CASB : Cloud Access Security Broker
Cloud Access Security Broker (CASB) est une solution de sécurité qui agit comme intermédiaire entre les utilisateurs et les applications cloud, offrant visibilité, contrôle et protection des données dans les environnements SaaS, IaaS et PaaS. Avec l'explosion de l'utilisation d'applications cloud telles que Microsoft 365, Google Workspace, Salesforce, AWS et des centaines d'autres outils, les organisations ont perdu la visibilité et le contrôle sur les données d'entreprise qui résident désormais en dehors du périmètre traditionnel. Le CASB résout ce problème en offrant quatre piliers fondamentaux : Visibility (découverte du shadow IT et inventaire des applications cloud), Compliance (application des politiques réglementaires et des normes du secteur), Data Security (prévention des fuites de données sensibles grâce au DLP cloud-native) et Threat Protection (détection des menaces, des anomalies comportementales et des malwares dans les services cloud). La solution peut fonctionner selon différents modes de déploiement : inline (reverse proxy), basé sur les API (intégration directe avec les fournisseurs cloud) ou basé sur les logs (analyse des logs d'accès). Les CASB modernes mettent également en œuvre des contrôles d'accès granulaires basés sur le contexte (utilisateur, appareil, localisation, application), le chiffrement des données au repos et en transit, la tokenisation pour protéger les informations sensibles, et l'intégration avec les systèmes SIEM, EDR et IAM afin de créer un écosystème de sécurité unifié et orchestré.
Découverte du Shadow IT et Visibilité Cloud
L'un des plus grands défis de la sécurité d'entreprise est l'utilisation non autorisée d'applications cloud (shadow IT). Les employés adoptent des outils SaaS sans l'approbation de l'informatique ou de la sécurité, créant des angles morts dangereux. Le CASB offre le cloud discovery via de multiples méthodes : analyse des logs de proxy et de pare-feu, surveillance des requêtes DNS, intégration à l'analyse du trafic réseau et connecteurs API avec les fournisseurs d'identité. Le résultat est un cloud app catalog complet, montrant toutes les applications utilisées, le volume de données transférées, le nombre d'utilisateurs actifs et le risk score de chaque application. L'évaluation automatique des risques évalue les applications selon des critères tels que les certifications de sécurité (SOC 2, ISO 27001), la politique de confidentialité, l'historique des violations, l'emplacement des centres de données et la conformité au GDPR. Le tableau de bord exécutif offre une visibilité instantanée sur le nombre d'applications cloud utilisées (souvent des centaines ou des milliers), celles qui stockent des données sensibles et celles qui présentent des risques de sécurité. L'app sanctioning permet aux équipes de sécurité de classer les applications comme approuvées, non approuvées ou surveillées, en appliquant des politiques différentes à chaque catégorie.
Data Loss Prevention (DLP) dans le Cloud
Le CASB met en œuvre un DLP natif pour le cloud, protégeant les données sensibles dans les applications SaaS. L'inspection du contenu examine les téléversements, téléchargements et partages en temps réel, en utilisant le pattern matching, les expressions régulières et le machine learning pour identifier : les numéros de carte de crédit, les numéros d'identification nationale, les informations médicales (PHI), la propriété intellectuelle, le code source, les contrats et d'autres données confidentielles. Le policy enforcement peut bloquer les téléversements de fichiers sensibles, mettre en quarantaine les documents suspects, appliquer un chiffrement automatique, supprimer les autorisations de partage public ou exiger une MFA supplémentaire. Les contextual controls permettent des politiques granulaires : un document financier peut être accessible depuis le bureau mais bloqué depuis des appareils personnels non gérés ou des localisations géographiques non autorisées. La data classification s'intègre aux systèmes d'entreprise, en respectant les étiquettes de confidentialité (Public, Internal, Confidential, Restricted). Les remediation actions comprennent le chiffrement (à l'aide de l'enterprise key management), la tokenisation (en remplaçant les données réelles par des tokens), la rédaction (en masquant les parties sensibles des documents) et des alertes pour les équipes de sécurité et les data owners. L'intégration avec le DLP on-premises garantit des politiques cohérentes à l'intérieur et à l'extérieur du périmètre de l'entreprise.
Threat Protection et Détection d'Anomalies
Les CASB modernes mettent en œuvre une advanced threat protection spécifique aux environnements cloud. Le behavioral analytics utilise le machine learning pour établir une baseline du comportement normal de l'utilisateur et détecter des anomalies telles que : la connexion depuis une localisation impossible (impossible travel), le téléchargement massif de données (data exfiltration), le partage excessif de documents, la création de multiples comptes de service ou des modifications de configurations critiques. La malware detection analyse les fichiers dans le cloud storage à l'aide d'un antivirus multimoteur, du sandboxing et de threat intelligence feeds. L'account compromise detection identifie les identifiants compromis à travers des schémas de connexion anormaux, l'utilisation d'IP malveillantes connues ou un comportement incohérent avec le profil de l'utilisateur. L'insider threat detection surveille les actions des privileged users, en alertant sur les accès en dehors des heures de bureau, l'exfiltration de données avant un départ ou les violations de chinese wall policies. L'intégration avec la threat intelligence corrèle les activités cloud avec les indicators of compromise (IoCs) mondiaux, en identifiant la communication avec des C2 servers ou l'utilisation d'applications associées à des threat actors. La réponse automatisée peut bloquer les utilisateurs, révoquer les sessions, forcer une réinitialisation de mot de passe ou faire remonter au security operations center (SOC).
Conformité et Gouvernance en Multicloud
Le CASB est essentiel pour maintenir la conformité réglementaire dans les environnements cloud. Le compliance monitoring vérifie en permanence si les applications cloud répondent aux exigences du GDPR, de la LGPD, de l'HIPAA, du PCI-DSS, du SOX et d'autres frameworks. Par exemple, pour le GDPR : valider que les données des citoyens européens ne sont pas stockées dans des centres de données hors de l'UE sans dispositions légales, garantir le right to be forgotten grâce aux politiques de rétention des données, auditer les data processing activities et mettre en œuvre le privacy by design. Pour le PCI-DSS : garantir que les données de carte ne sont pas stockées dans des applications non conformes, mettre en œuvre le chiffrement en transit et au repos, et maintenir des audit trails de tous les accès aux CHD (cardholder data). L'audit reporting génère des rapports automatiques pour les audits, incluant les access logs, le data movement, les policy violations et les remediation actions. Le data residency enforcement garantit que les données restent dans des zones géographiques spécifiques conformément aux exigences réglementaires ou contractuelles. Le configuration auditing surveille les paramètres des applications cloud (tels que les buckets S3 publics, les permissions excessives, le chiffrement faible) et alerte sur les écarts par rapport aux security baselines.
Modes de Déploiement et Architecture
Les CASB peuvent être déployés selon différentes architectures en fonction des besoins : le Inline/Proxy mode agit comme un reverse proxy, en interceptant tout le trafic entre les utilisateurs et les cloud apps en temps réel, permettant le blocking et le chiffrement en ligne. Avantage : contrôle en temps réel. Inconvénient : latence supplémentaire et single point of failure. Le API mode se connecte directement aux API des cloud providers (Office 365, Google Workspace, Salesforce), permettant : l'inventaire des données, le DLP rétroactif sur les fichiers déjà stockés, la remédiation des configurations non sécurisées et l'audit des activités. Avantage : aucun impact sur les performances. Inconvénient : ne fonctionne qu'avec les apps qui offrent des API. Le Log-based mode analyse les logs d'accès générés par les cloud apps, offrant visibilité et analytics sans toucher au trafic réel. Le Hybrid deployment combine l'inline pour les applications critiques (real-time blocking) et l'API pour une large couverture de l'ensemble du cloud ecosystem. Le Multi-tenancy support permet de gérer des politiques différentes pour des filiales, des départements ou des clients dans des scénarios MSP. La High availability et la scalability sont essentielles pour ne pas devenir un bottleneck.
Intégration avec le Security Ecosystem
Le CASB ne fonctionne pas de manière isolée, mais s'intègre avec : Identity and Access Management (IAM) pour l'application de politiques basées sur l'utilisateur, le groupe et le rôle ; Single Sign-On (SSO) pour une authentification unifiée ; Multi-Factor Authentication (MFA) pour la step-up authentication lors d'accès sensibles ; SIEM pour la corrélation des événements cloud avec les on-premises security incidents ; Endpoint Detection and Response (EDR) pour des décisions d'accès basées sur le device health et la posture ; Secure Web Gateway (SWG) pour des politiques cohérentes de web filtering et de threat protection ; Zero Trust Network Access (ZTNA) pour mettre en œuvre le never trust, always verify dans l'accès cloud ; Cloud Security Posture Management (CSPM) pour la gouvernance de l'IaaS ; Data Classification tools pour l'étiquetage automatique des documents. Cette intégration permet le risk-based access control, où les décisions d'autoriser/bloquer/step-up authentication sont basées sur un contexte complet : identité + appareil + localisation + application + data sensitivity + threat intelligence.
Cas d'Usage et Mise en Œuvre
Cas pratiques de CASB : (1) Contrôler le shadow IT : découvrir toutes les applications cloud, évaluer les risques et bloquer les apps non approuvées tout en sanctionnant des alternatives sécurisées ; (2) Protéger les données dans Office 365/Google Workspace : mettre en œuvre le DLP pour empêcher le partage externe de documents confidentiels ; (3) Conformité au GDPR/LGPD : garantir que les PII ne quittent pas les zones géographiques autorisées et maintenir un audit trail du data processing ; (4) Détecter l'account takeover : identifier les connexions suspectes et forcer la MFA ou bloquer la session ; (5) Secure BYOD : autoriser l'accès aux cloud apps depuis des appareils personnels avec des restrictions (pas de téléchargement, consultation uniquement) ; (6) Contractor access : accorder un accès limité à des tiers avec une surveillance renforcée. Pour une mise en œuvre réussie : (1) commencer par le discovery mode pour cartographier le cloud app landscape sans blocking ; (2) définir des politiques basées sur le risk et les compliance requirements ; (3) piloter avec un petit groupe avant le rollout général ; (4) former les utilisateurs sur les apps approuvées et les processus d'exception ; (5) intégrer avec l'IAM/SSO pour une user experience transparente ; (6) surveiller les tableaux de bord et ajuster les politiques en fonction des false positives/negatives ; (7) mener une security awareness sur les risques du shadow IT.