Qu’est-ce que Zero Trust? Le modèle de sécurité pour une époque distribuée et risquée

Qu’est-ce que Zero Trust?

Zero Trustis un modèle ou une stratégie de cybersécurité dans laquelle aucune personne ou entité informatique n’est considérée comme intrinsèquement digne de confiance, qu’elle soit à l’intérieur ou à l’extérieur du réseau de l’organisation. Il est distinct d’une façon plus traditionnelle de penser aux réseaux informatiques qui considère tout dans une frontière définie – tout le monde sur un réseau d’entreprise, par exemple, ou tout sur le côté droit d’un pare-feu – a été autorisé à accéder aux données ou aux ressources. Dans les organisations où Zero Trust règne, les utilisateurs doivent être authentifiés et autorisés s’ils sont à l’intérieur du siège social ou de se connecter à partir d’un réseau Wi-Fi public Starbucks.

Dans Zero Trust, le principe des moindres privilèges prévaut: les systèmes et les données sont verrouillés par défaut, et l’accès n’est accordé qu’à la mesure nécessaire pour atteindre les objectifs définis. Bien que la sécurité traditionnelle puisse être résumée par la devise de Ronald Reagan «Trust, mais vérifiez», le cri de ralliement du Warrior Infosec Zero Trust est «Ne jamais faire confiance, toujours vérifier».

Le terme zéro fiducie a été introduit dans le monde de la cybersécurité par l’analyste de Forrester, John Kindervag, en 2010, bien qu’il s’appuyait sur des idées existantes. L’idée a pris la meilleure partie de la décennie pour aller courant, mais de plus en plus d’organisations se sont embarquées sans confiance au cours des années 2020. «L’architecture Zero Trust devient de plus en plus populaire car les organisations sont confrontées à des cyber-états de plus en plus sophistiqués», explique Kevin Kirkwood, CISO chez Exabeam. « Le concept général du modèle est de trouver des moyens de limiter le rayon de dommage de l’explosion qui pourrait être causé par un mauvais acteur, ainsi que de ralentir ce mauvais acteur à travers le réseau connu de systèmes. »

Comment fonctionne Zero Trust

Pour visualiser le fonctionnement de Zero Trust, considérez un cas simple: un utilisateur accédant à une application Web partagée. Selon les règles de sécurité traditionnelles, si un utilisateur était sur un réseau d’entreprise, soit parce qu’il était au bureau ou connecté via un VPN, il pourrait simplement cliquer sur l’application et y accéder; Parce qu’ils étaient à l’intérieur du périmètre de sécurité, ils étaient supposés dignes de confiance.

Zero Trust adopte une approche différente. Dans un environnement Zero Trust, l’utilisateur doit s’authentifier pour utiliser l’application et l’application doit s’assurer que les informations d’identification de l’utilisateur correspondent à quelqu’un qui a les bons privilèges d’accès. Cela garantit que quelqu’un qui a réussi à se glisser sur le réseau d’entreprise ne peut pas accéder aux données ou aux fonctionnalités restreintes. De plus, le manque de confiance va dans les deux sens: l’utilisateur devrait également être en mesure d’authentifier l’application, avec un certificat numérique signé ou un mécanisme similaire. Cela garantit que l’utilisateur ne rencontre pas ou n’activait pas accidentellement les logiciels malveillants.

Étant donné le nombre d’interactions avec les systèmes et les données qu’un utilisateur typique rencontre en une journée, la portée de ce que Zero Trust doit couvrir est considérable. «Toutes les demandes d’accès (doivent) répondre aux normes de l’architecture Zero Trust», explique Jason Miller, fondateur et PDG de Bitlyft, un fournisseur de services de sécurité géré. «Les attributs communs pour la vérification incluent l’emplacement géographique, l’identité de l’utilisateur et le type d’appareil. Comme vous pouvez le deviner, cela nécessite une surveillance continue. C’est le seul moyen de valider un utilisateur spécifique et son appareil. »

Comment construire une architecture de confiance zéro

«L’architecture de base d’un modèle de confiance Zero – en utilisant un bâtiment comme base pour la description de l’architecture – est définie par votre volonté de contrôler l’accès des gens à la porte d’entrée, puis en vous assurant qu’ils sont autorisés à entrer dans n’importe quelle pièce de la maison», explique Kirkwood d’Exabeam. «En nécessitant une authentification continue et des contrôles d’accès stricts, Zero Trust garantit que tous les utilisateurs et entités sont vérifiés avant d’accéder aux ressources critiques, ce qui rend plus difficile pour les attaquants de pénétrer suffisamment profondément dans le réseau pour causer des dommages majeurs.»

Une chose importante à garder à l’esprit de l’architecture zéro-confiance: vous ne pouvez pas simplement sortir et l’acheter. «Il n’y a pas de« produits Zero Trust »», explique Darren Williams, fondatrice et PDG de l’exfiltration et la société de prévention des ransomwares Blackfog. «L’architecture Zero Trust est une approche pour gérer votre infrastructure réseau existante. Ce n’est pas une solution de déchirure pour améliorer la cybersécurité. »

Au lieu de cela, vous pouvez implémenter une architecture de confiance Zero en adaptant votre architecture existante ou en déploiant de nouveaux systèmes. L’important est que vous adhérez à des principes de confiance zéro importants:

• Le moins privilège: Les utilisateurs ne doivent avoir que l’accès dont ils ont besoin pour faire leur travail et pas plus. Cela minimise l’exposition de données ou d’applications sensibles.
• Authentification multifactrice: La philosophie Zero Trust s’étend aux connexions des utilisateurs: quelqu’un pourrait avoir le bon nom d’utilisateur et le bon mot de passe, mais que se passe-t-il si ces informations d’identification ont été compromises? L’authentification multifactorielle, qui nécessite un diplôme au-delà du mot de passe, est un bon moyen de s’assurer que quelqu’un est ce qu’ils disent être.
• Micro -gegmentation: Au lieu de considérer un réseau d’entreprise comme un grand terrain de jeu sûr, vous devriez le diviser en un certain nombre de zones plus petites, dont chacune nécessite l’authentification pour entrer. Cela peut empêcher un attaquant de se déplacer latéralement si elle prend pied sur le réseau, limitant le «rayon de souffle» d’une cyberattaque réussie et les restreignant à un microsegment où il peut être mis en quarantaine.
• Suivi continu, vérification et collecte de contexte. Pour rendre ces principes possibles, votre infrastructure doit constamment surveiller l’activité du réseau, vérifier les utilisateurs (humains et automatisés) et collecter des informations de toute la pile informatique pour repérer les anomalies.

La mise en œuvre de ces principes dans la pratique n’est pas une tâche facile et nécessite un éventail d’outils, notamment:

• Gestion complète de l’identité
• Contrôle d’accès au niveau de l’application
• Analyse des comportements des utilisateurs et entités
• Outils de détection et de réponse du réseau (NDR)
• Solutions de détection et de réponse (EDR)

Ashish Shah, co-fondatrice chez Andromeda Security, ajoute que les outils d’intelligence artificielle aident davantage d’organisations à se diriger vers Zero Trust, ce qui stimule à son tour la popularité du modèle. Avec l’IA, vous pouvez «automatiser les demandes à haut risque avec l’intelligence pour améliorer l’accès sans ralentir les opérations», dit-il.

Zéro confiance et VPNS

Une vénérable technologie de sécurité qui ne figure pas sur la liste des éléments potentiels de confiance zéro: réseaux privés virtuels ou VPN. Dans un monde de fiducie pré-zéro, un VPN a offert une connexion sécurisée entre un réseau d’entreprise et un ordinateur à l’extérieur de ce réseau, permettant l’accès aux ressources internes. Du point de vue du réseau d’entreprise, un ordinateur connecté par un VPN se trouve à l’intérieur du réseau.

Mais parce que Zero Trust va au-delà d’être «à l’intérieur» ou «à l’extérieur» d’un réseau sécurisé, il remplace les VPN par un éventail d’outils granulaires pour authentifier et autoriser les utilisateurs, et pour évaluer la posture potentielle de menace des appareils utilisateur en fonction d’un large éventail de signaux, dont l’emplacement du réseau de l’utilisateur n’est qu’un.

Avantages et inconvénients de confiance zéro

Espérons que bon nombre des avantages du modèle Zero Trust sont clairs à ce stade. Il représente une posture de sécurité accrue adaptée à un monde où «à l’intérieur» et «à l’extérieur» ne sont dénué de sens dans une perspective de sécurité du réseau. Entre les effectifs distribués et la dépendance croissante à l’égard des applications du cloud computing et du SaaS, il est plus logique de supposer qu’une connexion légitime – ou illégitime – pourrait venir de n’importe où et évaluer les risques en conséquence. L’état d’esprit Zero Trust suppose également qu’une violation est une question de ne pas – et en obligeant les réseaux segmentés, Zero Trust vous prépare à minimiser les effets de ces violations.

Zero Trust jette également une base solide pour les attentes de sécurité à l’ère moderne. «Zero Trust n’est pas seulement un autre mot à la mode», explique Bryan Hornung, PDG de Xact It. «C’est l’un des moyens les plus rapides pour les entreprises de cocher ces boîtes de conformité. De plus en plus de leaders informatiques se rendent compte que si vous configurez correctement la confiance, la gestion de toutes les réglementations sera plus facile. Cela devient une évidence pour la sécurité moderne. »

Mais, ajoute-t-il, il y a aussi des inconvénients: «Ce n’est pas entièrement en douceur. Les entreprises doivent se préparer pour une tonne d’alertes et de contrôles plus stricts sur les ordinateurs et les appareils. Cela signifie que vous aurez besoin de plus de ressources informatiques pour aider les employés ou améliorer les processus avec l’automatisation. »

Kirkwood d’Exabeam est d’accord. «Il peut atteindre un point où il peut ralentir trop l’entreprise et les compromis devront se produire pour garantir la flexibilité et la viabilité des opérations commerciales tout en garantissant que les objectifs d’intégrité des systèmes sont atteints», dit-il. «Il devrait être l’objectif de chaque entreprise ou secteur de déterminer quelle est la tolérance au risque et de définir une confiance zéro qui s’adaptera au niveau de tolérance. Vous pouvez définir un système aussi sûr que Fort Knox, mais vous pouvez également construire quelque chose de si inflexible que vous ne pouvez pas sortir l’or (ou vos données).  »

Zero Trust Best Practices

Vous envisagez de passer à un modèle de confiance zéro pour la sécurité informatique de votre organisation? David Redekop, fondateur et PDG d’AdamNetworks, suggère les meilleures pratiques suivantes pour vous guider pendant que vous planifiez votre déploiement:

• «Sachez ce que vous essayez de protéger et commencez par les joyaux de la couronne. Élaborer des politiques qui s’alignent sur ce que ces systèmes particuliers ont besoin. »
• «Adoptez une approche méthodique avec votre moteur politique et accélérez lentement.»
• «Utilisez des appareils de test et des utilisateurs pour s’assurer qu’une politique ne perturbe pas l’entreprise avant de déplacer des unités commerciales entières dans une nouvelle politique.»

«Le passage à une organisation d’architecture Zero Trust prend du temps et de la patience», dit-il. Mais il pense que cette décision en vaut la peine: elle «vous emmènera d’une posture de sécurité réactive à une posture de sécurité proactive». Bonne chance dans votre voyage!

En savoir plus sur Zero Trust:

• 7 principes de zéro confiance expliqués
• 5 recommandations pratiques pour la mise en œuvre de zéro confiance
• 6 Mythes et idées fausses de confiance zéro
• 5 étapes vers la sécurité réelle de confiance zéro
• 5 domaines où Zero Trust ne peut pas protéger votre organisation