Plateforme de gestion de sécurité réseau ?
La surveillance de la sécurité réseau est le processus de collecte et d'intervention sur les données en temps réel de l'état d'un réseau, généralement soutenu par un ensemble ou une suite d'outils de sécurité qui surveillent, cartographient et sécurisent les dispositifs et protocoles individuels qui composent chaque réseau.
Qu'est-ce qu'une surveillance de la sécurité réseau ?
La surveillance de la sécurité réseau est la pratique consistant à observer et analyser en continu l'activité du réseau afin de détecter et de répondre aux menaces de sécurité. Les réseaux modernes sont des écosystèmes complexes composés de routeurs, de commutateurs, de pare-feu et de serveurs ; à travers tout cela circulent des types de données éphémères ainsi que des machines basées sur le cloud, des hyperviseurs et des conteneurs. En cybersécurité, surveiller tout cela simultanément dépasse les capacités humaines. Pour conserver un certain degré de visibilité et de contrôle, les meilleures pratiques en matière de sécurité réseau exigent un outil capable de fournir des informations et des métriques de base.
Quels protocoles sont utilisés pour le NSM ?
Puisque la NSM est une pratique essentielle de l'administration réseau, il existe quelques protocoles incontournables sur lesquels les outils de surveillance réseau s'appuient.
-
The Simple Network Management Protocol (SNMP)
SNMP est le protocole le plus couramment utilisé pour surveiller l'état des systèmes et la configuration du réseau. Il permet aux administrateurs de collecter des données en temps réel sur les performances du réseau, assurant une allocation efficace des ressources. Le protocole fonctionne via un gestionnaire SNMP central, qui recueille et analyse les données provenant des agents SNMP. Ces agents sont installés sur les routeurs, commutateurs et serveurs individuels, où ils collectent en continu des informations en temps réel sur l'activité des appareils. La communication entre le gestionnaire SNMP et les agents se fait grâce à plusieurs opérations clés :
- GET : Récupère des points de données spécifiques tels que l'utilisation de la bande passante ou l'état des appareils.
- SET : Permet des modifications de configuration à distance, permettant aux administrateurs d'ajuster les paramètres des appareils si nécessaire.
- TRAP : Envoie des alertes non sollicitées des appareils vers le gestionnaire lorsque des seuils prédéfinis sont dépassés ou que des événements critiques se produisent.
Toutes les données collectées sont transmises au gestionnaire de réseau et affichées via une interface graphique (GUI), permettant aux analystes de les interpréter facilement. Le système peut également être configuré pour envoyer des alertes aux administrateurs en cas d'incident réseau.
-
Internet Control Message Protocol (ICMP)
Contrairement à SNMP, ICMP n'échange généralement pas de données entre les appareils. Il est plutôt utilisé pour déterminer la disponibilité d'un hôte sur un réseau. Lorsqu'un appareil envoie une requête ICMP Echo (communément appelée ping) à un hôte cible, il s'attend à recevoir une réponse ICMP Echo. La présence ou l'absence de cette réponse aide à déterminer si la cible est joignable et peut également mesurer des paramètres tels que le temps aller-retour, utiles pour évaluer les performances du réseau. En envoyant régulièrement des requêtes ICMP Echo, les administrateurs peuvent :
- Surveiller le temps de disponibilité du système
- Mesurer les temps de réponse pour évaluer la vitesse du réseau
- Détecter la perte de paquets afin d'évaluer la qualité de la connexion
Des seuils sont souvent établis pour les niveaux de performance acceptables. Si ces seuils sont dépassés, par exemple lorsqu’un appareil devient inaccessible ou que les temps de réponse dépassent les limites fixées, des alertes sont déclenchées pour inciter à une enquête plus approfondie. La capacité de l’ICMP à identifier les problèmes de connectivité, les goulets d’étranglement en matière de performance et les menaces potentielles pour la sécurité en fait un élément précieux de la surveillance de la sécurité réseau.
-
Microsoft Windows Management Instrumentation (WMI)
WMI fournit un protocole de surveillance spécifique au fournisseur qui collecte les détails réseaux en temps réel des systèmes et appareils Windows. Comme SNMP, WMI repose sur des agents locaux, appelés fournisseurs WMI, qui sont des composants logiciels intégrés au système d'exploitation Windows. Les informations collectées par les fournisseurs sont ensuite envoyées au référentiel WMI : une base de données structurée qui stocke des informations sur les objets gérés. Il définit les propriétés et les méthodes de divers composants du système, ainsi que les données d'instance en temps réel.
Composants clés de surveillance de la sécurité réseau
Étant donné qu'un outil NSM dédié peut représenter un investissement important, il vaut la peine de déterminer exactement ce qu'il peut offrir.
-
Découverte et cartographie
La découverte est le processus d'identification de tous les appareils connectés à un réseau et de compréhension de leur interaction. Cela inclut des composants essentiels tels que les commutateurs, les routeurs et les pare-feux. La découverte automatisée des actifs est particulièrement importante dans les environnements dynamiques, tels que les réseaux en transition vers une infrastructure basée sur le cloud ou fortement orientée vers l'IoT. Il existe deux principaux types de découverte :
- Découverte active, qui utilise une approche de type ICMP pour scanner le réseau et détecter les périphériques connectés.
- Découverte passive, qui surveille les connexions actives à l'aide d'un renifleur de paquets.
Une fois la découverte terminée, la plupart des outils présentent les connexions réseau sous forme visuelle. Cela inclut des cartes réseau étendues ou des chemins de données plus ciblés, de bout en bout. Les représentations visuelles aident les équipes informatiques à comprendre rapidement les relations complexes entre les actifs et améliorent leur capacité à gérer et sécuriser le réseau.
-
Supervision
Une solution dédiée de surveillance de la sécurité réseau (NSM) exploite sa proximité avec les dispositifs réseau pour collecter et corréler des informations en temps réel au sein d'une plateforme de surveillance cohérente. Elle analyse en continu :
- Requêtes du pare-feu
- Utilisation de la bande passante
- Consommation des ressources
- Temps de fonctionnement du système
- Fluctuations inhabituelles du trafic réseau
En surveillant les commutateurs, les routeurs, les serveurs, les pare-feu et d'autres points de terminaison, ces outils contribuent à maintenir des performances réseau optimales et à garantir des niveaux de débit acceptables. Ils aident également à équilibrer les charges réseau et à détecter des taux d'erreur élevés, prévenant ainsi d'éventuelles interruptions et soutenant la stabilité du réseau.
-
Rapports et alertes
Les systèmes modernes de surveillance des performances réseau établissent des métriques de référence pour détecter automatiquement les signes de dégradation des performances. En comparant en continu les données en temps réel à ces références, le système identifie rapidement les anomalies. Ces informations sont présentées dans un cadre d'alerte rapide, permettant aux administrateurs réseau de :
- Détecter les problèmes tôt
- Identifier les causes profondes
- Déterminer quel personnel doit intervenir
La visibilité en temps réel améliore l'efficacité du dépannage et favorise une résolution rapide des perturbations du réseau.
Offrez une visibilité et une protection complètes du réseau avec Check Point Quantum
La surveillance de la sécurité réseau est une combinaison riche d’outils et de procédures : Check Point offre une surveillance de pointe et la détection des intrusions réseau grâce à sa gamme de pare-feu de nouvelle génération. Le pare-feu Quantum offre une visibilité à 360 degrés sur tous les appareils et applications des réseaux correspondants d’une organisation : un tableau de bord personnalisable affiche le trafic dans son contexte réel, même au sein d’architectures complexes VPN, SASE et SD-WAN. Dans la même solution, Quantum propose un taux de détection et de prévention des logiciels malveillants parmi les meilleurs du secteur, prenant en charge la détection des menaces en temps réel, des politiques d’accès unifiées et la découverte automatisée des zero-day.