Principes de Zero Trust : Qu’est-ce que le Zero Trust ?

Les approches traditionnelles de la cybersécurité ne sont plus efficaces pour se protéger contre les cybermenaces modernes. Aujourd’hui, les attaques par ransomware se produisent régulièrement, et l’exploitation de contrôles d’authentification et d’accès médiocres sur RDP (Remote Desktop Protocol) est le vecteur d’infection le plus courant. 52 % des entreprises américaines sont confrontées à des menaces internes, que les solutions de sécurité périmétriques ne détectent pas.

La mise en œuvre de principes de confiance zéro est le moyen le plus efficace pour une entreprise de contrôler l’accès à ses actifs informatiques. Le Zero Trust utilise diverses techniques pour détecter et bloquer les vecteurs d’attaque courants, y compris :

• Vérification forte de l’identité : Les décisions d’accès prises par les solutions de sécurité Zero Trust sont pilotées par des contrôles d’accès basés sur les rôles (RBAC). Pour déterminer quels contrôles RBAC doivent s’appliquer, ces systèmes doivent vérifier l’identité du demandeur. Les systèmes de confiance zéro incluent une authentification utilisateur forte – y compris l’authentification multifacteur (MFA) – pour vérifier que l’entité qui fait une demande est réellement qui elle prétend être et si elle a le droit de le faire.
• Analyse comportementale : Les attaques de piratage de compte sont une menace courante et la source de nombreuses attaques de ransomware qui tirent parti du RDP pour un accès initial. Si un assaillant peut déterminer les informations d’identification correctes d’un compte utilisateur, il peut se connecter au système. Un système de confiance zéro peut utiliser l’analyse comportementale pour surveiller toute anomalie ou divergence par rapport à une utilisation normale d’un utilisateur, telle que la connexion depuis un emplacement inhabituel ou l’accès à des ressources non standard. Si de telles anomalies sont détectées, le système peut prendre des mesures pour examiner ou répondre à une intrusion potentielle.
• Microsegmentation : Les contrôles d’accès et les politiques de sécurité sont largement appliqués aux limites du réseau. Cela veut dire que les solutions basées sur le périmètre n’ont que peu ou pas de visibilité sur le réseau ou de capacité à faire respecter la sécurité interne. Les solutions de sécurité de confiance zéro mettent souvent en œuvre la microsegmentation pour établir des limites autour de chaque ressource et appliquer des contrôles de sécurité granulaires.
• Contrôles de moindre privilège : 53 % des entreprises américaines ont subi le vol d’identifiants d’utilisateur privilégiés qui peuvent être utilisés pour accéder à des ressources sensibles. La sécurité de confiance zéro est basée sur le principe du moindre privilège, qui stipule que les utilisateurs, les applications, etc., ne devraient avoir que le minimum de privilèges requis pour accomplir leurs tâches.

Les anciens modèles et contrôles de sécurité étaient autrefois inefficaces, et plus les réseaux d’entreprise devenaient complexes, plus le problème empirait. Le réseau d’entreprise moderne couvre de multiples environnements, y compris des ressources sur site, dans le cloud et distantes. Il est impossible de protéger ces environnements contre les cyberattaques sans la visibilité en profondeur et la protection granulaire qu’offre le Zero Trust.

L’importance du modèle de sécurité Zero Trust

Les approches traditionnelles de la cybersécurité ne sont plus efficaces pour se protéger contre les cybermenaces modernes. Aujourd’hui, les attaques par ransomware se produisent régulièrement, et l’exploitation de contrôles d’authentification et d’accès médiocres sur RDP (Remote Desktop Protocol) est le vecteur d’infection le plus courant. 52 % des entreprises américaines sont confrontées à des menaces internes, que les solutions de sécurité périmétriques ne détectent pas.

La mise en œuvre de principes de confiance zéro est le moyen le plus efficace pour une entreprise de contrôler l’accès à ses actifs informatiques. Le Zero Trust utilise diverses techniques pour détecter et bloquer les vecteurs d’attaque courants, y compris :

• Vérification forte de l’identité : Les décisions d’accès prises par les solutions de sécurité Zero Trust sont pilotées par des contrôles d’accès basés sur les rôles (RBAC). Pour déterminer quels contrôles RBAC doivent s’appliquer, ces systèmes doivent vérifier l’identité du demandeur. Les systèmes de confiance zéro incluent une authentification utilisateur forte – y compris l’authentification multifacteur (MFA) – pour vérifier que l’entité qui fait une demande est réellement qui elle prétend être et si elle a le droit de le faire.
• Analyse comportementale : Les attaques de piratage de compte sont une menace courante et la source de nombreuses attaques de ransomware qui tirent parti du RDP pour un accès initial. Si un assaillant peut déterminer les informations d’identification correctes d’un compte utilisateur, il peut se connecter au système. Un système de confiance zéro peut utiliser l’analyse comportementale pour surveiller toute anomalie ou divergence par rapport à une utilisation normale d’un utilisateur, telle que la connexion depuis un emplacement inhabituel ou l’accès à des ressources non standard. Si de telles anomalies sont détectées, le système peut prendre des mesures pour examiner ou répondre à une intrusion potentielle.
• Microsegmentation : Les contrôles d’accès et les politiques de sécurité sont largement appliqués aux limites du réseau. Cela veut dire que les solutions basées sur le périmètre n’ont que peu ou pas de visibilité sur le réseau ou de capacité à faire respecter la sécurité interne. Les solutions de sécurité de confiance zéro mettent souvent en œuvre la microsegmentation pour établir des limites autour de chaque ressource et appliquer des ontrôles de sécurité granulaires.
• Contrôles de moindre privilège : 53 % des entreprises américaines ont subi le vol d’identifiants d’utilisateur privilégiés qui peuvent être utilisés pour accéder à des ressources sensibles. La sécurité de confiance zéro est basée sur le principe du moindre privilège, qui stipule que les utilisateurs, les applications, etc., ne devraient avoir que le minimum de privilèges requis pour accomplir leurs tâches.

Les anciens modèles et contrôles de sécurité étaient autrefois inefficaces, et plus les réseaux d’entreprise devenaient complexes, plus le problème empirait. Le réseau d’entreprise moderne couvre de multiples environnements, y compris des ressources sur site, dans le cloud et distantes. Il est impossible de protéger ces environnements contre les cyberattaques sans la visibilité en profondeur et la protection granulaire qu’offre le Zero Trust

Principes de base du modèle Zero Trust

Forrester a inventé le terme « zero trust – confiance zéro » pour décrire une nouvelle façon de mettre en œuvre une stratégie de cybersécurité. Les fonctions de base d’une architecture de confiance zéro sont notamment :

• Identifier : Une architecture de confiance zéro efficace nécessite une connaissance approfondie de l’environnement d’une entreprise et de la façon dont il est utilisé. Cela inclut l’identification des appareils au sein du réseau d’une entreprise et leurs interactions pour élaborer des politiques de confiance zéro efficaces.
• Protéger : une stratégie de confiance zéro protège contre les cybermenaces en gérant l’accès aux ressources de l’entreprise. En bloquant des actions illégitimes, elle peut aider à enrayer les tentatives d’intrusion ou l’accès non autorisé à des ressources sensibles.
• Détecter : les solutions de confiance zéro ont une visibilité approfondie sur l’environnement et les activités d’une entreprise. Cette visibilité peut aider l’entreprise à détecter des intrusions potentielles basées sur des demandes bloquées ou d’autres activités irrégulières.
• Répondre : dès qu’une menace est détectée dans l’environnement d’une entreprise, les solutions de confiance zéro peuvent également aider à la réponse aux incidents. De nouveaux contrôles d’accès peuvent par exemple être mis en place pour bloquer les activités malveillantes ou les abus de privilèges potentiels.

Forrester et Gartner ont publié diverses ressources sur la confiance zéro, y compris des conseils sur la sélection de solutions permettant de mettre en œuvre une architecture de confiance zéro. Par exemple, le Guide du marché ZTNA de Gartner fournit des conseils sur la sélection de solutions d’accès distant sécurisées qui mettent en œuvre des principes de confiance zéro.

Comment les entreprises peuvent atteindre la confiance zéro

No 1. Connaître les besoins de votre entreprise

Le modèle de sécurité de confiance zéro est conçu pour garantir un équilibre entre la sécurité et la productivité de l’entreprise. D’une part, la confiance zéro est conçue pour permettre aux employés d’exercer leurs fonctions sans entrave. D’autre part, tout accès ou toute utilisation non autorisés des ressources de l’entreprise doit être bloqué par les contrôles de sécurité de confiance zéro.

Cela veut dire qu’une entreprise doit évaluer ses besoins avant de pouvoir déployer efficacement la confiance zéro. Par exemple, une entreprise dont le personnel travaille à distance devrait savoir comment les employés utilisent ses ressources et comment configurer le ZTNA. Du point de vue de la sécurité, l’entreprise doit tenir compte de facteurs tels que la conformité réglementaire et la façon de s’assurer qu’un personnel réparti ne viole pas les exigences de conformité.

No 2. Répertorier tous les actifs

Une stratégie de sécurité de confiance zéro est conçue pour gérer l’accès à tous les actifs d’une entreprise sur la base du principe du moindre privilège. Par conséquent, avant d’élaborer une stratégie de confiance zéro, il est essentiel de créer un répertoire de tous les actifs de l’entreprise. Cela permet à l’entreprise d’étendre efficacement son déploiement de confiance zéro et de s’assurer qu’elle dispose des solutions de sécurité appropriées pour appliquer de manière cohérente et efficace les politiques de confiance zéro dans l’ensemble de son environnement. Ce répertoire des actifs sera également utile lors de la définition des RBAC pour le système de confiance zéro.

No 3. Anticiper : être préventif

La prévention est la meilleure forme de cybersécurité. Les contrôles de sécurité basés sur la détection n’agissent qu’une fois qu’une attaque est déjà en cours, tandis que la prévention peut empêcher l’attaque de pénétrer dans les systèmes de l’entreprise ou de causer des dommages.

La clé de la prévention consiste à identifier les scénarios d’attaque potentiels et de mettre en place les contrôles de sécurité appropriés. Par exemple, avec le recours au télétravail suite à la pandémie de COVID-19, les travailleurs sont devenus la cible principale des cyberattaques. Les entreprises qui protègent leur personnel distant avec des solutions d’accès de confiance zéro sont moins vulnérables aux attaques qui exploitent les ordinateurs de ce personnel.

No 4. Surveiller continuellement + être réactif

Une architecture de sécurité de confiance zéro fournit à l’entreprise une profonde visibilité sur la façon dont ses ressources informatiques sont utilisées. Étant donné que chaque demande de ressource est validée en fonction des RBAC, l’entreprise peut voir ce qui se passe dans son environnement.

Cette visibilité granulaire est précieuse pour détecter des intrusions potentielles ou des abus de privilèges ; cependant, elle n’est utile que si quelqu’un surveille ces événements. Dans le cadre d’une stratégie de confiance zéro, les entreprises doivent élaborer un plan pour surveiller les solutions de confiance zéro et remédier à toutes les intrusions potentielles avant qu’elles ne causent des dommages importants à l’organisation.

No 5. S’aligner sur la stratégie de sécurité élargie

La mise en œuvre d’une stratégie de sécurité de confiance zéro peut aider à renforcer considérablement la sécurité informatique d’une entreprise. Toutefois, un programme de confiance zéro n’est qu’une composante d’une stratégie de sécurité d’entreprise ou, plus généralement, d’une stratégie IT.

Lors de sa conception, il est important d’aligner une stratégie de sécurité de confiance zéro sur la stratégie de sécurité de l’entreprise et celle du réseau informatique. En s’assurant que les objectifs sont alignés et en identifiant les opportunités d’utiliser les mêmes solutions pour traiter des cas d’utilisation multiples, l’entreprise rend sa stratégie de confiance zéro plus facile à adopter et plus durable.

Défis du Zero Trust

De nombreuses entreprises ont reconnu la valeur d’une stratégie de sécurité de confiance zéro, mais beaucoup n’ont pas encore fait leur choix. En effet, la mise en œuvre de cette stratégie peut être difficile pour diverses raisons, dont :

• Conception d’une architecture Zero Trust : Une architecture de confiance zéro efficace est une architecture qui applique les principes de confiance zéro de manière cohérente dans l’ensemble de l’environnement informatique. Sans les solutions appropriées, cela peut être difficile à réaliser et se traduire par une architecture de sécurité complexe et difficile à gérer.
• Élimination progressive des solutions héritées : Beaucoup d’entreprises ont investi dans une gamme de produits de sécurité ponctuels conçus pour prendre en charge des stratégies de sécurité axées sur le périmètre. Pour passer à la confiance zéro, il faut éliminer progressivement ces solutions traditionnelles, ce qui peut être difficile en raison des investissements dans la technologie, les contrats, etc.
• Définition des contrôles d’accès : La sécurité de confiance zéro repose entièrement sur les contrôles d’accès. Lors de la conception d’une architecture de confiance zéro, les entreprises ont besoin de solutions qui leur procurent la visibilité nécessaire pour apprendre comment leurs ressources sont utilisées et définir les contrôles d’accès en conséquence.

Déploiement du Zero Trust avec le SASE

La mise en œuvre d’une architecture de confiance zéro apporte divers avantages en matière de sécurité à une entreprise. Cependant, elle ne peut pas être réalisée sans l’accès aux outils de sécurité appropriés.

Dans le monde moderne du travail à distance, l’accès distant sécurisé est une capacité de sécurité essentielle. Les entreprises qui cherchent à déployer la confiance zéro pour leur personnel distant devraient considérer les capacités ZTNA du SASE. Pour en savoir plus sur la mise en œuvre de la confiance zéro pour votre entreprise distribuée avec le SASE, n’hésitez pas à demander une démo du Cato Cloud ou à nous contacter.