Le Software-Defined Networking (SDN) est perçu comme l'une des avancées technologiques les plus marquantes de l'industrie des TIC depuis le passage des mainframe aux ordinateurs de bureaux). Les réseaux locaux (LAN), les réseaux étendus (WAN) et les réseaux des centres de données ne seront pas les seuls éléments de l'infrastructure des systèmes d’information à être impactés par cette avancée technologique disruptive. La tendance générale s'oriente vers une prédominance des logiciels dans tous les domaines, et ce pour une raison simple : les systèmes ayant pour support des logiciels (SBS) promettent plus de souplesse, d'évolutivité et d'automatisation. De fait, le principe veut que la totalité de l'environnement des technologies de l'information et de la communication (TIC) devienne automatisable et programmable à distance. Ce serait là un moyen plus efficace et plus rationnel de répondre aux besoins d'un monde informatique dynamique devenu virtuel.

Cependant, ce secteur persiste à négliger certaines questions primordiales en matière de sécurité. Quel est le degré de vulnérabilité d'une infrastructure programmable ? Présente-t-elle un risque plus élevé qu'un environnement où le matériel informatique domine, comment une sécurité fondée sur des logiciels peut-elle réduire ce risque ?

La monté en puissance de l'infrastructure programmable

Bien que l'infrastructure programmable n'en soit qu'à ses balbutiements, elle est de plus en présente dans le secteur des TIC. Certaines technologies sont déjà provisionnées et automatisées dans les centres de données, ainsi que dans les LAN et les WAN logiciels, offrant ainsi un meilleur support aux applications et aux technologies qui tournent sur ces réseaux. Le marché parle également beaucoup des solutions de mobilité programmables et d'infrastructures de sécurité.

L'évolution vers la programmabilité est essentiellement induite par le mouvement des logiciels open source – dont un des représentants est OpenStack –par des outils d'orchestration auxquels nous avons de plus en plus recours et par l’intérêt croissant du mouvement DevOps visant à trouver des techniques et des outils pour favoriser la coopération entre Développeurs (dev) et Exploitants (Ops). Fondamentalement, cela permet de programmer l'infrastructure en vue d'atteindre des résultats commerciaux spécifiques sans interrompre son fonctionnement. Une seule et même équipe s'attache donc à développer un logiciel tout en exploitant l'environnement – d'où l'expression « activités de développement ». Facebook, à titre d'exemple, en adoptant les principes DevOps effectue quotidiennement quelque 30 mises à jour d'infrastructure, une cadence jamais égalée auparavant dans un environnement à dominante matérielle.

Nous avons déjà beaucoup gagné en vivacité dans notre manière d'exploiter les infrastructures des TIC, et ce grâce aux logiciels. Nous ne pourrons certes jamais nous passer du matériel informatique mais, à l'avenir, nous pensons que cette couche va s'amenuiser à tous les niveaux de l'infrastructure. 

Les questions de sécurité et de risque

Il est vrai que l'infrastructure programmable vient à peine de voir le jour.  Elle présente donc plus de risques car ce secteur d'activité ne peut pas encore prendre la mesure de tous les dangers auxquels il s'expose. A ce jour, la plupart des technologies que nous avons connues n'ont été ni développées ni mises en place en veillant à la sécurité. En effet, les infrastructures SDN dans leur ensemble n'ont pas tenu compte, dès leur apparition, de l'importance des questions de sécurité. Le secteur de la sécurité est à la traîne en la matière et doit encore s'y former. Nous devons comprendre la nature des menaces et des risques, et ce qu'ils représentent du point de vue de chaque organisation.

Dans l'univers traditionnel de la sécurité, nous utilisions le matériel se présentant sous la forme de ports réseau et permettant de verrouiller les accès. Si nous verrouillons les ports réseau, on isole l'infrastructure des menaces, comme si on relevait le pont-levis d'un château fort. Les choses ont changé. Actuellement, l'infrastructure est dominée par la couche d'applications, que l'on doit toujours pouvoir atteindre pour éviter de mettre en péril des enjeux commerciaux des entreprises. Il s'agit désormais d'un problème de sécurité, puisque l'infrastructure reste ouverte à des accès non autorisés.

Au cours des six ou sept dernières années, la façon d’évaluer la sécurité d'une application a évolué. Il n'y a pas si longtemps, ce domaine était nouveau pour nous ; maintenant, il fait partie de notre ADN. Il faut bien comprendre dans son intégralité la couche d'applications car l'infrastructure programmable s'inscrit totalement dans ce cadre. 

Sécuriser l'infrastructure programmable

Lorsqu'une nouvelle technologie est déployée – qu'elle relève de la mobilité, du cloud ou des réseaux SDN – les principes fondamentaux en matière de sécurité restent valides. L'infrastructure programmable est effectivement une tendance technologique majeure mais, bien qu'elle soit amenée à avoir un impact profond, les questions de sécurité que les organisations devront traiter seront toujours d'actualité.

Cela met en exergue l'importance d'une approche sécuritaire cohérente. Il va sans dire que des différences et des nuances devront sûrement être introduites, tels que les outils spécifiques que l'on sera amené à utiliser. Cependantl'approche globale et les processus persisteront.

La sécurité de l'information concerne essentiellement les données et les trois piliers de la sécurité des données sont la confidentialité, l'intégrité et la disponibilité. Ces trois bases restent fondamentales dans la sécurisation des infrastructures programmables. Si on envisage une structure programmable, on devra mettre à jour la politique de sécurité afin de l'y incorporer. Puis, on devra penser aux contrôles de sécurité adaptés à la protection de l'infrastructure. Dans une infrastructure logicielle, le contrôle est transféré du matériel au logiciel. La surface d'attaque est donc élargie car les systèmes logiciels peuvent être configurés à distance. On devrait donc accroître la sécurité autour de l'accès au logiciel pour éviter l'introduction d'un code non autorisé ou malveillant, par exemple.

Cependant, ce secteur doit encore définir et choisir la meilleure voie pour y parvenir. Jusqu'à présent, on s'est attaché à utiliser des réseaux SDN pour transférer des données plus rapidement et plus facilement. On ne s'est pas vraiment préoccupé de savoir comment le faire de manière plus sûre. Le spectre de vulnérabilité d’un tel système est par conséquent devenu difficile appréciable.

En quoi une infrastructure de sécurité programmable peut être utile ?

Une infrastructure programmable peut offrir d'intéressantes perspectives innovantes permettant une meilleure sécurisation de ce type d'environnement. Les technologies de sécurité sont elles-mêmes vouées à être un jour programmables. Concrètement, on voit déjà des produits de sécurité comme les pare-feu (firewall) et les systèmes de prévention d'intrusion (IPS/IDS) se présenter sous la forme de logiciels. Cela permet de programmer l'outil, de le fournir, de le déployer et de l'automatiser de la manière la mieux adaptée, lorsqu'on le souhaite et comme on le souhaite. N'oublions pas que la machine virtuelle s'impose de plus en plus comme la clef de voute de l'informatique moderne, le serveur physique étant déjà dépassé. A l'heure actuelle, il n'y a pas de méthode simple pour sécuriser une machine virtuelle. On peut sécuriser l'ensemble d'un réseau et des parties d'un centre de données mais il est extrêmement difficile de proposer une sécurité extrêmement pointue pour une machine virtuelle.

Dès lors qu’une technologie de sécurité se présente sous la forme d'un logiciel, on peut aisément appliquer une politique de sécurité à chaque machine virtuelle afin de dresser un pare-feu et de la protéger instantanément de toute intrusion. Par la suite, les paramètres de sécurité peuvent également accompagner la machine virtuelle, qu'elle soit transférée dans le centre de données ou qu'elle en sorte, ou encore qu'elle soit envoyée dans le cloud.

Plusieurs fournisseurs de sécurité reconnus ont déjà commencé à adopter cette logique. C'est un signal positif car sécuriser un environnement aussi dynamique en constante évolution était auparavant problématique et difficile. Une sécurité « Software-Defined » permettra de créer non seulement une infrastructure profondément vive et souple mais également hautement sécurisée.

Un environnement de sécurité logiciel offre aussi l'avantage de rendre possible la sécurisation dynamique d'un flux de données particulièrement sensibles (carte de crédit, information sécurité sociale, …)  à la demande et ce conformément aux  politiques de sécurité mises en place. On sera ainsi capable de crypter partiellement une partie des flux voire peut-être même en mesure d'envoyer ce flux de données par un lien de réseau totalement isolé, plus privé et plus sécurisé. On pourra ainsi contrôler le trafic de son réseau et appliquer sa politique de sécurité d'une façon plus efficace et plus rationnelle.