Infrastructure / Sécurité et identité / Barracuda
Deux portes d’entrée à surveiller, et elles ne se surveillent pas au même endroit.
Barracuda : le réseau, la messagerie, la sauvegarde et l’accès distant.Une entreprise qui a installé un pare-feu croit souvent avoir traité la question. Mais un pare-feu ne voit pas ce qui arrive dans une boîte aux lettres, et un service de messagerie ne voit pas ce qui traverse la liaison. Ce sont deux entrées distinctes, et Barracuda est l’un des rares fournisseurs à couvrir les deux avec une administration commune.
Trois raisons pour lesquelles une entreprise se croit couverte
Aucune des trois n’est une faute d’inattention. Ce sont des raisonnements justes qui ne portent pas jusqu’au bout.
Le pare-feu date d’avant l’hébergement externe
Il a été dimensionné quand les serveurs et les données étaient dans le bâtiment. Depuis, les fichiers sont dans Microsoft 365 et les collaborateurs travaillent depuis chez eux : l’essentiel du trafic ne passe plus par l’équipement qui devait le voir.
L’équipement surveille un chemin que plus personne n’emprunte.
Le filtrage des messages est considéré comme réglé
Microsoft 365 filtre effectivement une grande partie des messages indésirables. Ce qui passe malgré tout, ce sont les messages qui n’ont ni pièce jointe ni lien dangereux : une demande de virement signée du nom d’un dirigeant, écrite correctement, dans le fil d’une conversation réelle.
Le message qui coûte le plus cher est celui qui n’a rien d’anormal.
Personne n’a jamais restauré depuis la sauvegarde
Une sauvegarde s’exécute tous les soirs et personne ne la regarde. La question n’est pas de savoir si elle tourne, mais combien de temps il faudrait pour remettre l’entreprise en marche à partir d’elle, un mardi matin, sans le serveur d’origine.
Une sauvegarde jamais restaurée est une intention.
Les deux entrées, et ce qui les surveille
Elles n’ont ni le même chemin, ni les mêmes signaux, ni les mêmes outils. Traiter l’une ne traite pas l’autre, et c’est la confusion la plus fréquente.
Ce qui traverse la liaison
Tout ce qui entre et sort par le réseau : les sites consultés, les services utilisés, les connexions ouvertes depuis l’extérieur vers vos serveurs, et le trafic entre vos différents sites.
- Connexions entrantes vers vos serveurs
- Trafic entre le siège et les agences
- Accès distant des collaborateurs
- Sites et services atteints depuis vos ordinateurs
Barracuda CloudGen Firewall. Pare-feu réseau avec liaison entre sites intégrée, administrable depuis une console unique quand il y a plusieurs implantations.
Ce qui arrive dans les boîtes de réception
Les messages reçus par vos collaborateurs. C’est l’entrée qui ne passe par aucun équipement réseau, parce que le message arrive directement dans un service hébergé par Microsoft.
- Messages qui imitent un dirigeant ou un fournisseur
- Demandes de paiement sur un compte modifié
- Liens et pièces jointes malveillants
- Comptes de collaborateurs dont le mot de passe a fuité
Barracuda Email Protection. Filtrage des messages, détection des tentatives d’usurpation d’identité, nettoyage des messages déjà distribués et sensibilisation des collaborateurs.
Empêcher un document de partir est un autre chantier
Surveiller les entrées ne dit rien de ce qui quitte l’entreprise : un fichier client déposé sur un service personnel, un document confidentiel transféré à une adresse privée, une conversation avec un assistant qui n’est pas administré. Cela se traite dans Microsoft 365, avec d’autres outils, et nous y consacrons une page entière.
Empêcher les données de sortirSix domaines, et vous n’en prenez que ce dont vous avez besoin
Barracuda n’est pas un ensemble indivisible : chacun de ces domaines s’achète et s’exploite séparément. L’intérêt de les réunir apparaît quand l’équipe informatique est petite, parce qu’ils remontent alors dans une console unique, BarracudaONE, incluse sans supplément.
CloudGen Firewall
Le pare-feu installé dans vos locaux, avec la liaison entre sites intégrée. Il relie le siège, les agences et les serveurs hébergés à l’extérieur, et choisit lui-même par quel chemin faire passer chaque type de trafic.
SecureEdge et SecureEdge Access
La même fonction rendue comme un service hébergé plutôt que comme un équipement : filtrage, liaison entre sites et accès applicatif. SecureEdge Access ouvre l’entrée vers une application précise au lieu du réseau entier.
Email Protection
Filtrage à l’arrivée, détection des messages qui imitent une personne connue, retrait des messages déjà distribués quand une campagne est identifiée. Trois formules, dont deux incluent la sauvegarde Microsoft 365 et la sensibilisation des collaborateurs.
Le pare-feu applicatif
Vendu sous le nom Barracuda Application Protection, en équipement ou en service. C’est ce qui surveille vos sites et vos interfaces exposés sur internet — l’entrée dont on parle le moins et qui vaut à elle seule un projet.
Barracuda Backup
Sauvegarde de vos serveurs et de vos données Microsoft 365, avec une copie conservée hors de vos locaux. Le point qui compte est le temps de remise en service, et il s’essaie.
Managed XDR
Un centre de surveillance qui lit les signalements de tout ce qui précède, jour et nuit, et qui alerte. Pour une équipe de deux personnes, c’est ce qui remplace une astreinte impossible à tenir.
Comment nous procédons
Quatre étapes, et la première est celle qui peut réduire le projet. Elle se fait avant le devis, parce qu’une partie de ce que vous cherchez est peut-être déjà payée dans vos licences actuelles.
Ce que vos licences couvrent déjà
Nous relevons les licences Microsoft 365 en place et ce qu’elles incluent réellement en matière de filtrage des messages, puis nous le comparons à ce qui est activé dans votre organisation. Les deux ne coïncident presque jamais.
Il arrive que la conclusion soit d’activer ce que vous payez déjà plutôt que d’acheter autre chose. Nous vous l’écrivons.
Le relevé de vos accès entrants
Qui se connecte depuis l’extérieur, vers quoi, avec quel matériel. Les accès des prestataires, les machines de production joignables à distance et les liaisons entre sites sont relevés un par un.
La mise en service, sans coupure
Le nouvel équipement est installé et essayé en observation avant de prendre le trafic. Le filtrage des messages est d’abord posé en mode signalement, le temps de mesurer ce qu’il retiendrait à tort.
Un filtrage qui bloque un message légitime est désactivé dans le mois, et l’entreprise se retrouve alors moins surveillée qu’avant.
L’essai de remise en service
Nous restaurons pour de bon, sur du matériel de remplacement, et nous mesurons le temps que cela prend. C’est le seul moyen de savoir ce que vaut une sauvegarde.
Ce qu’il faut savoir avant de décider
Quatre questions qui reviennent à chaque projet, avec la réponse que nous donnons — y compris quand elle ne va pas dans notre sens.
Faut-il ajouter un filtrage devant Microsoft 365 ?
Pas toujours. Selon vos licences, une partie de la détection des messages frauduleux est déjà incluse, et beaucoup d’entreprises ne l’ont simplement jamais activée. Nous regardons cela en premier.
L’ajout se justifie quand vous avez besoin de ce que Microsoft ne fait pas : le retrait automatique des messages déjà lus, la sensibilisation mesurée des collaborateurs, ou une administration commune avec le reste.
Le nom « NG Firewall » existe-t-il encore ?
Il a été remplacé par Barracuda CloudGen Firewall en 2017. C’est la même famille de produits, sous un autre nom.
Un second nom est en train de bouger, et il vaut mieux le savoir avant de renouveler : CloudGen Access laisse la place à SecureEdge Access, et Barracuda publie une procédure de migration. Si vous exploitez l’un ou l’autre, nous regardons la version installée et jusqu’à quand elle reçoit des mises à jour.
Pourquoi Barracuda plutôt qu’un autre fournisseur ?
Parce qu’il couvre le réseau et la messagerie avec une administration commune, ce que peu de fournisseurs font, et parce qu’il reste exploitable par une équipe de deux personnes.
Nous installons aussi d’autres familles d’équipement. Savoir faire les deux est ce qui nous permet de vous conseiller sur vos enjeux plutôt que sur ce que nous savons vendre — et vous pouvez nous demander des références des deux côtés.
Qui administre tout cela ensuite ?
Un équipement de sécurité se maintient : versions, certificats, ajustement des filtrages, lecture des signalements. Sans ce suivi, il vieillit et finit par gêner sans plus rien retenir.
Vos équipes peuvent s’en charger, et nous les formons. Nous pouvons aussi en assurer l’exploitation, avec des horaires de disponibilité écrits dans le contrat.
Les questions qui viennent avec
La sécurité d’une entreprise ne se décide jamais sur un seul sujet. Voici les trois qui reviennent le plus souvent au même moment.
Empêcher les données de sortir
Le classement des documents sensibles et ce qui empêche un fichier de partir vers une adresse privée ou un service qui n’est pas administré.
Les ordinateursAdministrer les ordinateurs et les mobiles
Un ordinateur non mis à jour reste une entrée, quel que soit l’équipement placé devant lui. C’est le chantier qui accompagne toujours celui-ci.
L’exploitationFaire tenir tout cela dans la durée
Surveillance, mises à jour, lecture des signalements et horaires de disponibilité écrits. Ce que devient une installation quand personne ne s’en occupe.
Commençons par ce que vous payez déjà.
Avant de proposer un achat, nous relevons ce que vos licences Microsoft 365 couvrent et ce qui n’est pas activé. La réponse vous est remise par écrit — même quand elle est « activez ce que vous avez ».
Trois agences en Suisse romande : Renens, Sion et Châtel-Saint-Denis. Ce que nous offrons, c’est la rencontre des ingénieurs qui feront le travail.
Restaurer pour de bon, une fois
Remettre un serveur en service à partir de la sauvegarde, sur du matériel de remplacement, et chronométrer. C’est le seul chiffre qui compte le jour où cela arrive, et c’est celui que presque personne ne connaît.
Nous le mesurons avec vous.