Varonis dans le cloud : création d’une plateforme de sécurité des données sécurisée et évolutive

Lorsque Varonis a commencé à protéger les données d'entreprise en 2005, le cloud n'en était qu'à ses prémices. Les pionniers du SaaS comme Salesforce livraient des logiciels sur Internet, mais les grands acteurs du cloud n'existaient pas encore.

Le lancement public d’Amazon Web Services n’a eu lieu qu’un an plus tard, et il faudrait encore attendre trois ans avant la sortie du Google App Engine et près de cinq ans avant celle de Microsoft Azure. Tous les textes réglementaires et les lois sur la confidentialité des données que nous tenons pour acquis, comme le CCPA, le RGPD ou le CMMC, ne verraient le jour que 10 à 20 ans plus tard.

Aujourd’hui, près de deux décennies après le lancement de Varonis, la façon dont nous créons, consommons et sécurisons les données a radicalement changé. Soucieux de relever les défis de la sécurité des données dans un monde orienté cloud et de proposer à nos clients la meilleure expérience possible, nous avons réalisé des investissements considérables afin de transformer Varonis en plateforme SaaS cloud-native de manière optimale, sans aucun raccourci.

Voici comment nous avons procédé.

Réimaginer Varonis dans le cloud

Alors que de nombreuses entreprises optent pour le raccourci qui consiste à migrer vers le cloud, Varonis a délibérément adopté l’approche inverse. Nous avons demandé à notre équipe R&D de classe mondiale de concevoir notre plateforme SaaS de sécurité des données de A à Z, sans aucune contrainte liée à l’ancienne structure.

Notre équipe avait trois exigences non négociables : varonis.io devait être sécurisé, conforme et évolutif.

Pour répondre à ces besoins, nous avons adopté le cycle du développement logiciel sécurisé (SSDLC). Cela a permis à Varonis de créer des applications et une infrastructure sécurisées plus rapidement, en traitant de manière proactive les problèmes de sécurité et de conformité potentiels.

Nos clients exploitent certains des plus vastes environnements hybrides et multi-cloud au monde, qui génèrent chaque jour des téraoctets de nouvelles données. Afin de garantir l’évolutivité de sa plateforme, Varonis a collaboré avec des fournisseurs IaaS de manière à prendre en compte les projections pluriannuelles de croissance du cloud et à vérifier notre capacité à répondre aux besoins des clients en toute fluidité, à tout moment et partout.

Le SaaS réduit considérablement les frictions lors du déploiement et du développement de la couverture Varonis, comme peut en témoigner Drees Homes, l’un de nos clients SaaS :

Comment fonctionne la plateforme Varonis de sécurité des données dans le cloud ?

Notre nouvelle plateforme cloud tire parti de la propriété intellectuelle de Varonis, grâce à laquelle notre entreprise domine le marché de la sécurité des données depuis près de 20 ans. Nous possédons quelque 145 brevets couvrant des algorithmes et des structures de données relatifs à la journalisation des événements d’accès, à l’analyse du comportement des utilisateurs, à la classification granulaire des données, aux informations sur l’accès aux données, aux rapports, et bien davantage.

Le « cerveau » de la plateforme SaaS de sécurité des données de Varonis est un ensemble de services exécutés dans Microsoft Azure.

Collecteurs

Les collecteurs Varonis sont installés à l’intérieur du centre d’hébergement des données (data center) du client. Ils peuvent être déployés dans un data center physique ou en tant que machine virtuelle au sein du data center situé dans le cloud du client. Les collecteurs se connectent aux sources de données sur site ou dans le cloud, analysent les volumes et les dossiers, classent le contenu des fichiers et extraient les événements d’accès. Les métadonnées extraites – notamment les droits sur les dossiers et les fichiers, les étiquettes de classification et les événements d’accès – sont chargées dans le cloud sur la plateforme Varonis de sécurité des données.

Les collecteurs déployés sur site ouvrent des connexions sortantes à Varonis et chargent les métadonnées et les classifications sur la plateforme cloud de Varonis à l’aide du protocole Kafka.

Quant aux sources de données cloud, les métadonnées sont directement extraites par la plateforme Varonis de sécurité des données dans le cloud. Le contenu des fichiers est extrait et classé par le collecteur du client pour éviter de copier des données sensibles dans le cloud Varonis. Étant donné que les collecteurs sont déployés dans les limites de l’environnement informatique du client, les données restent entièrement sous le contrôle de ce dernier, ce qui réduit les risques et les coûts logistiques.

Des fonctionnalités inégalées

Au sein de la plateforme de sécurité des données, les clients peuvent utiliser des tableaux de bord et des analyses pour comprendre l’exposition de leurs données à l’intérieur de leur organisation, en se fondant sur les métadonnées collectées et les événements d’accès audités. Nos remédiations manuelles ou automatisées ont un impact sur les sources de données réelles, en appliquant des actions telles que la limitation des droits et la création de groupes de sécurité ciblés au lieu de groupes plus vastes.

La plateforme Varonis de sécurité des données fournit également des alertes en temps quasi réel ; elle identifie les schémas d’accès communs aux attaquants internes et aux logiciels malveillants, alerte les clients en cas de menaces et prévient les incidents de sécurité. Si les clients disposent d’un centre opérationnel de sécurité (SOC), les alertes peuvent être envoyées à des produits de détection et de réponse étendues pour une analyse plus approfondie ou une réponse automatique.

Les alertes sont générées sur la base de modèles qui ont été entraînés à l’aide de divers algorithmes d’apprentissage automatique, et reposent sur des connaissances expertes en matière de modèles d’attaques en conditions réelles observés par l’équipe Varonis Threat Labs au fil des ans. 

Sécurisation de notre plateforme SaaS

Varonis a beaucoup investi pour créer une plateforme sécurisée, à commencer par l’adoption du SSDLC dans le cadre de notre approche globale de développement.

L’approche éprouvée du SSDLC consiste à se focaliser sur l’ajout de sécurité à la politique SDLC (cycle de développement du système) standard et sur l’intégration de la sécurité en tant que composante majeure de chaque phase du SDLC. Cela permet à Varonis de créer des applications et des systèmes informatiques sécurisés plus rapidement, ce qui réduit les coûts de reprise, d’identification et de résolution initiale des problèmes de sécurité potentiels.

Varonis a mis en place près de 30 stratégies en matière de sécurité ; elles couvrent divers domaines dans notre documentation et s’alignent sur les normes ISO/IEC (27001, 27017, 27018 et 27701), NIST 800-53, AICPA (American Institute of Certified Public Accountants), et sur d’autres réglementations en matière de confidentialité.

Varonis met également en œuvre les pratiques suivantes :

• Gestion rigoureuse du changement
• Intégration et livraison continues (CI/CD), robustes et sécurisées
• Isolation des données à l'intérieur du système
• Compartimentation des services et accès selon le principe du moindre privilège
• Chiffrement des données au repos et en mouvement
• Cloisonnement des réseaux à l'aide de pare-feu d'applications Web (WAF) et de pare-feu de réseau
• Protection contre les attaques par déni de service distribué (DDoS)
• Analyse continue de la sécurité
• Tests d'intrusion fréquents
• Correctifs automatisés
• Procédures de contrôle d'accès et de gestion des clés
• Surveillance SOC

Varonis se conforme aux lois nationales et aux décisions judiciaires en matière de résidence des données, garantissant ainsi que les métadonnées des clients sont uniquement conservées dans le pays au sein duquel la région Varonis est déployée. Varonis compte des régions couvrant les États-Unis, l’Europe, le Canada et l’Australie, et d’autres déploiements de régions sont au programme.

Si vous souhaitez en savoir plus, nous avons consacré un livre blanc à la présentation de nos pratiques en matière de sécurité.

Conçu pour les environnements de données à l'échelle du pétaoctet

Varonis travaille avec Microsoft Azure pour prédire la croissance et l’utilisation sur plusieurs années, afin de s’assurer que la capacité sera suffisante. En surveillant l’utilisation de manière continue, il est possible d’ajouter de la capacité à partir des data centers Azure sans qu’il soit nécessaire d’ajouter du matériel. L’élasticité du cloud permet une meilleure rentabilisation des coûts en réduisant la capacité lorsque celle-ci n’est plus nécessaire. Cette architecture flexible permet à Varonis d’offrir un accord de niveau de service (SLA) de 99 % à ses clients.

Du point de vue technique, Varonis met en œuvre une véritable analyse incrémentale pour s’assurer que seules les données nouvelles ou récemment touchées sont analysées. Cela permet à Varonis de ne pas faire perdre à ses clients un temps précieux en analysant à nouveau des données inchangées, et de réagir rapidement concernant les données et les menaces les plus récentes.

Les clients peuvent également se fier à nos équipes, qui surveillent de manière proactive l’état du service, enquêtent sur les alertes et les indicateurs de performance, et effectuent de fréquentes opérations de maintenance sans perturber leur activité. Même en cas de sinistre, Varonis utilise la géo-redondance d’Azure pour gérer les défaillances d’un data center individuel, effectuer des sauvegardes et assurer une reprise rapide.

Varonis est en mesure de surveiller à la fois les sources de données dans le cloud et sur site, en fournissant aux clients une solution unique à travers des déploiements hybrides.

Pourquoi Varonis ?

Varonis possède des années d’expérience en matière de sécurisation des données, acquises auprès de plus de 7 000 organisations, dont certaines – gouvernements, multinationales, entreprises du secteur de la santé – possèdent les plus vastes environnements informatiques qui existent. Grâce à notre connaissance experte de près de trois douzaines de cadres réglementaires et de conformité, nous comprenons comment gérer une sécurité complexe à grande échelle. Il n’est pas rare que des clients demandent à Varonis de trouver des solutions totalement inédites.

La plateforme Varonis de sécurité des données possède une capacité unique de surveillance de dizaines de sources de données différentes, y compris les applications SaaS, l’infrastructure cloud, les périphériques réseau, la messagerie électronique et d’autres systèmes qui stockent et traitent des données sensibles.

En bénéficiant d’une vue d’ensemble de leur organisation, les entreprises peuvent classer les risques par priorité et se concentrer sur ceux qui sont importants, améliorant ainsi leur posture de sécurité. Grâce à des politiques communes et à une interface utilisateur cohérente, dotée de capacités d’analyse, les clients peuvent appliquer des stratégies de gestion de la sécurité des données à toutes les sources de données, sans avoir à mettre en œuvre des solutions spécialisées pour chaque source.

La plupart des produits de sécurité des données génèrent d’innombrables alertes, noyant ainsi dans la masse les alertes pertinentes, et vous donnent une longue liste de tâches pour résoudre manuellement le problème. Varonis classifie en permanence vos données, remédie à l’exposition et arrête les cyberattaques grâce à l’automatisation.

Varonis offre à ses clients une solution continue et autonome en matière de réduction des risques liés aux données, ainsi que l’outil de détection des menaces le plus avancé au monde. Varonis capture plus de métadonnées concernant les données et les systèmes de fichiers d’entreprise que toute autre solution ; aucun autre fournisseur ne peut capturer et intégrer une telle quantité et une telle étendue d’informations.