Comment évaluer les CASB pour des déploiements multi-clouds

Modes de fonctionnement des CASB

Les outils de CASB sont conçus pour superposer des fonctionnalités de sécurité supplémentaires aux services cloud, à commencer par le SaaS : authentification, chiffrement ou surveillance. Ces outils visent à compenser l’absence de fonctionnalités nativement offertes par le service Cloud, mais requises pour contrôler les risques, satisfaire aux exigences de conformité réglementaire ou interne.

Les CASB fonctionnent généralement de deux façons : soit en mode proxy, soit par intégration avec des API. Le premier mode de fonctionnement consiste à s’interposer entre le navigateur Web et le service SaaS. Selon les fonctionnalités visées, cela peut être considéré comme intrusif dans la navigation normale sur le Web. Par exemple, en contrôlant l'accès aux options SaaS ou en déterminant si les utilisateurs peuvent accéder à certaines offres SaaS, un CASB peut fonctionner d'une manière directement analogue à celle d’un proxy HTTP classique : il pourra encapsuler le trafic Transport Layer Security vers la destination sans terminer la session TLS.

Certaines fonctions, comme le chiffrement, exigent que les CASB injectent ou modifient activement le contenu lorsqu'il circule entre le navigateur et le service SaaS, par exemple, pour permettre le chiffrement des données envoyées par le navigateur. Un autre outil peut terminer la session TLS au niveau du proxy et lancer une nouvelle session TLS à l'arrière-plan entre celui-ci et la destination.

En revanche, le modèle d'intégration par API utilise les fonctionnalités natives d’une offre SaaS pour atteindre le même objectif, mais en construisant les fonctionnalités additionnelles sans intrusion dans le flux réseau.

Cette différence d’architecture est l'un des facteurs les plus importants à prendre en compte en termes de complexité pour supporter plusieurs offres SaaS. Car l’étendue des fonctionnalités pouvant être construites à partir des API varient considérablement d’un service SaaS à l’autre.

Choisir une approche

Quelle est la meilleure approche pour du multi-cloud SaaS ? Cela dépend du contexte. Si le déploiement multi-cloud recouvre un petit échantillon d’offres différentes pouvant toutes être prises en charge par API, il est possible de privilégier cette approche. Mais s’il s’agit de couvrir un éventail complexe de dizaines ou de centaines de petites offres SaaS plus ou moins spécialisées, il se peut que le modèle proxy s’impose comme unique alternative viable. Et bien sûr, entre ces deux extrêmes, il y a l’approche hybride, combinant API pour certains services SaaS, et modèle proxy pour d’autres.

Il est essentiel de tenir compte des besoins en matière d’usages et de sécurité lors de l'évaluation des produits CASB. Le modèle proxy offre souvent plus de flexibilité, du fait de son indépendance des API exposées par les services SaaS. Mais il n’a rien d’idéal. Par exemple, Microsoft le déconseille pour Office 365, et le Cert US a émis une alerte au sujet de l'interception HTTPS, car les produits qui interrompent délibérément la connexion TLS peuvent, dans certains cas, compromettre la sécurité du modèle TLS, par exemple, en ne vérifiant pas l'état de révocation du certificat.

Pour prendre une telle décision, il convient être un client éclairé. Il est donc nécessaire d’avoir une vision complère de ses propres usages, jusqu’aux offres SaaS que l’on veut sécuriser. Et cela commence par dresser un inventaire de ce qui est utilisé en interne et de la manière dont ça l’est. Ensuite, il convient d’identifier ses objectifs de sécurité. C’est de la compréhension de ce contexte que découlera le choix.