Qu'et-ce que la sécurité zero-trust ?

Les professionnels de la sécurité qui ont été actifs pendant un certain temps ont beaucoup d'expérience. Les droits concernaient tous des mots de passe forts, des pare-feux et des antivirus, et le maintien des correctifs logiciels. Ensuite, des exigences telles que la Health Insurance Portability and Accountability Act (HIPAA) et la Payment Card Industry Data Security Standard (PCI DSS) se sont concentrées sur des mesures de protection spécifiques aux données, notamment des contrôles d'accès basés sur l'identité et le chiffrement. Le cloud et les appareils mobiles ont apporté de nouveaux outils, processus et formations.

Bien sûr, les attaquants ont également fait évoluer leurs stratégies. En réponse, les organisations proactives utilisent de plus en plus les principes de zero-trust pour renforcer leurs positions de sécurité et protéger les actifs contre les accès et les manipulations non autorisés. Elles s'appuient sur une position « ne faites jamais confiance, vérifiez toujours » qui utilise une segmentation précise pour limiter la surface d'attaque et émet l'hypothèse que l'ennemi se trouve déjà à l'intérieur.

Maintenant, il s'agit de réduire la portée des dommages.

Qu'et-ce que la sécurité zero-trust ?

Un modèle de sécurité zero-trust utilise une authentification et une autorisation utilisateur fréquentes pour protéger les actifs tout en surveillant en permanence les signes de violation. La segmentation est utilisée pour limiter les données et les ressources auxquelles une entité peut accéder sans se réauthentifier. Parce que la sécurité zero-trust présume que le réseau a été pénétré par un agent de menace, les mesures de sécurité sont mises en œuvre en profondeur, plutôt que simplement au périmètre - le modèle « château et douves".

La sécurité de zero-trust, également connue sous le nom d'architecture de zero-trust ou de sécurité sans périmètre, suppose que personne et aucun appareil ou application n'est universellement fiable, que ce soit à l'intérieur ou à l'extérieur du réseau. Une vérification continue est requise. Cet accès est accordé en fonction du contexte de la demande, du niveau de confiance et de la sensibilité de l'actif. Une architecture de zero-trust est particulièrement efficace pour les entreprises qui utilisent des applications cloud et disposent de nombreux collaborateurs et emplacements à distance.

Une architecture à zero-trust utilise un modèle de sécurité qui vérifie chaque utilisateur, service et périphérique avant d'accorder l'accès à un segment limité du réseau, pour une durée limitée.

Points à retenir

• La sécurité de zero-trust déplace les cyberdéfenses des périmètres statiques basés sur le réseau vers les utilisateurs, les actifs et les ressources.
• La plupart des entreprises actuelles sont soumises à des réglementations en matière de confidentialité des données qui mettent l'accent sur des contrôles d'accès pointus, un principe de zero-trust.
• La sécurité zero-trust signifie simplement qu'une vérification fréquente et forte est nécessaire pour chaque utilisateur, appareil et application.
• La microsegmentation, qui revient à diviser le réseau en zones confinées et contrôler les mouvements entre elles, est la clé du succès avec une sécurité de type zero-trust.

La sécurité zero-trust expliquée

Le NIST, l'Institut national des normes et de la technologie, définit l'approche zero-trust comme un ensemble évolutif de paradigmes de cybersécurité qui déplacent les défenses des périmètres statiques basés sur le réseau pour se concentrer sur les utilisateurs, les actifs et les ressources. Le principe zero-trust suppose qu'il n'y a pas de confiance implicite accordée aux actifs ou aux comptes utilisateur basés uniquement sur l'emplacement physique ou réseau (réseaux locaux par rapport à Internet) ou sur le fait qu'un actif soit une entreprise ou une propriété personnelle.

La sécurité zero-trust annule la confiance implicite et dépend plutôt de contrôles IAM (Identity and Access Management) solides qui permettent aux entreprises d'autoriser uniquement les personnes, appareils et applications autorisés à accéder à leurs systèmes et données. Une approche de sécurité zero-trust a quelques principes clés :

• On s'attend à ce que les acteurs de la menace opèrent déjà dans le réseau, de sorte que le service informatique devrait présumer des violations.
• Un environnement de zéro-trust refuse l'accès par défaut. Toutes les ressources techniques et humaines sont interrogées pour fournir une autorisation/authentification au niveau de la transaction.
• Le niveau de protection des actifs est basé sur la valeur. Les ressources ne sont accessibles qu'après authentification et avec l'autorisation requise. En outre, la vérification continue des autorisations devrait avoir lieu et l'accès inutile devrait être révoqué.
• Le réseau est segmenté, et il n'y a pas de ressource ni d'espace qui ne nécessite pas de sécurité.
• L'analyse avancée, qui utilise souvent l'IA, permet de repérer les comportements anormaux et d'agir immédiatement pour bloquer les intrus.

La sécurité zero-trust prend également une approche de défense en profondeur. La défense en profondeur, parfois appelée sécurité en couches, implique l'implémentation de divers contrôles de sécurité à différents points au sein d'un système pour protéger le réseau, les systèmes et les données d'une organisation. C'est analogue à un château qui comporte de multiples mesures défensives, et où passer les douves ne vous donne pas accès aux joyaux de la couronne. Il y a aussi des grilles, de fortes portes verrouillées et des archers dans les tourelles.

Les contrôles approfondis de la défense peuvent être physiques, techniques ou administratifs. Les mesures de sécurité physiques comprennent des clôtures, des systèmes de contrôle d'accès et des agents de sécurité pour protéger les data centers. Les contrôles techniques comprennent les pare-feux, les systèmes de détection/prévention des intrusions (IDS/IPS), le chiffrement des données et les logiciels anti-malware pour fournir des barrières techniques. Les mesures administratives, telles que les politiques, les procédures, la formation à la sensibilisation à la sécurité et les contrôles d'accès, visent à aborder l'élément humain de la sécurité.

Pourquoi il est important d'utiliser un modèle de zero-trust?

Il est important d'utiliser un modèle de zero-trust car l'approche traditionnelle consistant à laisser libre cours aux utilisateurs et aux appareils dans une zone de confiance implicite ou lorsqu'ils sont connectés via un VPN ne fonctionne tout simplement pas. Ces modèles périmétriques obsolètes ne sécurisent pas nos données car les limites organisationnelles ne sont plus limitées aux systèmes on-premises. Les télétravailleurs et les appareils mobiles sont externes au périmètre du réseau, et l'adoption des technologies cloud étend encore la limite de sécurité. Pendant ce temps, les cyberattaques continuent de devenir plus complexes et sévères. Une attaque de ransomware réussie peut paralyser une organisation, entraînant la perte de fonctionnalités critiques et l'exposition d'informations sensibles. Aucune organisation n'est à l'abri : les attaquants ont racheté avec succès de grandes entreprises, des municipalités et même des hôpitaux.

Il est crucial d'adopter une approche plus agressive pour sécuriser nos systèmes et données.

À mesure que l'utilisation des services cloud se développe rapidement, elle crée également de nouvelles cibles pour les cybercriminels. Un exploit populaire consiste à voler ou deviner les informations d'identification d'un administrateur ou d'une application privilégié, puis à se déplacer librement sur le réseau. Une implémentation de zero-trust permet de réguler de manière précise l'accès aux systèmes, réseaux et données. C'est pourquoi un nombre croissant d'entreprises passent à un modèle de sécurité zero-trust pour réduire le risque de violation de données, détecter les incidents de cybersécurité et prévenir les dommages causés par les cyberattaques.

Cadres de sécurité zero-trust du gouvernement fédéral

Le sujet de la sécurité zero-trust est un sujet majeur pour le ministère de la Défense des États-Unis (DoD), et le gouvernement américain dans son ensemble. En mai 2021, la Maison Blanche a publié le décret exécutif 14028, ordonnant aux agences fédérales de protéger et de sécuriser leurs systèmes informatiques en adoptant les bonnes pratiques de sécurité et en s'orientant vers une architecture de zero-trust, que les responsables considèrent comme un outil majeur pour atteindre cette stratégie de sécurité.

Il existe plusieurs modèles et cadres disponibles pour aider les équipes à développer une architecture de zero-trust. Le NIST a conçu un modèle basé sur six principes, publié dans la publication spéciale 800-207. La Cybersecurity and Infrastructure Security Agency (CISA) a récemment publié la version 2.0 de son modèle de maturité Zero Trust, qui comprend cinq piliers.

Enfin, la Defense Information Systems Agency (DISA) a publié une architecture de référence qui aligne la technologie d'entreprise sur sept piliers.

Toutes ces agences visent à aider les organisations à adopter une stratégie de zero-trust. Ces modèles et leurs architectures associées apportent de la structure et aident à définir le budget et les efforts nécessaires pour réussir.

Comment fonctionne une approche de sécurité zero-trust ?

L'approche zero-trust fonctionne simplement en ne faisant jamais confiance implicitement à une demande de données, d'applications ou de ressources et en supposant que le demandeur pourrait être un mauvais acteur. Lorsque vous regardez la sécurité à travers ce prisme, le résultat est de nouveaux niveaux de finesse dans les outils et les stratégies. Le développement d'une architecture de sécurité zéro-trust commence par l'identification des données sensibles et des applications critiques, ainsi que des utilisateurs autorisés et des flux de données. Il existe un plan de contrôle, composé d'un contrôleur de stratégie, et l'automatisation et l'orchestration sont essentielles. Il n'y a aucun moyen pour les équipes informatiques d'atteindre le niveau de vigilance nécessaire. Cela comprend une approche intégrée ainsi que l'IA / ML.

Une architecture zero-trust suit six principes tels qu'énoncés par le NIST.

• Toutes les sources de données et les services informatiques sont considérés comme des ressources qui nécessitent des mesures de sécurité. Rien ne doit rester non sécurisé.
• Toute communication doit être sécurisée indépendamment de l'emplacement du réseau ; l'emplacement du réseau n'implique pas la confiance.
• L'accès aux ressources individuelles de l'entreprise est accordé sur la base de chaque connexion ; la confiance dans le demandeur est évaluée avant que l'accès ne soit accordé.
• L'accès aux ressources est déterminé par la stratégie, y compris l'état observable de l'identité de l'utilisateur et du système demandeur. L'évaluation peut inclure d'autres attributs comportementaux.
• L'organisation s'assure que tous les systèmes détenus et associés sont dans l'état le plus sûr possible et surveillera les systèmes pour s'assurer qu'ils restent ainsi.
• L'authentification des utilisateurs est dynamique et strictement appliquée avant que l'accès ne soit autorisé. Il s'agit d'un cycle constant d'accès, d'analyse et d'évaluation des menaces, d'adaptation et d'authentification continue.

Une architecture zero-trust utilise un modèle de sécurité qui vérifie chaque utilisateur, service et périphérique avant d'accorder l'accès à un segment limité du réseau pendant une durée limitée.

Principes fondamentaux de l'approche zero-trust

Principes fondamentaux de l'approche zero-trust sont visibles à travers le prisme des Huit principes de zero-trust développés par le National Cyber Security Centre (NCSC) du gouvernement britannique. Ces principes constituent un cadre utile que les organisations peuvent prendre en compte lorsqu'elles se lancent dans la construction d'une architecture à zero-trust.

En outre, la mise en œuvre de la sécurité zéro-trust peut impliquer un ajustement culturel important pour les organisations.

1. Connaissez votre architecture, y compris les utilisateurs, les appareils, les services et les données

La conception d'une architecture de sécurité requiert une bonne compréhension des ressources existantes. La plupart des entreprises travaillent régulièrement pour documenter et évaluer les utilisateurs, les appareils, les services et les données dont elles ont besoin pour se protéger. Pour une mise en œuvre de sécurité zero-trust, entreprendre une activité de découverte d'actifs ne sera probablement pas un exercice purement technique mais impliquera plutôt des tâches telles que l'examen de la documentation du projet et des enregistrements des achats et des conversations avec des collègues. Dans de nombreux cas, les ministères et les secteurs d'activité ont mis en œuvre leurs propres systèmes.

2. Connaissez l'identité de vos utilisateurs, services et appareils

L'identité peut être associée à un humain, à une application ou à un appareil. Tout doit être identifié pour déterminer si quelqu'un ou quelque chose devrait avoir accès aux données ou aux services. Comme nous l'avons vu, le passage progressif au cloud a accéléré l'érosion du périmètre du réseau traditionnel. Avec cela, l'identité est reconnue comme le nouveau périmètre. Les plateformes d'identité permettent de gérer les identités utilisateur, les attributs et les privilèges d'accès. Bien que votre plateforme d'identité puisse servir de référentiel d'identités principal, de nombreuses entreprises disposeront de plusieurs systèmes de gestion des identités. Tous ces systèmes doivent être découverts et gérés à la mesure qu'une organisation vise à construire une architecture zero-trust.

3. Evaluez le comportement des utilisateurs et l'état des services et des appareils

Le NCSC recommande de surveiller en permanence les « signaux de santé » des utilisateurs et des périphériques. Ces signaux sont des indicateurs comportementaux et système qui permettent à un moteur de politique d'évaluer la fiabilité et la cybersécurité, afin qu'il puisse prendre des décisions d'accès avec un degré de confiance. Par exemple, vous voudrez peut-être connaître l'emplacement géographique à partir duquel un ordinateur portable tente de se connecter. Pour un utilisateur sur la côte Est des États-Unis, une tentative de connexion lorsqu'il est 3 heures du matin à New York peut attirer votre attention.

4. Utilisez des stratégies pour autoriser les demandes

L'une des caractéristiques d'une architecture à zero-trust est que vous définissez des stratégies d'accès, qui sont exécutées par votre moteur de stratégies. Les décisions politiques doivent tenir compte des signaux de santé que nous avons mentionnés, y compris les informations de connexion historiques et en temps réel, afin d'offrir la confiance que le demandeur est authentique et que l'appareil est en bonne santé cybernétique. Le NCSC indique qu'une action à fort impact, telle que la création d'un nouvel utilisateur de niveau administrateur ou le téléchargement d'une liste de clients, devrait répondre à des exigences stratégiques strictes par rapport à une action à faible impact, telle que la vérification de l'horaire de travail. Lorsque vous choisissez des technologies pour votre architecture de zero-trust, évaluez comment les fournisseurs collectent des signaux et les prennent en compte dans leur contrôle d'accès. Ils doivent inclure, au minimum, le rôle et l'emplacement physique de l'utilisateur, les facteurs d'authentification, l'état de l'appareil, l'heure de la journée, la valeur du service auquel il souhaite accéder et le risque de l'action demandée.

5. Authentifiez et autorisez sur tous les dispositifs

Si nous supposons que le réseau est hostile et qu'un attaquant est dans le système, nous devons sans aucun doute avoir des méthodes d'authentification solides et créer des applications pour accepter les décisions d'accès à partir d'un moteur de stratégie. Vous verrez une meilleure acceptation culturelle dans toute l'organisation si cette authentification forte n'empêche pas l'utilisation d'un service. Le NCSC suggère de demander des facteurs d'authentification supplémentaires uniquement lorsque les demandes ont un impact plus important, par exemple pour les données sensibles ou les actions privilégiées, y compris la création de nouveaux utilisateurs. Envisagez l'accès avec connexion unique, l'authentification multifacteur et les méthodes d'authentification sans mot de passe pour une expérience utilisateur forte, cohérente et positive sur tous vos services.

6. Concentrez votre surveillance sur les utilisateurs, les appareils et les services

Les logiciels de surveillance doivent être installés sur les appareils et les données générées par ces systèmes doivent être exportées via un mécanisme de transport sécurisé, tel qu'un VPN, vers un emplacement central pour analyse. Si vous autorisez les appareils personnels ou invités dans votre environnement, vous pouvez décider de ne pas faire confiance à ces appareils au même degré que ceux que vous pouvez entièrement surveiller.

7. Ne faites confiance à aucun réseau, y compris le vôtre

La zero-trust considère le réseau comme hostile, dit le NCSC, et conseille de ne pas faire confiance à une connexion entre l'appareil et le service auquel il accède, y compris les LAN. Les communications pour accéder aux données ou aux services doivent utiliser un transport sécurisé, tel qu'un protocole TLS (Transport Layer Security) qui chiffre les données. Le NCSC recommande également de surveiller les attaques telles que l'usurpation d'identité DNS et l'usurpation d'identité, de rejeter les connexions entrantes non sollicitées et d'utiliser le chiffrement et l'encapsulation.

8. Choisissez des services conçus pour une sécurité zero-trust

Dans une architecture de zero-trust, vous ne pouvez pas faire confiance au réseau, de sorte que les services doivent être conçus pour se protéger des sources potentielles d'attaque. Certains systèmes hérités auront besoin d'une mise à niveau importante et coûteuse et peuvent encore avoir des problèmes d'utilisabilité. Le NCSC déconseille de « réinventer la roue », privilégiant les produits et services qui ont été conçus et construits pour une architecture de zero-trust. Dans la mesure du possible, utilisez des technologies basées sur des normes qui permettent l'interopérabilité, telles qu'OpenID Connect, OAuth 2.0 ou SAML, et demandez aux fournisseurs de services cloud leur soutien pour une sécurité à zero-trust.

Avantages de la sécurité zero-trust

Une posture de sécurité réseau courante est axée sur l'arrêt des menaces provenant de l'extérieur du périmètre du réseau, mais peut laisser les données vulnérables au vol depuis l'intérieur du réseau. La sécurité du périmètre dépend des pare-feux, des VPN, des systèmes de détection des intrusions et d'autres technologies que les cybercriminels peuvent savoir violer. Cela signifie qu'une personne disposant des informations d'identification correctes peut accéder à n'importe quel site, application ou dispositif du réseau. Avec la sécurité zero-trust, personne n'est fiable par défaut, que ce soit à l'intérieur ou à l'extérieur du réseau.

Les autres principaux avantages sont les suivants :

• Surface d'attaque réduite. Puisque la sécurité zero-trust applique le principe du moindre privilège, vous avez en fait une surface d'attaque active plus petite. Tout le monde et tout est suspect. Cependant, les utilisateurs et les périphériques ne disposent que du niveau d'accès minimal nécessaire à l'exécution de leurs tâches. Cela limite les dommages potentiels d'une violation. Imaginez une boutique qui donne aux clients l'accès à un seul produit à la fois au lieu de les laisser naviguer librement et de les surveiller de près, c'est l'essence même du moindre privilège. Oui, chaque actif est une surface d'attaque, mais l'accès est considérablement restreint.
• Impact réduit des attaques. En partitionnant stratégiquement le réseau en microsegments et en coupant ainsi les mouvements latéraux, une attaque réussie se limite à un petit ensemble d'actifs compromis. Et puisque vous appliquez maintenant des exigences d'accès plus strictes aux données et aux systèmes de plus grande valeur, vous vous attendez à ce qu'un attaquant finisse par obtenir quelque chose de trivial, pas votre liste de clients.
• Réduction du temps et du coût de récupération. Une architecture de zero-trust devrait conduire à des attaques de moins en plus limitées qui nécessitent moins de temps et d'argent pour être nettoyées. Limiter les mouvements latéraux empêche un attaquant de libérer un accès de niveau inférieur pour explorer davantage votre réseau, et les principes de zero-trust s'intègrent bien avec les solutions de prévention des pertes de données (DLP) pour empêcher l'exfiltration de données sensibles à partir du réseau. La sécurité zero-trust aide également à minimiser le besoin d'efforts coûteux de notification des violations.
• Contrôle d’accès. Avec une sécurité zero-trust, seuls les utilisateurs autorisés et les périphériques basés sur une stratégie plutôt que sur l'emplacement physique peuvent même tenter d'accéder, réduisant ainsi le nombre de points d'entrée potentiels. Cette approche facilite la mise en correspondance des contrôles et minimise les dommages potentiels si un acteur malveillant obtient un accès via des informations d'identification compromises ou un appareil vulnérable.
• Renforcement de la conformité. De nombreuses réglementations de conformité, telles que le RGPD et l'HIPAA, soulignent l'importance des mécanismes de contrôle d'accès robustes. Etant donné que la zero-trust impose l'accès au moindre privilège, en accordant aux utilisateurs uniquement les autorisations minimales nécessaires à leurs tâches, l'architecture s'aligne bien sur les exigences de conformité pour restreindre l'accès aux données sensibles.
• Augmentez la visibilité et la surveillance. La sécurité zero-trust élimine le concept de confiance intrinsèque d'un individu ou d'un appareil dans le périmètre du réseau. Tout le monde et tout ce qui demande un accès, quel que soit son emplacement, doit être vérifié en permanence. En enregistrant ces interactions, vous optimisez la visibilité et donnez aux systèmes de surveillance les données nécessaires pour informer rapidement le service informatique des anomalies qui pourraient indiquer une violation.

Cas d'utilisation Zero Trust

Le concept de sécurité zero-trust a gagné beaucoup de place ces dernières années, en particulier parmi les organisations qui sont des cibles privilégiées pour les cyberattaques, telles que les banques, les entreprises d'investissement et d'autres institutions financières qui traitent des données financières sensibles, et les organisations de soins de santé, qui détiennent une multitude de données patient soumises à des réglementations en matière de confidentialité. Comme nous l'avons mentionné, les organismes gouvernementaux utilisent également la zero-trust pour protéger les données et les infrastructures essentielles. Les entreprises dotées d'environnements informatiques modernes, c'est-à-dire celles qui dépendent fortement d'applications et de services cloud, disposent d'une main-d'œuvre à distance et/ou maintiennent des infrastructures numériques volumineuses et complexes, l'apprécient particulièrement.

À un niveau plus fin, il y a des domaines où la zero-trust entre en jeu.

• Accès à l'application. À un moment donné, les applications résidaient généralement dans un périmètre réseau défini, par exemple sur le serveur d'un bureau local. Les collaborateurs ont obtenu un accès en fonction de leur emplacement, par exemple sur le réseau Wi-Fi local de l'entreprise. Aujourd'hui, les utilisateurs peuvent travailler à distance et les applications peuvent être utilisées n'importe où. Pour gérer plus facilement l'accès, le service informatique peut déployer un système de contrôle central, souvent appelé broker de confiance, pour authentifier l'utilisateur demandant l'accès à une application, vérifier la sécurité de l'appareil et accorder l'accès uniquement aux ressources spécifiques dont l'utilisateur a besoin selon le principe du moindre privilège.
• Sécurité du Cloud. La sécurité zero-trust est une excellente stratégie pour toute entreprise qui utilise des ressources cloud. Les collaborateurs peuvent y accéder où qu'ils se trouvent grâce à un processus d'authentification fort, souvent à l'aide d'une authentification multifacteur. Le système prend ensuite en compte des facteurs tels que le rôle utilisateur, le périphérique, l'emplacement et la ressource cloud spécifique pour déterminer si l'accès doit être accordé. Cela minimise les dommages potentiels si les informations d'identification cloud sont compromises.
• Protection des données. Les données sont vulnérables dans un modèle de sécurité centré sur le réseau qui utilise uniquement des protections de base, telles que le nom d'utilisateur et le mot de passe. Les attaquants ont montré qu'ils pouvaient contourner ces mesures. Un environnement de zero-trust mettant l'accent sur les stratégies et les protections centrées sur les données ajoutera, par exemple, des couches supplémentaires de chiffrement pour les données en transit. Le service informatique peut également définir des stratégies dynamiques à l'aide du contrôle d'accès basé sur les attributs (ABAC). Lorsque le contrôle d'accès traditionnel repose souvent sur des rôles prédéfinis, tels que l'administrateur ou l'éditeur, ABAC se concentre plutôt sur des attributs, tels que le service, le lieu, l'intitulé de l'emploi, l'autorisation de sécurité, le type de données, le propriétaire du document, la méthode d'accès, ainsi que l'emplacement physique et le type du périphérique. Cela permet de définir très précisément les autorisations d'accès en fonction des attributs définis par l'organisation. Il s'agit d'une protection potentiellement très précise qui nécessite souvent des modifications du code d'application.
• Sécurité de l'adresse. Une plateforme de zero-trust aide à protéger les actifs en communiquant de manière proactive avec le logiciel de sécurité du point de terminaison sur l'appareil d'un utilisateur pour évaluer son état de sécurité. Le système d'exploitation est-il à jour ? Un malware est-il détecté ? Est-ce personnel ou appartient-il à l'entreprise ? En fonction des données collectées, la plateforme de zero-trust accorde ou refuse l'accès. L'activité de l'utilisateur et l'état de l'appareil sont surveillés en permanence par la plateforme de zero-trust pour tout comportement suspect.
• Gestion des identités et des accès. IAM est un pilier du modèle de zero-trust de CISA. Il pose les bases de l'architecture en définissant qui peut accéder aux ressources. IAM implique des méthodes d'authentification fortes, y compris l'authentification multifacteur, ainsi que des mécanismes de provisionnement des utilisateurs et de contrôle d'accès, tels que le contrôle d'accès basé sur les rôles (RBAC) et la gestion des accès privilégiés pour protéger les données sensibles.
• Sécurité de l'Internet des objets (IoT). Les entreprises disposant de programmes IoT trouvent souvent une sécurité de zero-trust inestimable pour protéger un grand nombre d'appareils, souvent dans des endroits éloignés et pour collecter des données sensibles. Les technologies de sécurité traditionnelles basées sur le périmètre ne sont tout simplement pas efficaces pour les appareils IoT, qui peuvent avoir des interfaces utilisateur limitées et s'appuyer sur des processus automatisés, ce qui rend les anciennes méthodes d'authentification difficiles. Etant donné que la sécurité zero-trust vérifie en permanence toutes les entités demandant un accès, elle garantit que seuls les périphériques IoT autorisés puissent se connecter au réseau. Et le principe du moindre privilège signifie que les périphériques IoT obtiennent le niveau d'accès minimal nécessaire pour fonctionner. Cela réduit les dommages potentiels en cas de compromission de l'appareil. De plus, une approche zero-trust peut évoluer pour s'adapter à des environnements IoT à grande échelle.
• Segmentation réseau. Bien que la sécurité du réseau traditionnelle se concentre sur la sécurisation du périmètre du réseau, la zero-trust adopte une approche plus fine, segmentant le réseau en petites zones et contrôlant le flux de trafic entre elles. Les nouvelles stratégies de zero-trust utilisent des techniques de microsegmentation qui réduisent encore plus la taille des zones. Pour ce faire, utilisez des pare-feux plutôt que des routeurs entre les segments. Bien que la sécurité soit améliorée, les performances peuvent en pâtir. L'évolution des petits segments dépend à la fois des besoins en matière de sécurité et des performances du pare-feu.
• PAM (Privileged Access Management). La sécurité zero-trust et le PAM sont des concepts de sécurité distincts qui fonctionnent bien ensemble. Les systèmes PAM se concentrent spécifiquement sur la sécurisation des comptes privilégiés, c'est-à-dire les comptes utilisateur avec des autorisations élevées qui accordent l'accès aux systèmes et aux données critiques. Ces comptes sont des cibles privilégiées pour les attaquants. Pensez à un DAF ayant accès à tous les dossiers financiers et bancaires, ou à un administrateur système de haut niveau. Le module PAM repose sur trois piliers : l'authentification multifacteur, les outils ponctuels qui n'accordent un accès privilégié que pendant le temps nécessaire, et la surveillance et la journalisation des sessions pour enregistrer exactement ce que les utilisateurs privilégiés font à un moment donné, pour, espérons-le, détecter les comportements suspects.
• Accès à distance. La montée du travail depuis n'importe où est un argument en faveur de la zero-trust, car il n'y a plus de périmètre réseau, et les VPN apportent leur propre ensemble de problèmes. Une stratégie de zero-trust rend l'octroi d'un accès à distance plus sûr car elle vérifie constamment les utilisateurs sans leur intervention grâce à des méthodes d'authentification fortes, puis n'accorde aux utilisateurs à distance que le niveau d'accès minimal nécessaire pour effectuer leurs tâches. Les organisations peuvent écrire des stratégies qui définissent à quoi ressemble cet accès minimal. La zero-trust est également sensible au contexte, c'est-à-dire qu'elle prend en compte des facteurs tels que l'identité de l'utilisateur, la posture de sécurité de l'appareil, l'emplacement et la ressource spécifique à laquelle on accède lors de la détermination des droits d'accès.
• Accès par des tiers. Accorder l'accès à des tiers dans un environnement de zero-trust nécessite un passage de l'approche traditionnelle à « jamais de confiance, toujours vérifier ». Outre les principes d'accès à distance décrits ci-dessus, les entreprises peuvent souhaiter configurer leurs systèmes IAM pour gérer les identités et l'accès des utilisateurs tiers. Élaborez une stratégie de création, de provisionnement et de résiliation de comptes en fonction du partenaire individuel. Envisagez un système d'accès réseau de zero-trust (ZTNA) pour provisionner des tunnels sécurisés vers des ressources spécifiques sans accorder d'accès à l'ensemble du réseau. Les outils de surveillance ponctuels et de sessions utilisés pour les utilisateurs internes privilégiés sont également pratiques pour les partenaires.

7 étapes de l'implémentation de la zero-trust

Atteindre la sécurité zero-trust est un parcours continu, pas un projet ponctuel. Vous n'avez pas non plus besoin de réinventer la roue, envisagez d'utiliser l'un des modèles du NIST, du CISA, de la DISA ou du NCSC comme feuille de route technique. En ce qui concerne le projet, prévoyez de mettre en œuvre la zero-trust par étapes afin de minimiser les perturbations et de permettre aux collaborateurs, aux partenaires et au personnel informatique de s'adapter. Communiquer clairement la raison d'être de l'effort aux intervenants et répondre de manière transparente à toute préoccupation. Choisissez également soigneusement les produits de sécurité qui peuvent évoluer pour s'adapter à la croissance et à l'évolution de la réalité de la sécurité.

Etapes supplémentaires pour réussir :

1. Identifiez et hiérarchisez vos ressources. Une approche de sécurité zero-trust consiste à protéger les données sensibles et précieuses. Pour ce faire, vous devez connaître ce que vous avez. Cette carte servira de base à votre plan de zero-trust.

2. Identifiez vos utilisateurs et leurs besoins. Un modèle de zero-trust nécessite de capturer des informations sur les utilisateurs, de gérer leur identité et d'organiser leurs privilèges d'accès. Mettez en correspondance toutes les personnes et tous les systèmes qui accèdent à vos ressources, à la recherche de privilèges inutiles.

3. Mettez en correspondance votre stratégie de zero-trust. Planifiez la manière dont vous allez concevoir pour atténuer les risques en fonction de vos actifs et de vos utilisateurs. Prenez en compte votre budget, vos ressources informatiques et la complexité de votre infrastructure lors de la détermination du calendrier pour chaque phase.

4. Effectuez une analyse de vos données. Examinez attentivement ces données lorsque les systèmes identifient des anomalies dans l'accès aux données et détectent les tentatives d'accès aux systèmes en dehors de la stratégie. Presque toutes les activités sont répétitives, de sorte que les anomalies sont souvent un indicateur précoce d'une tentative de vol de données. Faites en sorte que cette information fonctionne pour vos efforts d'atténuation.

5. Mappez vos flux de trafic. Zéro sur les dépendances ici. Toutes les personnes et tous les systèmes capables d'accéder à une base de données contenant des données sensibles ont-ils besoin de ces informations ?

6. Automatiser à tous les niveaux possibles. Remplissez vos lacunes avec des améliorations de processus et des outils. Sans surveillance automatisée des ressources et des activités, par exemple, il est peu probable que les entreprises réussissent sans aucune confiance. Faire le bon travail exige des outils de sécurité modernes, y compris un système IAM robuste pour gérer de manière centralisée les identités des utilisateurs et les droits d'accès et l'authentification multifacteur (MFA) pour vérifier toutes les tentatives d'accès. Le chiffrement des données inactives et en mouvement est essentiel pour protéger les données sensibles contre les accès non autorisés.

7. Mettez en place des mesures. Définissez la façon dont vous allez mesurer le succès de votre implémentation à zero-trust. Les indicateurs clés de performance pourraient inclure une réduction des privilèges d'accès, une augmentation de l'utilisation de l'authentification multifacteur et l'adhésion des dirigeants et des responsables de secteur d'activité.

11 bonnes pratiques de zero-trust

Dans son modèle de zero-trust, la CISA souligne que la plupart des grandes entreprises, y compris le gouvernement fédéral, sont confrontées à des défis communs. Les systèmes hérités reposent souvent sur une « confiance implicite », dans laquelle l'accès et l'autorisation sont rarement évalués en fonction d'attributs fixes. Les changements qui peuvent nécessiter des investissements importants ainsi que l'adhésion d'un large éventail de parties prenantes, y compris les dirigeants, les partenaires et les fournisseurs. Parmi les bonnes pratiques figurent :

1. Vérification et authentification. La base de la zero-trust nécessite une authentification vérifiée de chaque utilisateur et appareil, chaque fois qu'ils demandent l'accès aux systèmes, réseaux et données. Ce processus implique la validation des identités et des droits d'accès associés à un système particulier. Par exemple, un employé peut s'authentifier le matin pendant une période définie à l'aide d'un service d'autorisation, tel que OAuth, qui émet des jetons valides pendant une période limitée. Lorsqu'il a besoin d'accéder à une base de données, ses droits pour ce système sont confirmés par le jeton. La sécurité zero-trust conseille également des contrôles avancés, tels que l'analyse du comportement, pour les appareils. Les logs et journaux permettent au service informatique de suivre les activités, de créer des rapports et d'appliquer des stratégies.

2. Utilisez la microsegmentation. Plus vous pouvez limiter les mouvements latéraux sans dégrader les performances, mieux c'est. CISA recommande des microperimètres d'entrée/sortie distribués et une microsegmentation étendue basée sur des architectures d'application avec une connectivité dynamique juste à temps et juste suffisante. Cela ne veut pas dire utiliser des pare-feux partout. Les techniques de microsegmentation comprennent des machines virtuelles pour chaque application, le chiffrement du trafic est/ouest et la création de réseaux définis par logiciel au sein du réseau physique afin d'isoler et de sécuriser efficacement des segments individuels. Les algorithmes de routage intelligents peuvent aider à optimiser les flux de trafic et à réduire la latence. Un suivi et un réglage réguliers de la stratégie de segmentation sont également essentiels pour équilibrer les performances et la sécurité du réseau.

3. Suivi continu. La zero-trust implique l'implémentation de systèmes qui surveillent et consignent l'activité des utilisateurs et l'état du système. Baser la surveillance du réseau sur des indicateurs de compromis connus et comprendre que vous allez affiner vos processus au fil du temps pour combler les lacunes de visibilité. Un système qui utilise l'IA apprendra à quoi ressemble un comportement normal, puis surveillera les anomalies et en informera.

4. Journalisation en fonction du contexte. Les entrées de journal contiennent des tentatives d'accès et des informations contextuelles, telles que l'identité de l'utilisateur, les détails du périphérique et la ressource spécifique à laquelle vous avez accédé. Ces données permettent une analyse complète et aident à identifier les incidents de sécurité potentiels ou les activités suspectes. Les systèmes de surveillance créent un journal d'audit détaillé qui peut être utile pour démontrer la conformité aux réglementations qui nécessitent un suivi de l'accès aux données. Encore une fois, les outils basés sur l'IA peuvent améliorer la détection.

5. Chiffrement omniprésent. Les données constituent l'actif le plus important pour la plupart des entreprises. La protection des données au repos, en transit et en cours d'utilisation exige un chiffrement omniprésent et une surveillance des activités pour détecter les tentatives d'accès non autorisé.

6. Accès réduisant les privilèges. Dans le contexte de la zero-trust, l'accès au moindre privilège est un principe fondamental, et assez explicite. Cela nécessite d'accorder aux utilisateurs, aux applications et aux périphériques uniquement l'accès minimal nécessaire pour effectuer leurs tâches. Cela n'indique pas un manque de confiance dans les collaborateurs, mais plutôt de minimiser les dommages potentiels si un mauvais acteur obtient l'accès par le biais d'identifiants volés, d'un appareil compromis ou d'une vulnérabilité.

7. Concentrez-vous sur la fiabilité des appareils. Un réseau basé sur des principes de zero-trust ne fait intrinsèquement confiance à aucun appareil, qu'il se trouve dans le périmètre, dans l'entreprise ou dans un accès précédemment accordé. Cela vise à garantir que seuls les appareils autorisés et conformes bénéficient d'un accès. Dans ce cas, la conformité peut impliquer de répondre aux exigences de sécurité telles que la mise à jour du logiciel, la protection antivirus et d'autres logiciels de surveillance en place.

8. Contrôle d'accès sécurisé. La sécurité zero-trust s'étend aux applications et aux espaces de travail dans le cloud utilisés par de nombreuses entreprises aujourd'hui. L'architecture exige que ces applications aient un état de sécurité connu et approuvé et que leur accès soit contrôlé.

9. Accès réseau sans confiance. ZTNA, également connu sous le nom de périmètre défini par logiciel, est une approche de sécurité qui contrôle l'accès aux applications et ressources internes de manière beaucoup plus précise qu'un VPN traditionnel, qui accorde l'accès à un réseau entier une fois qu'un utilisateur est vérifié. ZTNA évalue les informations d'identification de sécurité chaque fois que l'accès à une ressource est demandé. Le système prend en compte le contexte et ne peut accorder qu'un accès partiel. Si l'accès est accordé, c'est via une session sécurisée entre l'entité requérante et la ressource spécifique. Ensuite, l'activité et l'état des périphériques sont surveillés en permanence pour détecter tout comportement anormal pouvant indiquer une menace.

10. Sécurité des points de terminaison. Vos utilisateurs ont tendance à prendre du retard sur la mise à jour de la version logicielle ou de la signature de logiciels malveillants ou à résister à l'installation de logiciels de sécurité sur leurs appareils personnels ? La zero-trust leur forcera la main car un point de terminaison sans le profil de sécurité défini par votre stratégie ne recevra tout simplement pas d'accès. Le service informatique doit gérer la sécurité des terminaux sur les appareils appartenant à l'entreprise, et la conformité doit être vérifiée lors du lancement de nouvelles sessions.

11. Formation et sensibilisation des utilisateurs. Il est naturel que les collaborateurs respectent les principes de zero-trust, du moins au début. Cela peut aider à fournir des séances d'éducation et donner des exemples concrets de la façon dont l'architecture pourrait faire économiser de l'argent à l'entreprise et éviter de nuire à sa réputation.

Stratégies pour une transition culturelle en douceur

Les modèles de sécurité réseau traditionnels supposent souvent un certain niveau de confiance une fois que les utilisateurs se trouvent dans le périmètre du réseau. La zero-trust conteste cela, et cela peut être un changement d'état d'esprit important pour le personnel informatique et les personnes habituées à un accès sans entrave au sein du réseau.

En outre, la zero-trust met l'accent sur des pratiques fortes de gestion des identités et des accès. Pensez à des stratégies de mot de passe plus strictes, à l'authentification multifacteur et à une approche plus centralisée de la gestion des identités des utilisateurs et des privilèges d'accès. Encore une fois, les personnes habituées à des contrôles d'accès moins stricts peuvent trouver ces modifications gênantes. La sécurité zero-trust implique un examen plus minutieux de l'activité des utilisateurs et de la santé des appareils, ce qui peut soulever des problèmes de confidentialité chez certains employés qui estiment que leurs actions sont surveillées de trop près. Certains employés refuseront d'installer des logiciels obligatoires sur leurs appareils personnels. Quelle est votre réponse à cela ? Et les professionnels de la sécurité, des opérations réseau et du développement d'applications ne sont pas à l'abri du ressentiment.

Vous avez compris l'idée générale. C'est un changement culturel et le succès dépend de l'adhésion des utilisateurs. Les stratégies pour une transition en douceur comprennent :

Communication claire des raisons de l'adoption d'une zero-trust, en soulignant les avantages d'une sécurité et d'une conformité améliorées. Répondez ouvertement aux préoccupations des collaborateurs en matière de confidentialité et expliquez comment la sécurité zero-trust protège réellement leurs données.

Un déploiement progressif, permettant aux collaborateurs, aux partenaires et au personnel informatique de s'adapter progressivement aux nouvelles mesures de sécurité. Donnez la priorité à l'implémentation d'une sécurité zero-trust de manière à minimiser les perturbations des workflows et à maintenir une expérience utilisateur positive. Les technologies basées sur le cloud peuvent beaucoup aider dans ce cas de figure.

Formation complète sur les principes de la sécurité zero-trust, les procédures de contrôle d'accès et les bonnes pratiques pour utiliser les ressources en toute sécurité dans le nouvel environnement.

Reconnaître le changement culturel impliqué et remercier les gens pour leurs efforts peuvent grandement contribuer à l'adoption de zéro confiance et à la création d'un environnement informatique plus sûr et résilient.

Historique de la sécurité zero-trust

En 2004, le concept de zero-trust est né d'une présentation lors d'un événement du Jericho Forum donné par Paul Simmonds. Simmonds a inventé le terme de « dégradation » et a proposé un nouveau modèle qui accepte fondamentalement que la plupart des exploits transitent facilement la sécurité du périmètre. De plus, il a ajouté que les technologies de détection d'intrusion n'ont que peu ou pas d'avantages au niveau du périmètre, qu'il est plus facile de protéger les données au plus près, et qu'une stratégie de périmètre durcie n'est pas viable.

En 2011, Google a créé BeyondCorp, qui est la tentative de l'entreprise de mettre en œuvre la sécurité zero-trust. Initialement développé pour permettre le travail à distance et éliminer l'utilisation d'un VPN, BeyondCorp n'est pas un produit unique, mais plutôt un ensemble d'outils et de bonnes pratiques. Google Cloud offre différents services qui peuvent être implémentés pour obtenir une posture de sécurité BeyondCorp.

Puis, en août 2020, le NIST a publié le document Zero Trust Architecture qui contenait une définition abstraite de l'architecture de zero-trust, ou ZTA, et a fourni des modèles de déploiement et des cas d'utilisation où la sécurité zero-trust pourrait améliorer la posture de sécurité des technologies de l'information. En mai 2021, la Maison Blanche a publié un décret sur l'amélioration de la cybersécurité de la nation qui codifiait la sécurité zero-trust, et que la version 1.0 du modèle de maturité de zero-trust de la CISA de septembre a été publiée pour compléter la stratégie fédérale de zero-trust du Bureau de la gestion et du budget. Le modèle de CISA fournit aux agences fédérales américaines une feuille de route et des ressources pour construire un environnement de zero-trust et est également disponible pour les entreprises.

En janvier 2022, le Bureau de la gestion et du budget a publié la note de service M-22-09 aux organismes fédéraux dont l'objet est « Déménagement des États-Unis. Le gouvernement vers des principes de cybersécurité de zero-trust. » En juillet, le ministère de la Défense (DoD) Zero Trust Reference Architecture a été publié tel que préparé par la DISA et l'Agence nationale de sécurité (NSA) Zero Trust Engineering Team. L'architecture a fourni une vision, une stratégie et un cadre d'état final pour renforcer la cybersécurité et guider l'évolution des capacités existantes pour se concentrer sur une stratégie centrée sur les données. L'architecture DISA est un excellent modèle à suivre pour les entreprises qui passent au cloud.

Adoptez la sécurité zero-trust avec Oracle Cloud Infrastructure

Pour aider à mettre en œuvre des principes de zero-trust, l'approche axée sur la sécurité d'Oracle nécessite des stratégies explicites pour autoriser l'accès à Oracle Cloud Infrastructure (OCI). Cela signifie que chaque composant est considéré comme une ressource dans OCI et que l'accès doit être explicitement accordé. Toutes les communications au sein d'OCI sont chiffrées et les droits d'accès sont vérifiés par rapport aux stratégies existantes. Ces stratégies peuvent être structurées de manière à octroyer un contrôle d'accès extrêmement précis pour chaque ressource, y compris l'implémentation d'un accès dynamique.

OCI implémente la surveillance et l'audit sur les ressources cloud, ce qui vous permet d'utiliser le stockage d'objets existant pour effectuer des analyses, ou vous pouvez utiliser l'outil de gestion des informations de sécurité et des événements (SIEM) de votre choix. Oracle Cloud Guard Instance Security fournit des réponses automatisées aux événements déclenchés, ce qui permet d'accélérer le temps de réaction aux menaces potentielles.

Les entreprises mettent en œuvre la sécurité zero-trust parce qu'elles reconnaissent que les stratégies de sécurité traditionnelles ne sont pas à la hauteur des menaces d'aujourd'hui. Lorsque toutes les parties prenantes sont éduquées à comprendre que les attaquants se trouvent déjà dans le réseau, elles ont tendance à accepter des contrôles plus stricts qui peuvent réduire le risque d'une attaque réussie, mieux protéger les informations sensibles et renforcer la confiance avec les partenaires et les clients.

FAQ sur Zero Trust Security

Quels sont les cinq piliers de la zero-trust ?

Les cinq piliers de la zero-trust, basés sur le modèle de maturité zero-trust publié récemment par la Cybersecurity and Infrastructure Security Agency, version 2, sont l'identité, les appareils, les réseaux, les applications et les workloads et les données. Ces cinq piliers fonctionnent ensemble pour créer une stratégie de sécurité complète basée sur la vérification continue de tous les utilisateurs, appareils, applications et demandes d'accès. Cette approche en couches est destinée à compliquer les intrusions par les attaquants.

Quels sont les quatre objectifs de la zero-trust ?

Les quatre principaux objectifs de la sécurité sans confiance sont de limiter la surface d'attaque, d'améliorer la posture de sécurité d'une entreprise via une authentification forte, un contrôle d'accès avec le moins de privilèges possible et une surveillance continue, de fournir en toute sécurité aux employés et aux partenaires les outils dont ils ont besoin, y compris les services cloud, à partir de n'importe quel appareil et d'améliorer la conformité.