Contrôle des applications avec Zenarmor : révéler le shadow IT et maîtriser plus de 5 000 apps sur votre réseau

Le contrôle des applications identifie l’application qui se cache derrière une connexion réseau et vous permet de l’autoriser ou de la bloquer, quels que soient le port ou l’adresse IP. Zenarmor le fait en couche 7, grâce à une base de plus de 5 000 applications dotée de signatures mises à jour dynamiquement. Vous voyez d’abord quelles apps sont réellement utilisées (le shadow IT), puis vous définissez une politique par utilisateur, groupe, VLAN, appareil et plage horaire.

Dans cet article, vous découvrirez pourquoi les règles classiques par port et par IP ne suffisent plus, comment déployer le contrôle des applications pas à pas sans perturber l’activité, comment encadrer l’IA générative et les services de partage de fichiers, et comment relier vos réglages à l’ISO 27001:2022, à NIS2 et au référentiel VDA ISA (TISAX). Nous écrivons avec une double casquette : auditeur principal (Lead Auditor) ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas.

Pourquoi les règles par port et par IP ne suffisent plus

Un pare-feu traditionnel décide selon la source, la destination, le port et le protocole. Cela fonctionnait lorsque chaque application utilisait son propre port. Aujourd’hui, presque tout passe par HTTPS sur le port 443 : Microsoft 365, WhatsApp Web, Dropbox, ChatGPT, les jeux en ligne et les outils d’accès à distance. Une règle du type « autoriser le port 443 » ne dit donc plus rien de ce qui circule sur la connexion.

• Les apps cloud partagent leur infrastructure. De nombreux services reposent sur les mêmes CDN et plateformes cloud. Les listes d’IP sont donc grossières, vieillissent vite et bloquent parfois des services légitimes au passage.
• Les apps changent de port et de protocole. Les logiciels pair-à-pair, VPN et d’accès à distance cherchent automatiquement un autre chemin lorsqu’un port est fermé.
• Les utilisateurs installent leurs propres outils. Un service de traduction gratuit, un assistant IA ou un compte personnel de partage de fichiers est utilisé en quelques secondes, sans que la DSI le sache.

Un pare-feu de couche 7 examine donc l’application elle-même. Zenarmor classe chaque connexion à l’aide de la Zenarmor Application Database, tenue à jour par des signatures dynamiques. Selon Zenarmor, le moteur identifie plus de 5 000 applications par leur nom, et pas seulement par port et protocole. Le contrôle des applications ajoute une couche au-dessus de vos règles L3/L4 existantes sur OPNsense, pfSense CE ou Linux ; il ne les remplace pas.

D’abord la visibilité, ensuite la politique : révéler le shadow IT

L’erreur la plus fréquente consiste à bloquer immédiatement. Vous ne savez pas encore quels processus métier vous allez casser, et c’est le support qui en paie le prix. Commencez donc par la visibilité. Les rapports et les Live Sessions de Zenarmor montrent quelles applications et catégories sont utilisées par utilisateur, appareil et segment.

Deux façons de démarrer sans risque :

• Mode routé avec une politique permissive. Zenarmor fonctionne en ligne, mais vous autorisez d’abord toutes les catégories d’applications et ne collectez que des données de reporting. Vous activez ensuite les blocages sans réinstallation.
• Mode passif. Zenarmor analyse une copie du trafic, par exemple via un port SPAN. D’après la documentation sur les modes de déploiement, ce mode ne permet pas de bloquer, mais offre un reporting complet. Idéal si vous souhaitez un état des lieux sans toucher au chemin réseau.

Au bout de deux à quatre semaines, vous disposez d’une image réaliste. Constats typiques d’une première mesure : stockage cloud personnel à côté du tenant de l’entreprise, plusieurs services de chat IA, outils d’accès à distance jamais validés, trafic torrent sur le réseau invités et streaming qui consomme la bande passante aux heures de pointe. C’est votre inventaire du shadow IT, et une donnée d’entrée directe pour votre analyse de risques.

Bloquer et autoriser par application et par catégorie

Dans Zenconsole comme dans l’interface locale de Zenarmor, les applications sont regroupées en catégories et sous-catégories. Chaque catégorie affiche le statut Allowed, Blocked ou Custom (une partie des apps bloquée). Vous pouvez :

• bloquer une catégorie entière, par exemple les jeux ou le pair-à-pair ;
• autoriser une seule app au sein d’une catégorie bloquée, une fois validée ;
• rechercher des apps par leur nom et les bloquer ou autoriser individuellement.

Une fois la configuration enregistrée, Zenconsole synchronise la politique vers les passerelles. Les Live Sessions et les rapports indiquent quelle politique, quelle app ou quelle catégorie a bloqué une connexion : pratique pour le support, et une preuve immédiate pour l’audit.

Politique par utilisateur, groupe, VLAN, appareil et plage horaire

Une politique Zenarmor peut être limitée par interface, VLAN, adresse IP ou sous-réseau, adresse MAC, appareils découverts et catégories d’appareils, utilisateurs et groupes, ainsi que par une plage horaire (jours et heures). Selon la documentation des politiques, tous les critères sont combinés par un ET logique. Vous pouvez ainsi exprimer : « groupe Production, VLAN 30, du lundi au vendredi de 7 h à 17 h ».

Pour les utilisateurs et les groupes, vous connectez une source d’identité telle que Microsoft Entra ID, Google Workspace, Okta ou un fournisseur SAML 2.0. Depuis Zenarmor 2.7, les politiques d’organisation peuvent aussi s’appuyer sur les utilisateurs et groupes Active Directory et LDAP. Sur OPNsense, un filtrage par utilisateur via le portail captif est également possible, par exemple pour les invités ou les postes partagés.

Pour l’IoT et l’OT, utilisez l’identification des appareils : Zenarmor reconnaît les types d’appareils et vous pouvez intégrer des catégories d’appareils dans une politique. Une caméra ou un automate ne se connecte pas avec un utilisateur, mais présente un schéma de trafic clairement attendu.

IA générative et partage de fichiers : ce qui est possible et ce qui ne l’est pas

La question que l’on nous pose le plus en ce moment : « peut-on encadrer ChatGPT et les autres outils d’IA ? » La réponse honnête comporte deux niveaux.

Niveau 1 : application et catégorie (contrôle des applications)

L’App DB contient une catégorie A.I. Tools ; la documentation cite Google Gemini en exemple. Vous pouvez bloquer toute la catégorie puis réautoriser le service validé, par exemple votre environnement professionnel Copilot ou ChatGPT. Il en va de même pour le partage de fichiers et le stockage cloud personnel : autoriser ou bloquer par app ou par catégorie, par groupe et par segment. Vérifiez dans votre propre Zenconsole comment chaque service est classé, car la base évolue avec le marché.

Niveau 2 : actions (CASB, à partir de SSE)

Si vous voulez autoriser un service tout en bloquant certaines actions – téléversement, partage ou suppression –, il vous faut les Cloud Access Rules (CASB). Elles sont disponibles à partir des éditions SSE et exigent une inspection TLS complète. La documentation mentionne aussi une inspection TLS par catégorie, par exemple pour la catégorie Generative AI, et précise que les connexions QUIC ne doivent pas rester autorisées. Les actions contrôlables varient selon le service. Pour un exemple détaillé sur les envois vers WeTransfer, lisez notre article SSE, CASB et DLP : bloquer les envois confidentiels vers WeTransfer.

Soyez également clair sur ce qui n’est pas possible : Zenarmor n’évalue pas le contenu de ce qu’un collaborateur saisit dans un prompt d’IA. Une DLP sensible au contenu exige des mesures complémentaires : classification des données, sensibilisation et règles dans votre politique d’usage de l’IA.

Exemples concrets de politiques

Le tableau ci-dessous présente des points de départ que nous utilisons en projet. Ce sont des exemples : les bons choix découlent de votre analyse de risques et de votre charte d’utilisation.

Environnement	Autoriser	Bloquer ou restreindre	Périmètre
Bureaux (collaborateurs)	Microsoft 365 ou Google Workspace, service d’IA validé, visioconférence, applications métier	Pair-à-pair, outils d’accès à distance non validés, autres A.I. Tools, stockage cloud personnel	Groupe « Collaborateurs » via Entra ID ou LDAP, VLAN bureaux
Wi-Fi invités	Web, e-mail, streaming courant	Pair-à-pair et torrents, outils d’accès à distance, services d’anonymisation et proxys (s’ils sont reconnus)	VLAN invités, portail captif, plage horaire facultative
Production / OT	Uniquement les applications industrielles et de maintenance nécessaires	Toutes les autres catégories ; outil de télémaintenance uniquement pendant la fenêtre de maintenance	VLAN OT, catégories d’appareils, plage horaire
Établissement scolaire (élèves)	Plateformes pédagogiques, bureautique, environnement d’examen	Jeux, réseaux sociaux et streaming pendant les cours ; A.I. Tools pendant les examens	VLAN ou groupe élèves, plage horaire calée sur l’emploi du temps

Associez toujours le contrôle des applications à la segmentation réseau. La segmentation détermine quelles zones peuvent communiquer entre elles ; le contrôle des applications détermine quelles apps sont autorisées dans ces zones et depuis celles-ci. Pour le trafic web lui-même – hameçonnage, logiciels malveillants, catégories comme les jeux d’argent – utilisez le filtrage web Zenarmor.

Conformité : correspondance avec ISO 27001, TISAX et NIS2

Le contrôle des applications n’est pas une fin en soi. Les auditeurs veulent voir que vous avez une politique et que la technique l’applique de manière démontrable. Zenarmor y contribue ; il ne vous rend pas conforme à lui seul. Voici comment relier les réglages aux référentiels :

Référentiel / mesure	Apport du contrôle des applications	Preuve pour l’auditeur
ISO 27001:2022 A.5.10 – Utilisation correcte	Application technique de la charte d’utilisation	Charte et export des catégories bloquées
ISO 27001:2022 A.8.20 – Sécurité des réseaux	Trafic réseau maîtrisé au niveau applicatif	Configuration, historique des modifications, rapports
ISO 27001:2022 A.8.22 – Cloisonnement des réseaux	Politiques d’applications différentes par VLAN ou segment	Vue d’ensemble des politiques par segment
ISO 27001:2022 A.5.23 – Utilisation de services cloud	Visibilité sur les services cloud réellement utilisés	Rapport des apps les plus utilisées, comparé à la liste validée
VDA ISA 1.3.3 / 1.3.4 – services informatiques externes et logiciels approuvés	Détecter et bloquer les services non approuvés	Comparaison périodique du rapport d’apps avec la liste validée
NIS2 art. 21, par. 2, points a), g) et i)	Politique de sécurité, cyberhygiène, contrôle d’accès et gestion des actifs	Politique, rapports, comptes rendus de revue

Pour l’ISO 27001, référencez ces mesures dans votre déclaration d’applicabilité (voir la norme ISO/IEC 27001:2022). Pour la chaîne automobile : TISAX® délivre des labels, pas des certificats. Les exigences VDA ISA 1.3.3 et 1.3.4 imposent que seuls des services informatiques externes et des logiciels évalués et approuvés soient utilisés (voir par exemple cette explication de l’ISA 1.3.3). La numérotation peut évoluer avec l’ISA2027. Pour aller plus loin, lisez notre article sur la préparation TISAX et la sécurité réseau. Pour NIS2, les obligations de gestion des risques figurent à l’article 21 de la directive (UE) 2022/2555 ; voir aussi ISO 27001 et NIS2. L’utilisation des rapports comme preuves est détaillée dans le reporting Zenarmor pour NIS2 et l’ISO 27001.

Déploiement en cinq étapes

Voici comment nous introduisons le contrôle des applications, de l’état des lieux à la revue régulière :

Vous gérez plusieurs sites ou clients ? Déployez la même politique de manière centralisée via Zenconsole, avec piste d’audit et sauvegarde des politiques. En France, pensez aussi à informer les salariés et à consulter le CSE avant de mettre en place un dispositif permettant de contrôler l’activité.

Limites : trafic chiffré et attentes réalistes

Le contrôle des applications est puissant, mais pas magique. Gardez à l’esprit les points suivants :

• TLS sans déchiffrement. Avec l’inspection TLS légère, fondée sur les certificats, Zenarmor lit dans la négociation TLS le nom d’hôte, la catégorie web et le type d’application. Cela suffit pour de nombreuses décisions. Lorsque les navigateurs utilisent Encrypted Client Hello (ECH), le nom d’hôte n’est plus visible, selon la documentation TLS.
• Un contrôle plus fin exige l’inspection TLS complète. Le contrôle des actions (CASB) et les règles au niveau de l’URL nécessitent un déchiffrement, avec votre propre certificat d’autorité sur les postes. Cela a des implications en matière de vie privée et de droit du travail ; lisez d’abord notre article sur l’inspection TLS avec Zenarmor.
• QUIC. Zenarmor recommande de bloquer le protocole QUIC ; les navigateurs se replient alors sur TCP, où l’inspection est plus fiable.
• Appareils hors du réseau. Un portable en télétravail ou un smartphone en 5G ne passe pas par votre passerelle. C’est le rôle des agents pour postes et mobiles (Windows, macOS, Linux, Android, iOS).
• La classification n’est jamais parfaite. De nouvelles apps apparaissent chaque jour : prévoyez dès le départ la revue mensuelle et le processus d’exception.