Pare-feu et endpoint : une pile qui remonte au même endroit
Acheter un bon pare-feu et un bon produit endpoint à deux fournisseurs qui ne se parlent pas vous donne deux tableaux de bord et aucune vue d’ensemble. La pile compte davantage que n’importe quel produit qui la compose.
Pour une organisation de taille intermédiaire avec plusieurs sites, Fortinet est généralement le choix pragmatique : une console sur tous les emplacements, pare-feu, commutation sécurisée et VPN dans un seul modèle de licence. Palo Alto Networks se justifie sur des parcs plus grands ou plus réglementés, où la profondeur d’inspection et la granularité des politiques valent le coût et l’effort d’exploitation.
L’endpoint est une décision distincte. Trend Micro et Bitdefender couvrent bien serveurs et postes ; ce qui compte davantage, c’est que les alertes atterrissent là où un humain les lit.
Ajoutez Okta pour l’identité et l’authentification unique, et Cloudflare devant tout ce qui est public. Sous NIS2, pouvoir montrer ce que vous avez fait et quand compte autant que les contrôles eux-mêmes.
Quatre couches, quatre décisions
La sécurité n’est pas un produit que l’on achète, ce sont quatre décisions qui doivent s’emboîter.
- La bordure réseau. Ce qui entre et sort par site, et comment les sites se joignent entre eux.
- L’endpoint. Ce qui s’exécute sur les portables et les serveurs, et ce qui se passe quand quelque chose de suspect s’exécute.
- L’identité. Qui a le droit d’être qui, avec quel second facteur, et à quelle vitesse l’accès disparaît quand quelqu’un part.
- L’exposition publique. Ce qui, chez vous, est joignable depuis internet, et ce qui se trouve devant.
L’échec que nous voyons le plus, ce sont trois excellents produits et aucun endroit unique où une alerte de l’un se voit à côté d’une alerte de l’autre.
Fortinet ou Palo Alto
| Fortinet | Palo Alto Networks | |
|---|---|---|
| Contexte typique | Taille intermédiaire multi-sites, chaînes de magasins, distribution | Parcs plus grands, secteurs réglementés, segmentation complexe |
| Point fort | Une console sur le pare-feu, la commutation et le VPN ; licences prévisibles | Profondeur d’inspection et granularité des politiques |
| Coût de possession | Plus bas, et pilotable par une équipe généraliste | Plus élevé, et récompense une fonction sécurité dédiée |
| Attention à | Des licences de fonctions achetées et jamais activées | Acheter une capacité que l’équipe n’a pas le temps d’exploiter |
Quand le réseau est déjà Cisco de bout en bout, le pare-feu Cisco mérite de rester dans la comparaison, ne serait-ce que pour le plan de gestion unique.
Endpoint : le produit compte moins que la réponse
Trend Micro et Bitdefender font le travail sur serveurs et postes, et Microsoft Defender couvre beaucoup pour les organisations qui en ont déjà la licence. La qualité de détection entre produits sérieux est assez proche pour que ce soit rarement le facteur décisif.
Ce qui décide du résultat, c’est ce qui se passe à deux heures et demie du matin quand quelque chose est signalé. Un outil qui isole automatiquement une machine et ouvre un ticket que quelqu’un prend vaut mieux qu’un meilleur moteur de détection que personne ne regarde. C’est pourquoi endpoint et infogérance relèvent de la même conversation.
L’identité est le contrôle qui se rembourse le plus vite
La plupart des incidents sur lesquels on nous appelle commencent par un identifiant, pas par une faille. L’authentification unique avec second facteur, appliquée à tout et non aux trois applications qui étaient faciles, supprime une grande part de cette exposition.
Okta gère l’identité et l’authentification unique entre applications ; Microsoft Entra la couvre là où le parc est déjà centré sur Microsoft. L’important n’est pas laquelle, mais que quitter l’organisation supprime l’accès partout dans l’heure, et que ce soit prouvable.
Ce qui se trouve devant vos services publics
Tout ce qui est joignable depuis internet, d’un portail client à une passerelle d’accès distant, gagne à avoir quelque chose devant. Cloudflare prend en charge le DNS, la protection contre le déni de service et le contrôle d’accès à cette couche, et cela coûte peu comparé à l’alternative d’un service mis hors ligne une semaine chargée.
Ce que NIS2 attend réellement
Pour les organisations concernées, NIS2 déplace la question : il ne s’agit plus de savoir si vous avez des mesures de sécurité mais si vous pouvez les montrer. Analyse de risques, traitement des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement et notification d’un incident dans des délais serrés. La direction en répond, ce qui veut dire que les preuves doivent être lisibles par des non-ingénieurs.
En pratique, cela fait trois choses que nous intégrons dès le départ : des politiques écrites qui correspondent à ce qui se passe réellement, des journaux conservés assez longtemps pour reconstituer un incident, et un rapport mensuel qu’un conseil peut lire. Notre façon de l’assembler est décrite sous cybersécurité, le rythme des rapports sous gouvernance de service, et ce qui est exactement demandé dans ce que vous devez pouvoir prouver.
Nos propres processus sont audités par un tiers selon ISO 9001, ISO/IEC 27001 et ISO 14001. Cela ne vous rend pas conforme, mais votre auditeur obtient une réponse claire sur votre prestataire.
L’ordre dans lequel nous procéderions
Si vous partez d’un parc hétérogène et d’un budget limité, voici la séquence qui retire le plus de risque pour l’effort consenti : authentification multifacteur partout, puis une sauvegarde immuable que vous avez testée, puis l’endpoint avec quelqu’un qui y répond, puis le renouvellement du pare-feu, puis la segmentation.
Le pare-feu est généralement là où les organisations veulent commencer, parce que c’est un achat visible. C’est rarement là qu’est l’exposition.
Ce qu’on nous demande à ce sujet
Ce que les directions et les responsables informatiques demandent sur la dépense sécurité.
Fortinet ou Palo Alto ?
Pour une organisation de taille intermédiaire multi-sites, généralement Fortinet : une console sur tous les emplacements et des licences prévisibles qu’une équipe généraliste peut porter. Palo Alto se justifie sur des parcs plus grands ou réglementés, où la profondeur d’inspection vaut le coût et l’effort d’exploitation.
Quel produit endpoint est le meilleur ?
La qualité de détection entre produits sérieux est assez proche pour que ce soit rarement décisif. Ce qui décide, c’est ce qui se passe quand quelque chose est signalé en pleine nuit : une isolation automatique et un ticket que quelqu’un prend valent mieux qu’un meilleur moteur que personne ne regarde.
Par où commencer avec un budget limité ?
Le multifacteur partout, puis une sauvegarde immuable réellement testée, puis l’endpoint avec quelqu’un qui répond, puis le pare-feu et enfin la segmentation. Le pare-feu est l’achat le plus visible et c’est rarement là qu’est l’exposition.
Ces produits nous rendent-ils conformes à NIS2 ?
Non. NIS2 demande si vous pouvez montrer ce que vous avez fait et quand, pas ce que vous avez acheté. Il faut des politiques écrites correspondant à la réalité, des journaux conservés assez longtemps pour reconstituer un incident et un rapport qu’un conseil peut lire.
Où cela s’inscrit dans notre travail
Où atterrit le travail de sécurité.
Envie qu’on regarde votre pile actuelle ?
Une demi-heure au téléphone suffit généralement à savoir si nous sommes le bon interlocuteur, et nous le dirons si ce n’est pas le cas.