La protection des charges de travail dans le Cloud est le processus de sécurisation des charges de travail qui se déplacent dans différents environnements Cloud. L’ensemble de la charge de travail doit être fonctionnel pour qu’une application Cloud fonctionne correctement sans introduire de risques de sécurité. La sécurité des charges de travail dans le Cloud et la protection des charges de travail pour les services applicatifs sont donc fondamentalement différentes de la sécurité des applications sur un poste de travail.

Les cybercriminels multiplient les attaques par rançongiciel et ciblent les entreprises. Avec la prolifération des infrastructures de Cloud Computing, les vulnérabilités augmentent. Les stratégies de sécurité qui s’appuient sur la protection préventive des terminaux ou qui limitent l’accès aux terminaux ne tiennent pas compte de ce qui se passe dans le Cloud. Pour se défendre contre les cyberattaques, les entreprises qui utilisent des Clouds privés et publics doivent se protéger contre les dommages au niveau des charges de travail, et pas seulement au niveau des terminaux.

Une charge de travail est constituée de tous les processus et ressources qui prennent en charge une application et les interactions avec elle. Dans le Cloud, la charge de travail inclut l’application, les données générées par une application ou saisies dans une application et les ressources réseau qui prennent en charge une connexion entre l’utilisateur et l’application. Une application Cloud ne fonctionnera pas correctement si une partie de la charge de travail est compromise.

La sécurité des charges de travail est particulièrement compliquée dans les architectures de Data Center hybrides qui utilisent tout, des machines physiques on premise aux environnements d’infrastructure sous forme de service (IaaS) de Cloud public, en passant par les architectures d’applications basées sur des conteneurs. La sécurité des charges de travail dans le Cloud est particulièrement complexe, car lorsque les charges de travail passent entre plusieurs fournisseurs et hôtes, la responsabilité de la protection de la charge de travail doit être partagée.

Gartner définit une plate-forme de protection des charges de travail dans le Cloud (CWPP) comme une solution technologique « principalement utilisée pour sécuriser les charges de travail des serveurs dans les infrastructures de Cloud public sous forme de service ». Les CWPP permettent à plusieurs fournisseurs et clients de Cloud public de s’assurer que les charges de travail restent sécurisées lorsqu’elles passent par leur domaine.

Il existe deux manières principales de protéger les charges de travail avec la technologie CWPP : Micro-segmentation et hyperviseurs bare-metal.

Micro-segmentation : Pour garantir la protection des charges de travail, l’une des méthodes consiste à mettre en œuvre une technique de sécurité réseau appelée micro-segmentation. Avec la micro-segmentation, les architectes de sécurité divisent le Data Center en segments de sécurité distincts jusqu’au niveau de chaque charge de travail, puis définissent des contrôles de sécurité pour chaque segment. La technologie de virtualisation du réseau remplace les pare-feu physiques et permet à la micro-segmentation de définir des règles de sécurité flexibles qui isolent et protègent les charges de travail individuelles. Alors que la protection des terminaux est conçue pour empêcher les menaces de pénétrer dans un environnement, la micro-segmentation empêche les logiciels malveillants de migrer d’un serveur à l’autre au sein de l’environnement.

Hyperviseur bare-metal : Un hyperviseur bare-metal peut offrir une protection supplémentaire des charges de travail. Un hyperviseur est un type de logiciel de virtualisation qui prend en charge la création et la gestion de machines virtuelles en séparant le logiciel de son matériel. Un hyperviseur bare-metal est installé directement sur le matériel d’une machine physique, entre le matériel et le système d’exploitation. Étant donné qu’un hyperviseur crée des machines virtuelles isolées les unes des autres, si une machine virtuelle rencontre un problème ou fait l’objet d’une attaque, le problème est isolé sur ce serveur, ce qui signifie que les charges de travail des autres machines virtuelles ne sont pas affectées.

Certaines solutions CWPP prennent en charge des couches de sécurité activées par l’hyperviseur, spécialement conçues pour protéger les charges de travail dans le Cloud.