddy Sifflet relate la robustesse du code qui ne nécessite pas de mises à jour régulières (OS actuellement en version 81.20), sa gestion depuis le portail Infinity, sous oublier son ouverture vers des solutions tierces. Bien sûr, la priorisation et l’optimisation des flux applicatifs font aussi partie des atouts de l’offre tout comme son déploiement automatisé et son monitoring. Comme bon nombre d’éditeurs, Check Point Software a intégré dans sa console Infinity en début d’année un assistant d’IA générative baptisé Copilot, un outil d’aide déjà très apprécié par les utilisateurs selon le porte-parole de l’éditeur, car il leur fait gagner du temps et apporte aussi de l’optimisation et de la remédiation.

En plus de l’offre tout-en-un SD-WAN Meraki qui se démarque par sa simplicité et son accessibilité (en mode SaaS) pour les entreprises qui n’ont pas forcément de compétences en interne, Cisco propose Catalyst SD-WAN (héritage de Viptela entre autres) qui, elle, se distingue par sa richesse fonctionnelle. Parmi les points différenciants de celle-ci, Christophe Perrin, directeur technique chez Cisco France cite les possibilités offertes par l’automatisation depuis l’interface graphique, par exemple l’automatisation d’intégration avec les clouds providers et les opérateurs de datacenters. De même, l’observabilité (via la télémétrie) appliquée au SD-WAN apporte de la prédiction (par exemple un problème sur un lien Office 365) et de la remédiation. L’IA joue un rôle important dans l’automatisation et l’IA générative offre une couche supplémentaire dans la compréhension et la réponse, des annonces autour de l’IA générative seront faites lors du prochain Cisco Live dès ce mois de juin. Avec le cloud, le SD-WAN amène aujourd’hui à distribuer la sécurité et pour y répondre, Cisco propose deux approches SASE dont la première, tout-intégrée, avec Cisco+ Secure Connect associant la composante SD-WAN et une approche à la carte comme le rapporte Christophe Perrin. En effet, Cisco laisse le choix du SD-WAN, soit du Cisco, soit une offre d’un éditeur tiers et ce choix est éventuellement complété à l’offre SSE Cisco Secure Access. L’objectif pour Cisco est d’abord de répondre à tous les cas d’usages dans les entreprises.

En quelque sorte, l’expérience du SD-WAN chez Forcepoint (FlexEdge Secure SD WAN) est ancienne puisqu’elle provient de l’héritage de Stonesoft (Forcepoint étant issu de la fusion de Websense et Stonesoft en 2016) selon les propos de Nicolas Combaret, VP Sales France et Christian Guyon, responsable des avant-ventes et directeur technique chez Forcepoint. A cette époque, Stonesoft ne parlait pas encore de SD-WAN mais de sa technologie Multi-Link intégrée dans sa gamme de firewalls. Plus récemment en 2021, Forcepoint a racheté Bitglass qui lui apporte surtout une expérience plus forte vers le cloud, en clair de pouvoir aussi piloter la composante SD-WAN depuis le cloud et pas seulement depuis une console disponible en mode on premise. A terme, comme bon nombre d’éditeurs, l’idée chez Forcepoint est aussi d’avoir une intégration plus poussée dans son offre SASE pour contrôler et sécuriser les données sur toutes les passerelles où elles transitent. Le but est de cibler toutes les entreprises privées et publiques avec une démarche simple et unifiée depuis la plateforme Forcepoint One. Parmi les points différenciants de l’offre SD-WAN, Christian Guyon rappelle la maturité de l’offre héritée de Stonesoft et de son hybridité (on premise et cloud), sans oublier une intégration renforcée avec les outils de sécurité de Forcepoint tout en restant une offre indépendante. Nicolas Combaret insiste d’ailleurs sur la protection des données qui conditionne toute la stratégie de l’éditeur.

Comme le souligne Benjamin David, directeur des avant-ventes chez Fortinet pour l’Europe du Sud, le SD-WAN, plutôt centré à l’origine sur le réseau, s’est aujourd’hui fortement recentré sur l’expérience de l’utilisateur afin d’assurer la sécurité des données de son environnement distribué. Et pour ce faire, le SD-WAN a été intégré nativement dans l’approche Unified SASE de Fortinet. L’ajout du SD-WAN au SASE unifié garantit ainsi une visibilité et un contrôle de bout en bout tout en s’adaptant à l’hybridité des environnements. « Cette notion d’hybridité est importante car nous partons du principe d’apporter le bon niveau de sécurité au bon endroit, certaines fonctions ont toute leur place dans le cloud alors que d’autres doivent rester en local », précise Benjamin David. C’est bien cette vision pragmatique qui a été améliorée et renforcée dans la dernière version de FortiOS (7.6) qui sortira officiellement cet été. A noter que Fortinet développe ses propres Asics permettant d’accélérer les fonctions embarquées dans FortiOS et d’intégrer plus facilement des fonctionnalités inédites comme le support de protocoles spécifiques. Le SD-WAN de Fortinet va aussi bénéficier de l’IA générative avec FortiAI, lequel sera intégré dans la console de gestion unifiée FortiManager. Avec FortiAI, Fortinet entend bien, là aussi, améliorer l’expérience de l’utilisateur en aidant, via un assistant, l’administrateur dans sa gestion au quotidien.

Selon Grégory Gatineau, Category Manager chez HPE Aruba Networking, le SD-WAN se décline en deux offres chez HPE Aruba. La première, baptisée EdgeConnect SD-Branch, s’adresse à des entreprises distribuées qui ont besoin de liens secondaires en plus du MPLS et pour lesquels on peut exploiter le matériel existant comme les gateways. Quant à la deuxième offre EdgeConnect Enterprise, c’est un héritage du rachat de Silver Peak en 2020 qui apporte surtout la segmentation. « Il est possible de traiter des applications en temps réel, via des mécanismes intégrés à notre offre SD-WAN, sur les liens les plus qualitatifs et de garantir ainsi des expériences différenciantes pour les utilisateurs », précise en exemple Grégory Gatineau. En outre, HPE Aruba affine aussi sa stratégie pour étendre son SD-WAN à une approche SASE, le rachat en 2023 de la société Axis Security va dans ce sens. En effet, l’offre SSE (Security Service Edge) d’Axis Security (un changement de nom est prévu) permet d’accéder aux ressources des entreprises et du cloud public, et la plateforme basée sur le cloud de la société s’appuie sur l’offre SD-WAN d’HPE Aruba. Cette combinaison fournit donc une solution SASE complète, de la périphérie au cloud, garantissant que les contrôles de sécurité Zero Trust peuvent être appliqués aux personnes et aux appareils, quel que soit l’endroit où elles se connectent– sur le site, dans les succursales, à domicile ou en déplacement. Enfin, HPE Aruba intègre déjà l’IA générative dans sa console de management Aruba Networking Central qui gère entre autres la topologie SD-WAN à l'échelle de l'entreprise. Cette IA permet à l’administrateur de gagner du temps pour comprendre par exemple les problèmes réseaux. « Cette IA apporte aussi de la remédiation, nous sommes dans une stratégie proactive et d’analyse. De plus, avec le rachat de Juniper, nous allons nous renforcer autour de l’IA sur les réseaux locaux et distants mais aussi sur les firewalls », conclut Grégory Gatineau.

Depuis le rachat de CloudGenix en 2020, Palo Alto Networks a fait évoluer son offre SD-WAN, Prisma SD-WAN, en l’intégrant nativement avec ses offres de sécurité dont la suite SASE Prisma Access. « Depuis moins d’un an, nous avons rationnalisé les interfaces d’administration sous la console Command Center », précise d’ailleurs Eric Antibi, directeur technique de Palo Alto Networks France. Derrière cette plus forte intégration, l’objectif est aussi de collecter plus d’informations. Par exemple, le SD-WAN va collecter des données sur les périphériques connectés (provenant de l’IoT dans un projet industriel ou d’imprimantes dans un projet bureautique) devenus des sources d’attaques. Ces informations seront par la suite transférées au backend de Prisma Access. Palo Alto récolte également des informations sur l’expérience de l’utilisateur, le but étant, dans ce cas, de mieux diagnostiquer les problèmes rencontrés par l’utilisateur et d’appliquer de la remédiation. Palo Alto s’aide aussi de l’IA générative (via ses solutions Copilot) pour guider l’utilisateur dans son expérience SD-WAN. « Depuis cet assistant, il est possible de poser cette question en langage naturel : peux-tu me lister les utilisateurs qui ont eu une expérience dégradée durant la nuit ? », donne en exemple Eric Antibi. Précisons enfin que les boîtiers évoluent aussi chez Palo Alto avec notamment le support de la 5G.

« La dernière génération de notre logiciel SD-WAN Wanup date de 2021, c’est la troisième génération de notre plateforme depuis la création de notre offre en 2014 », indique Benoit Huard, CEO de Sayse, lequel est aussi toujours un fournisseur de liens. La plateforme Wanup de Sayse a donc évolué, déjà avec plus de fonctions de sécurité intégrées, et ce, dans une approche SASE. « Nous avons notamment intégré Always On qui garantit une connexion ininterrompue », cite en exemple Benoit Huard. Techniquement, Always On permet de créer des tunnels à l’insu de l’utilisateur. En clair, les utilisateurs bénéficient d’une plateforme sécurisée, avant même qu'ils ouvrent une session. De même, l’éditeur effectue du micro-event qui scrute les petits volumes insignifiants de quelques dizaines de Ko mais qui peuvent parfois avoir un impact. En outre, Sayse applique directement l’auto patch management pour ses 250 clients et rend toujours plus autonome le réseau grâce à l’ajout de scripts automatisés. Sayse, en tant qu’éditeur français, mise toujours sur la souveraineté et réfléchit à ce titre à entamer plusieurs procédures (CSPN, ISO 27001, etc.). L’éditeur met aussi en avant son éco responsabilité (ecovadis Bronze 2023, médaille d’argent Greenly, etc.). Enfin, l’IA générative, au stade de R&D à l’heure actuelle, est également une priorité pour l’éditeur.

« Aucune solution SD-WAN du marché ne correspondait à notre cible de clients que nous adressons chez Sewan, à savoir les TPE, PME et ETI qui réclament surtout de la simplicité, c’est donc dans cette optique que nous avons développé en 2020 notre propre solution », résume Jean-Philippe Ribes, chef de produit chez l’opérateur-agrégateur Sewan. Après plusieurs tests menés en 2022, l’offre SD-WAN by Sewan est opérationnelle depuis début 2023. Si cette solution n’est pas aussi riche fonctionnellement que celles des leaders du marché, elle est surtout accompagnée d’une interface intuitive qui ne nécessite pas de compétences techniques spécifiques et couvre, selon Jean-Philippe Ribes, les besoins essentielles, à savoir une répartition assez simple sur les liens en fonction des applications couplée à des statistiques et des tableaux de bord. Cela dit, cette offre s’enrichit continuellement au gré des demandes des clients de Sewan comme par exemple l’authentification PPPoE automatique depuis la box. Pour l’heure, SD-WAN by Sewan cible plutôt les entreprises mono-sites mais ira dans un second temps vers des sociétés multi-sites. En outre, elle peut aussi être couplée en un clic à l’offre Cloud Firewall (basée sur du Fortinet) de Sewan. Enfin, l’offre SD-WAN by Sewan est également pilotable depuis l’interface Sophia. Rappelons que Sophia est la plateforme Saas de Sewan entièrement automatisée et sécurisée qui permet aux clients de gérer toutes leurs solutions cloud et télécoms.

Selon Benjamin Mercusot, ingénieur avant-vente chez Sophos, l’offre SD-WAN de Sophos, créée il y a deux ans, est intégrée dans sa gamme de firewalls XGS. Parmi les avantages de cette offre, citons entre autres la rapidité de configuration des réseaux VPN superposés site à site complexes ou encore les multiples options de routage des applications afin de garantir que celles-ci, en fonction de leur criticité, soient transférées sur des liaisons WAN de manière optimale. Par exemple, il est même possible de faire du routage selon des groupes issus de l’Active Directory pour un collaborateur ayant besoin d’un lien spécifique. De plus, avec la sécurité synchronisée, Sophos s’aide des postes pour identifier les applications afin de garantir que chaque application sur le réseau est priorisée et routée efficacement. A noter que c’est le même logiciel quelle que soit l’option de déploiement logiciel, virtuel et Cloud. En outre, Sophos facilite les déploiements sur les sites distants grâce aux boîtiers SD-RED (20 et 60). Aucune expertise technique n’est requise sur le site distant, il suffit de saisir l’identifiant du boîtier SD-RED depuis la console Sophos Central et de valider, cette même console permettant aussi d’administrer l’ensemble des solutions de cybersécurité de Sophos. Une fois le boîtier SD-RED branché et connecté à Internet, il est automatiquement connecté au pare-feu et établit une connexion sécurisée via un tunnel VPN dédié.

« En 2017, nous répondions déjà à certains cas d’usages du SD-WAN notamment en basculant sur un lien VPN en cas de défaillance d’une liaison MPLS. Mais c’est en 2021 que notre offre SD-WAN aboutie et agnostique des opérateurs a été intégrée dans notre gamme de firewalls Stormshield Network Security (SNS) », résume Stéphane Prévost, responsable du marketing produit chez Stormshield. Aujourd’hui, c’est bien cette synergie entre le SD-WAN et les fonctions de sécurité que suit la filiale d’Airbus Defence & Space Cyber Programmes (ex-Airbus CyberSecurity), d’autant que la sécurité est de plus en plus déployée dans le cloud. Stormshield monte aussi progressivement en puissance sur le SASE où le SD-WAN est une composante, à ce titre, une offre complète de ZTNA sera lancée au cours de cette année même si le fournisseur répond, là aussi, déjà à certains cas d’usages avec sa gamme SNS. Au-delà des fonctions avancées SD-WAN développées par Stormshield autour de la priorisation des flux et de la sécurité, l’éditeur fait aussi valoir sa souveraineté et la confiance, bref, un acteur français et européen non soumis aux lois américaines. Stormshield a obtenu de l’ANSSI la qualification Standard pour sa gamme Stormshield Network Security (SNS) après avoir été certifié EAL4+. A cela, Stormshield répond aussi aux exigences de l’ANSSI sur le chiffrement avec le référentiel IPsec DR. Ces niveaux de confiance accordés par l’ANSSI permettent aux Opérateurs d’Importance Vitale (OIV), aux Entités Essentielles (EE) et aux Entités Importantes (EI) d’utiliser des solutions comme celles de Stormshield à la hauteur de leurs enjeux de sécurité.

La façon dont nous travaillons a radicalement changé au cours des dernières années : les collaborateurs sont désormais dispersés géographiquement et se connectent via de nombreux appareils, depuis maints endroits, à des applications souvent basées dans le cloud. Du fait de cette évolution des pratiques de travail et de l’essor de la migration vers le cloud, les VPN (réseaux virtuels privés) historiques sont de plus en plus distancés. Le récent rapport 2024 VPN Risk Report, publié par HPE Aruba Networking, dresse ainsi un portrait alarmant de l'état de la sécurité des entreprises et de la protection de leurs données. Si les VPN historiques sont toujours hégémoniques, ils ne s’avèrent plus à la hauteur en matière de sécurité ou d’expérience utilisateur.

Des entreprises toujours dépendantes de la technologie VPN

Le rapport met en lumière plusieurs chiffres-clés :

• 96 % des entreprises interrogées continuent de s'appuyer sur des VPN anciens pour assurer leurs accès à distance – signe de leur dépendance encore très forte à cette technologie. • 81 % d’entre elles déclarent toutefois que leurs collaborateurs ne sont « pas satisfaits » de leur solution VPN. Les utilisateurs continuent en effet de se heurter à de nombreux problèmes quotidiens : vitesses d'accès réduites, interruptions ou pannes récurrentes… • À ces défis s'ajoutent de problèmes de sécurité : 92 % des sondés expriment en effet « des craintes quant à l'exposition des VPN aux risques », • Enfin, 47 % des participants identifient les ransomwares comme un point de vulnérabilité majeur. La leçon à tirer de ces chiffres est claire : réévaluer les solutions d'accès à distance n’aura jamais été aussi urgent pour les entreprises.

Petit à petit, celles-ci commencent néanmoins à prendre conscience des limites du VPN et à déployer des alternatives plus fiables :

• 56 % des sondés envisagent d’ores et déjà des alternatives aux VPN traditionnels ; une démarche motivée par la volonté de renforcer la sécurité, d’améliorer l’expérience utilisateur et de gagner plus largement en flexibilité. • Dans ce changement progressif de paradigme, les stratégies zero trust occupent le devant de la scène : 75 % des sondés disent envisager l'adoption d'une telle stratégie, et sont conscients de son potentiel pour répondre aux menaces émergentes et aux nouveaux défis du télétravail.

A nouveaux besoins, nouveaux outils

Selon l’édition 2024 du VPN Risk Report, les outils ZTNA (pour « Zero Trust Network Access ») gagnent du terrain avec 59 % des organisations les « ayant déjà adoptés ou prévoyant de les adopter », et reconnaissant le rôle de ces outils dans l’application des préceptes du zero trust. De plus, 78 % des sondés déclarent que ce ZTNA pourrait supplanter leurs VPN historiques et constitue une solution holistique capable de surmonter les limites communément associées aux

Dans un paysage numérique en constante évolution, les organisations sont confrontées à un grand nombre de cyberattaques. Les modèles de sécurité traditionnels permettant d’y faire face sont de moins en moins efficaces et les stratégies de sécurité zero trust sont de fait de plus en plus plébiscitées. Ce zero trust repose sur le principe qu'aucun utilisateur ou appareil ne saurait être fiable par défaut, et nécessite une vérification continue avant que l'accès aux ressources critiques soit accordé. Pour soutenir cette approche, le SSE (Secure Service Edge) apparaît comme une technologie contribuant à renforcer ce cadre zero trust. Les modèles traditionnels de sécurité défendent tout ce qu’inclut le réseau – ce qui présuppose que les terminaux et leurs utilisateurs évoluent à l'intérieur dudit réseau et sont fiables.

L'essor du cloud et du télétravail a toutefois rendu caduque ce modus operandi : désormais, les données, applications et utilisateurs travaillent hors réseau. Les stratégies zero trust, elles, s'articulent autour d'une authentification, d'une autorisation et d'un cryptage en continu afin de garantir que l'accès aux ressources n'est accordé qu'aux utilisateurs et aux appareils vérifiés et autorisés. Mettre en application les préceptes du zero trust, c’est donc établir un cadre de sécurité robuste et agile protégeant une organisation contre tout type de menaces. Face à la diversification et la professionnalisation de celles-ci, privilégier une approche innovante pour y faire face est primordial. Pour protéger leurs actifs critiques et optimiser leur efficacité opérationnelle, les entreprises peuvent donc concrétiser cette approche zero trust par une politique SSE.

De nouveaux outils riches de nombreux avantages

Le SSE possède de nombreux avantages. Tout d’abord, il permet aux entreprises de réduire les temps de latence et donc d’améliorer l’expérience utilisateur. Cette réduction est capitale pour les utilisateurs devant traiter des données en temps réel ou accéder à des applications à faible latence – telles que les institutions financières ou les plateformes de jeux en ligne. De plus, via le SSE, les contrôles sont distribués, assurant une sécurité du réseau optimale – même dans les cas où un nœud serait compromis. Cette architecture distribuée fournit ainsi une défense renforcée contre les attaques visant les infrastructures d’une entreprise.

Par ailleurs, le SSE facilite la micro-segmentation ; les entreprises peuvent donc déployer des politiques granulaires de sécurité – limitant ainsi les potentiels mouvements latéraux des cyberattaquants, et les dommages que ceux-ci pourraient causer. Enfin, des mesures de SSE offrent une visibilité en temps réel du trafic du réseau, faisant donc gagner aux équipes IT un temps précieux dans la détection et la résolution des menaces.

Des offres en constante évolution

Pour accompagner les organisations dans ces évolutions, les acteurs spécialisés font évoluer leurs offres, comme c’est le cas de HPE Aruba Networking. Sa technologie SSE restreint l’accès aux applications spécifiques ou micro-segments approuvés pour les utilisateurs hybrides, distants et les tiers via une interface de politique globale unique. Grâce à une surveillance continue, les règles s’adaptent automatiquement en fonction des changements d’identité, de lieu et d’état des appareils, simplifiant ainsi le respect des principes zero trust lors de chaque accès. Les entreprises peuvent donc assurer un accès sécurisé à toutes leurs ressources – privées, SaaS ou provenant d’Internet – et monitorer leur expérience utilisateur, le tout via une seule interface utilisateurs. Grâce à la surveillance en continu, les politiques de sécurité peuvent s'adapter en fonction des changements d'identité et de la localisation des appareils. Les services SSE de HPE Aruba Networking redirigent le trafic par le chemin le plus rapide via un backbone multicloud, afin de réduire la latence et d'améliorer la redondance. Enfin, ce service SSE peut s'intégrer aux services SD-WAN EdgeConnect pour transformer l'accès sécurisé et la mise en réseau avec une seule plateforme SASE unifiée.

Le SASE vise à assurer aux collaborateurs des entreprises un accès sécurisé aux applications et aux données, où que ceux-ci se trouvent. Cette infrastructure combine les fonctionnalités du SD-WAN, du ZTNA, et plus encore ; elle les fait converger pour simplifier la gestion des réseaux, renforcer la sécurité de ceux-ci et offrir une expérience utilisateur de meilleure qualité. L’essor du SASE que l’on constate depuis quelques années vient répondre aux nouveaux besoins des entreprises, celles-ci étant désormais en quête d’une approche plus unifiée et plus évolutive des réseaux. Les stratégies historiques de gestion des réseaux se sont avérées trop cloisonnées, trop rigides pour répondre aux demandes d’entreprises de plus en plus éclatées : les organisations ont donc besoin d’une architecture plus agile, plus souple, pouvant s’adapter très rapidement aux besoins de l’entreprise – sans pour autant jamais transiger sur la sécurité. En réponse à cela, le SASE constitue ainsi une solution complète, intégrant toutes les fonctions inhérentes au réseau et à la sécurité au sein d’une architecture cloud unique. Grâce à ce SASE, les organisations peuvent mieux capitaliser sur leurs services cloud, sécuriser leurs accès à distance et implémenter des politiques de sécurité cohérentes sur l’ensemble de l’infrastructure réseau.

Quelles solutions pour quels défis ?

Lorsqu’une entreprise décide de mettre en place une stratégie SASE, elle doit avant tout évaluer ses besoins précis et procéder à un audit de ce qui existe déjà en son sein. Concernant l’infrastructure réseau, tout d’abord : quelle est la taille, la complexité, la localisation de celle-ci ? Concernant la sécurité, ensuite : c’est en identifiant ses potentielles faiblesses et vulnérabilités que l’entreprise pourra envisager les niveaux de contrôle et les politiques de sécurité nécessaires propres à la protection de ses données. Cette étape est d’autant plus importante que, d’un secteur à l’autre, les entreprises ne seront pas soumises aux mêmes exigences de conformité. Autre partie prenante qui jouera un rôle important : les équipes elles-mêmes. Pour les collaborateurs en charge du déploiement du SASE, il sera en effet capital de bien comprendre les besoins et les attentes des utilisateurs – en fonction, là encore, de plusieurs facteurs, comme l’endroit où ceux-ci travaillent, les terminaux qu’ils utilisent ou l’usage qu’ils font des applications au quotidien. C’est une fois qu’elle a répondu à toutes ces questions qu’une organisation peut déterminer sa stratégie optimale de déploiement du SASE, et envisager sereinement la suite du processus, comme le choix du fournisseur ou la conception de l’architecture.

Faire le choix du bon partenaire

Par la suite, la mise en place effective d'une architecture SASE robuste est capitale afin de pouvoir répondre aux besoins de l'entreprise à mesure que ceux-ci évoluent. Là encore, les équipes en charge du projet devront garder en tête quelques éléments primordiaux. L’entreprise devra donc d’abord tenir compte de sa croissance à venir – du potentiel nombre de collaborateurs et de sites à l’avenir. L’architecture mise en place doit également être suffisamment souple pour s’adapter aux futurs progrès technologiques et normes de sécurité. L’entreprise doit ensuite trier sur le volet et évaluer les fournisseurs qui sont, comme HPE Aruba Networking, en mesure de lui fournir des solutions SASE à la hauteur de ses ambitions. Parmi les facteurs qui entreront en ligne de compte dans la sélection des fournisseurs, on peut citer leur expérience, leur réputation, la feuille de route qu’elles proposent et leur capacité à s’interfacer avec d’autres outils. Autre volet important : l’interopérabilité. Le SASE impliquant l’intégration de plusieurs composants, il est crucial d’assurer que ceux-ci fonctionneront bien de concert. Enfin, dernier point sur lequel l’entreprise doit s’accorder avec son fournisseur : les accords de niveau de service, ou SLA. Dans ceux-ci seront définies les attentes en matière de performance, de disponibilité ou encore d’assistance des services. Il est important que ces accords soient définis en fonction de la politique de sécurité de l’entreprise et des dispositions qu’elle souhaite prendre face aux risques.

Simplifier et automatiser

Parmi les bénéfices concrets du SASE, on trouvera la gestion rationalisée du réseau et de la sécurité. En effet, le SASE consolide les diverses fonctions liées au réseau et à la sécurité sur une plateforme unifiée, et réduit de fait la complexité. Les architectes SI bénéficient dès lors d’une vue unique de l’infrastructure et peuvent procéder plus rapidement aux contrôles des opérations. Les équipes SI peuvent également faire appliquer les politiques de sécurité uniformément sur un réseau, peu importe où se situent les terminaux, et ce de façon automatisée ; le nombre de vulnérabilités s’en voit donc diminué. Les mises à jour peuvent elles aussi être automatisées : il n’est plus nécessaire de les effectuer manuellement, et l’on s’assure ainsi que les politiques appliquées ne sont jamais obsolètes. En automatisant de nombreuses tâches, les équipes bénéficient également de davantage de temps pour se consacrer sur des tâches à plus forte valeur ajoutée. Cette simplification des processus a également un effet très concrets sur les budgets SI déployés par l’entreprise.

Le SASE HPE Aruba Networking piloté par l’IA permet aux équipes réseau et de sécurité de collaborer et de combiner les avantages d’un SSE reconnu et éprouvé et ceux d’un SD-WAN de pointe, le tout au sein d’une même solution. Ce dispositif permet de réduire la surface d’attaque et d’accroître la détection et la résolution des menaces, mais aussi de rationaliser ses dépenses et réduire son coût total de possession. Enfin, il permet d’optimiser la connectivité, et ainsi d’améliorer l’expérience utilisateur. De quoi être bien équipé pour entrer dans ce nouveau monde qui attend les entreprises.