Critical System Protection (CSP), commercialisé sous le nom Symantec Data Center Security, est un agent de sécurité déployé sur les serveurs et les postes critiques pour verrouiller les comportements autorisés au niveau du système d’exploitation. Dans une architecture zero trust, où chaque accès est vérifié en continu et où aucune confiance implicite n’est accordée, CSP agit comme le dernier rempart : il contrôle ce qui s’exécute sur la machine, même si l’attaquant a déjà franchi le réseau.
Segmentation des workloads avec Critical System Protection
La plupart des guides zero trust se concentrent sur la microsegmentation réseau, c’est-à-dire le cloisonnement du trafic entre zones. CSP intervient à un niveau différent : la segmentation au niveau du workload lui-même. L’agent applique des politiques de contrôle directement sur le serveur, indépendamment de la topologie réseau.
Concrètement, CSP restreint les processus, les appels système et les accès fichiers autorisés sur chaque machine. Un serveur de base de données n’a pas besoin de lancer un shell interactif ni d’écrire dans ses propres binaires. CSP interdit ces comportements par défaut, ce qui réduit la surface d’attaque même si un attaquant obtient un accès réseau légitime.
Cette approche est reconnue au-delà du périmètre Broadcom. Le cabinet KuppingerCole a classé Broadcom/Symantec comme leader dans son Zero Trust Leadership Compass 2026, en soulignant spécifiquement l’intégration de Symantec Data Center Security pour la segmentation des workloads comme composante structurante de la plateforme SSE.
Politiques de contrôle applicatif et zero trust sur les serveurs critiques
Le zero trust repose sur un principe : ne jamais accorder de confiance implicite, y compris aux processus locaux. CSP met ce principe en pratique grâce à des politiques de type allowlist. Seuls les binaires explicitement autorisés peuvent s’exécuter sur le système protégé.
Fonctionnement d’une politique allowlist CSP
L’administrateur définit un profil de référence pour chaque type de serveur (serveur web, contrôleur industriel, base de données). Ce profil liste les exécutables, bibliothèques et scripts autorisés. Tout processus non référencé est bloqué ou signalé selon le mode choisi.
Ce verrouillage complète les briques réseau du zero trust. Un pare-feu ZTNA peut autoriser un flux légitime vers un serveur, mais CSP bloque l’exécution de code malveillant même si ce flux transporte une charge utile piégée. Les deux mécanismes fonctionnent en couches indépendantes.
- Le ZTNA vérifie l’identité de l’utilisateur et la conformité du terminal avant d’autoriser la connexion réseau.
- CSP vérifie que le processus lancé sur le serveur correspond à la politique applicative définie pour cette machine.
- Le DLP intégré à la plateforme SSE contrôle les données qui transitent, en complément du contrôle d’exécution local.
Systèmes legacy et environnements OT dans une architecture zero trust
Les environnements industriels et les systèmes anciens posent un problème récurrent : ils ne supportent pas les agents de sécurité modernes, les mises à jour sont rares, et leur remplacement est souvent impossible pour des raisons de coût ou de certification. Le modèle zero trust appliqué à ces environnements doit tenir compte de ces contraintes.
CSP prend en charge des systèmes d’exploitation qui ne reçoivent plus de correctifs de sécurité. L’agent fonctionne sur des versions anciennes de Windows Server et sur certaines distributions Linux en fin de vie. Cette compatibilité permet d’appliquer des politiques zero trust sur des serveurs legacy sans exiger une migration vers une infrastructure récente.
Cas des réseaux SCADA et systèmes de contrôle industriel
Dans les environnements OT (systèmes SCADA, automates programmables, postes de supervision), la segmentation réseau traditionnelle reste la première ligne de défense. L’ANSSI recommande d’ailleurs que le modèle zero trust soit inclus dans une stratégie de défense en profondeur et ne remplace pas la défense périmétrique.
CSP s’insère dans cette logique de défense en profondeur : sur les postes de supervision qui tournent sous un OS standard, l’agent verrouille les applications autorisées. Un poste SCADA protégé par CSP n’exécute que le logiciel de supervision et ses dépendances, rien d’autre. Cette rigidité est un avantage dans un contexte où la moindre exécution non prévue peut compromettre un processus physique.
Intégrer CSP dans la plateforme SSE Symantec pour une protection unifiée
Déployer CSP seul sur des serveurs critiques apporte déjà une couche de protection significative. L’intérêt stratégique réside dans son intégration avec les autres briques de la plateforme Symantec SSE : ZTNA, CASB, DLP et passerelle web.
L’architecture SSE de Symantec centralise la gestion des politiques de sécurité réseau et applicatives dans une console unique. Les événements remontés par CSP (tentative d’exécution bloquée, modification de fichier système) alimentent le même pipeline de détection que les alertes réseau du ZTNA ou les violations DLP.
- Les alertes CSP sur un serveur peuvent déclencher automatiquement un durcissement des règles ZTNA pour les connexions entrantes vers cette machine.
- La corrélation entre un comportement réseau suspect (détecté par la passerelle) et une tentative d’exécution anormale (détectée par CSP) accélère la qualification d’un incident.
- Les politiques DLP s’appliquent aux données en transit tandis que CSP protège les données au repos sur le serveur, couvrant deux vecteurs d’exfiltration distincts.
KuppingerCole note que cette intégration entre SSE et Data Center Security est l’un des facteurs qui ont valu à Broadcom le statut de leader en innovation dans le domaine zero trust en 2026. La capacité à corréler la sécurité réseau et la sécurité des workloads dans une même plateforme réduit les angles morts entre équipes réseau et équipes infrastructure.
Toute stratégie zero trust qui se limite aux flux réseau et à l’identité des utilisateurs laisse un angle mort sur ce qui se passe réellement sur les machines protégées. CSP comble ce manque en appliquant le principe de moindre privilège au niveau des processus et des fichiers, là où les contrôles réseau s’arrêtent.
Pour les organisations qui gèrent des serveurs critiques, des systèmes legacy ou des environnements industriels, c’est la brique qui transforme une politique zero trust théorique en protection opérationnelle mesurable.
