Qu'est-ce que la sécurité Zero Trust ? Un guide d'introduction

La stratégie de défense dite "Zero Trust", axée sur une approche proactive, gagne du terrain face aux défis de sécurité grandissants. Les technologies qui sous-tendent ce modèle de sécurité sont de plus en plus privilégiées.

La notion de confiance a longtemps été centrale en cybersécurité. Les fondations traditionnelles reposent sur l’idée d’une infrastructure réseau "fiable", avec des utilisateurs, des appareils, des fournisseurs, etc., considérés comme dignes de confiance par défaut.

Cette approche classique a été un pilier pour la protection des entreprises, de leurs informations, et même des individus. Cependant, dans un monde de plus en plus numérisé, les cybercriminels exploitent les faiblesses inhérentes à ce modèle, notamment en raison de :

• Une architecture de sécurité de type "château et douves", où la protection est concentrée au niveau du périmètre de l’entreprise. Si un attaquant parvient à franchir cette barrière, il peut causer des dommages importants.
• Des systèmes de contrôle d'accès dépassés, comme les pare-feux réseau, qui manquent de visibilité sur les applications et services utilisés par les employés. Si le réseau est compromis, ces applications deviennent facilement accessibles.
• Des technologies VPN, efficaces pour sécuriser les données et assurer la confidentialité, mais dont les mécanismes d'autorisation et d'authentification peuvent être améliorés.
• L'évolution des pratiques professionnelles, avec des politiques BYOD et le télétravail qui multiplient les points d'accès potentiels. L'absence de mesures de sécurité adéquates peut entraîner des fuites de données.

Ces enjeux ont conduit à l’émergence d'un modèle de sécurité plus souple, dynamique, simple à mettre en œuvre et offrant un niveau de protection élevé : le Zero Trust.

Cet article explore les fondements du Zero Trust, ses principes clés, ses modalités d'implémentation, et d'autres aspects pertinents.

Entrons dans le vif du sujet !

Qu'est-ce que le concept Zero Trust ?

Le modèle Zero Trust est une approche de sécurité de pointe où chaque utilisateur, qu'il se trouve à l'intérieur ou à l'extérieur du réseau d'une organisation, doit être autorisé, authentifié et validé en continu en termes de posture et de configuration de sécurité, avant d'accéder au réseau, aux données et aux applications.

Ce modèle repose sur des technologies de sécurité de pointe, telles que l'authentification multifacteur, la sécurité des terminaux de nouvelle génération, et la gestion des identités et des accès (IAM), afin de vérifier l'identité de chaque utilisateur tout en maintenant une sécurité renforcée.

Au-delà d'une vérification stricte de l'identité des utilisateurs, le Zero Trust assure une protection des utilisateurs et des applications face aux menaces informatiques sophistiquées.

L'expression "Zero Trust" a été popularisée par John Kindervag de Forrester, mais son concept a été initialement développé par Stephen Paul Marsh en avril 1994, suite à sa thèse à l'Université de Stirling sur la sécurité informatique.

En réalité, de nombreux aspects du Zero Trust ne sont pas nouveaux. Selon l'étude de Marsh, la confiance est une notion dépassée, qui n'a pas sa place dans la sécurité. Il estime que la confiance peut être modélisée comme une construction mathématique.

Le principe du Zero Trust est de ne pas faire confiance par défaut aux appareils et utilisateurs, même ceux connectés au réseau local de l'entreprise ou déjà authentifiés. Ce modèle repose sur une visibilité en temps réel des attributs de chaque utilisateur, tels que son identité, les versions du micrologiciel, le type de matériel du terminal, les versions du système d'exploitation, les vulnérabilités, les niveaux de correctifs, les connexions des utilisateurs, les applications installées, les détections d'incidents, etc.

En raison de son efficacité en matière de sécurité, le Zero Trust gagne en popularité, et de plus en plus d'organisations, dont Google avec son projet BeyondCorp, commencent à l'adopter.

Cette adoption est principalement motivée par la fréquence accrue des cyberattaques, qui ciblent les terminaux, les appareils sur site, les réseaux, les données, les applications cloud, et d'autres éléments d'infrastructure informatique. La pandémie de Covid-19, qui a encouragé le télétravail, a également contribué à l'augmentation des cyberattaques dans le monde.

Par conséquent, des pratiques de sécurité telles que le Zero Trust apparaissent comme des solutions indispensables.

Un rapport prévoit que le marché mondial de la sécurité Zero Trust connaîtra une croissance annuelle de 17,4 %, pour atteindre 51,6 milliards de dollars en 2026, contre 19,6 milliards de dollars en 2020.

Certains termes liés au Zero Trust sont couramment employés : Zero Trust Application Access (ZTAA), Zero Trust Network Access (ZTNA), Zero Trust Identity Protection (ZTIP), etc.

Quels sont les principes clés du Zero Trust ?

Le Zero Trust repose sur les principes fondamentaux décrits ci-dessous, qui permettent de sécuriser efficacement le réseau d'une organisation.

Accès aux moindres privilèges 🔐

Ce principe stipule que chaque utilisateur doit uniquement disposer des droits d'accès strictement nécessaires à la réalisation de ses missions. Il réduit ainsi la vulnérabilité du réseau.

Identification de l'utilisateur ✔️

Il est impératif de savoir précisément qui accède au réseau, aux applications, aux données, etc. L'authentification et l'autorisation doivent être vérifiées lors de chaque demande d'accès pour maintenir un haut niveau de sécurité.

Microsegmentation 🍱

Ce principe consiste à diviser le périmètre de sécurité en zones plus petites, afin de gérer l'accès de manière granulaire et d'éliminer les privilèges excessifs. La gestion et le contrôle des données entre ces zones sont indispensables.

Utilisation de techniques de prévention avancées 🛑

Le Zero Trust préconise l'adoption de techniques de prévention avancées pour stopper les cyberattaques et minimiser les dégâts. L'authentification multifacteur (MFA) est un exemple de technique efficace pour confirmer l'identité des utilisateurs, en combinant plusieurs méthodes de vérification.

Surveillance en temps réel de l'accès aux appareils 👁️

En plus du contrôle d'accès des utilisateurs, la surveillance et le contrôle de l'accès aux appareils sont indispensables. Tous les appareils doivent être autorisés pour réduire les risques d'attaques.

Quels sont les bénéfices du Zero Trust ?

Le Zero Trust fournit une stratégie solide pour la sécurité et la résilience du réseau d'une organisation. Il offre plusieurs avantages pour votre entreprise, notamment :

Protection contre les menaces externes et internes

Le Zero Trust met en place des règles strictes pour lutter contre les menaces externes et protéger votre organisation contre les acteurs internes malveillants. Les menaces internes, souvent plus graves, exploitent la confiance accordée aux employés.

Un rapport de Verizon indique que 30 % des violations de données sont dues à des employés mal intentionnés.

Le Zero Trust repose donc sur le principe : "ne jamais faire confiance, toujours vérifier". En mettant en place une authentification poussée et en contrôlant chaque accès aux données, appareils, serveurs et applications, il devient plus difficile pour un employé de faire un usage abusif de ses privilèges.

Protection des données

Le Zero Trust empêche les logiciels malveillants ou les employés d'accéder aux parties les plus importantes du réseau. En limitant et en contrôlant l'accès dans le temps, le Zero Trust permet d'atténuer l'impact d'une éventuelle violation, même si un logiciel malveillant franchit le pare-feu.

Vous protégez ainsi les données de votre entreprise contre le piratage et préservez votre propriété intellectuelle ainsi que les informations de vos clients. Vous évitez également de lourdes pertes financières et préservez la réputation de votre entreprise.

Une visibilité accrue sur le réseau

Le Zero Trust, en interdisant toute confiance par défaut, vous incite à contrôler attentivement les activités et les ressources de votre réseau. La surveillance intensive de votre organisation permet de gagner en visibilité sur les appareils et les utilisateurs qui accèdent au réseau.

Vous avez ainsi une vision claire des applications, des utilisateurs, des emplacements et des moments associés à chaque demande d'accès. En cas de comportement anormal, l'infrastructure de sécurité réagit immédiatement et suit les activités en temps réel.

Sécurisation du télétravail

Le travail à distance, désormais largement répandu, a fait croître les cyber-risques. Les pratiques de sécurité souvent laxistes sur les appareils personnels et les réseaux domestiques font des pare-feux un outil obsolète. Les données stockées dans le cloud sont particulièrement exposées.

Le Zero Trust, en exigeant l'identification et la vérification de chaque utilisateur à tous les niveaux, remplace l'approche traditionnelle de type "château et douves". L'identité est associée à chaque appareil, utilisateur et application qui souhaite accéder au réseau.

Le Zero Trust fournit ainsi une protection robuste à tous les employés, quel que soit leur lieu de travail et quel que soit l'emplacement de leurs données.

Simplification de la gestion informatique

Le Zero Trust repose sur une surveillance, un contrôle et une analyse continus. L'automatisation peut simplifier le processus d'évaluation des demandes d'accès. Le traitement manuel de chaque demande peut ralentir considérablement le flux de travail et impacter les objectifs commerciaux.

L'utilisation de l'automatisation, comme la gestion des accès privilégiés (PAM), permet d'évaluer les demandes d'accès selon des critères de sécurité prédéfinis et d'autoriser automatiquement l'accès. L'équipe informatique intervient uniquement en cas d'alerte. Les employés peuvent ainsi se concentrer sur des tâches plus importantes.

Garantie de la conformité

Le Zero Trust, en évaluant et en enregistrant chaque demande d'accès, assure la conformité aux exigences réglementaires. Le système consigne l'heure, l'application et l'emplacement de chaque demande, créant ainsi une piste d'audit claire et exploitable.

Vous n'avez ainsi plus à justifier votre conformité, ce qui rend la gouvernance plus efficace et réduit les risques en la matière.

Comment implémenter le modèle Zero Trust ?

Chaque organisation a ses propres spécificités, mais certains aspects restent universels. Le Zero Trust peut être mis en œuvre dans tous les contextes, quels que soient la taille de l'entreprise et son secteur d'activité.

Voici une approche pratique pour implémenter la sécurité Zero Trust dans votre organisation :

Identifier les données sensibles

La connaissance du type de données sensibles, de leur localisation et de leur flux permet de déterminer la stratégie de sécurité la plus appropriée. Il est également indispensable d'identifier les actifs, les services et les applications, ainsi que les failles potentielles dans l'infrastructure.

• Accordez le plus haut niveau de protection aux données et actifs les plus critiques.
• Classez les données en catégories : confidentielles, internes et publiques, et tirez parti de la microsegmentation pour créer de petits blocs de données connectés au sein d'un réseau étendu.

Cartographier les flux de données

Évaluez la circulation des données sur le réseau, y compris les flux transactionnels, qui peuvent être multidirectionnels. Cette cartographie favorise l'optimisation des flux de données et la création de micro-réseaux.

Identifiez la localisation des données sensibles et les utilisateurs qui y ont accès, afin d'appliquer des pratiques de sécurité plus strictes.

Établir des micro-réseaux Zero Trust

Sur la base des informations relatives à la circulation des données sensibles, créez des micro-réseaux pour chaque flux de données. Chaque micro-réseau doit avoir ses propres pratiques de sécurité adaptées à son cas d'utilisation.

À cette étape, utilisez des contrôles de sécurité virtuels et physiques :

• Renforcez le micro-périmètre pour empêcher tout mouvement latéral non autorisé. Segmentez votre organisation par localisation, groupes d'utilisateurs ou applications.
• Mettez en place une authentification multifacteur : authentification à deux facteurs (2FA) ou authentification à trois facteurs (3FA).
• Limitez les droits d'accès aux utilisateurs en fonction de leurs tâches et de leur rôle.

Surveiller le système Zero Trust en continu

Surveillez en continu l'ensemble de votre réseau et les micro-périmètres, afin d'inspecter, d'enregistrer et d'analyser les données, le trafic et les activités. Ces informations permettent d'identifier et de neutraliser les activités malveillantes.

Vous obtiendrez ainsi une vue d'ensemble du niveau de sécurité et de l'efficacité de l'approche Zero Trust pour votre réseau.

Tirer parti des outils d'automatisation et des systèmes d'orchestration

Automatisez les processus à l'aide d'outils d'automatisation et de systèmes d'orchestration afin d'optimiser l'implémentation de votre modèle Zero Trust. Vous gagnerez ainsi du temps et réduirez le risque de failles ou d'erreurs humaines.

Maintenant que vous comprenez mieux les tenants et les aboutissants du Zero Trust, examinons les outils pouvant faciliter son implémentation.

Quelles sont les solutions de sécurité Zero Trust ?

De nombreux fournisseurs proposent des solutions Zero Trust, notamment Akamai, Palo Alto, Cisco, Illumio, Okta, Unisys, Symantec, Appgate SDP, etc.

Une solution logicielle Zero Trust permet de gérer l'identité et la sécurité du réseau, en appliquant le modèle Zero Trust. Le logiciel surveille en continu l'activité du réseau, le comportement des utilisateurs, et authentifie chaque demande d'accès.

Si un utilisateur tente de violer les autorisations ou se comporte de manière anormale, le système demande une authentification supplémentaire. Le logiciel collecte également des données à partir des journaux de trafic, des comportements d'utilisateurs et des points d'accès afin de fournir des analyses détaillées.

Le logiciel peut utiliser une authentification basée sur les risques pour contrôler l'accès au réseau. Voici quelques exemples de logiciels de mise en réseau Zero Trust :

• Okta: cette solution cloud applique des règles de sécurité strictes et s'intègre aux systèmes d'identité et aux annuaires de l'organisation, ainsi qu'à plus de 4000 applications.
• Perimeter 81: cette solution utilise une architecture de périmètre définie par logiciel, offrant une visibilité accrue sur le réseau, une compatibilité totale, une intégration fluide et un cryptage de niveau bancaire 256 bits.
• Gestion des identités SecureAuth: cette solution propose une expérience d'authentification flexible et sécurisée, dans tous les environnements.

Parmi les autres solutions logicielles de mise en réseau Zero Trust, on trouve BetterCloud, Centrify Zero Trust Privilege, DuoSecurity, NetMotion, et bien d'autres.

Quels sont les défis liés à l'implémentation du Zero Trust ?

La mise en œuvre du Zero Trust peut s'avérer difficile pour les organisations pour diverses raisons, telles que :

• Systèmes hérités : de nombreux systèmes hérités, tels que des outils, des applications, des ressources réseau et des protocoles, sont utilisés pour les opérations commerciales. Leur adaptation au Zero Trust peut être coûteuse et difficile.
• Contrôles et visibilité limités : de nombreuses organisations manquent d'une visibilité complète sur leurs réseaux et leurs utilisateurs, ou ne sont pas en mesure de définir des protocoles stricts pour des raisons diverses.
• Réglementation : les organismes de réglementation n'ont pas encore intégré le Zero Trust. Il est donc difficile pour les organisations d'être conformes aux normes en matière de sécurité.

Par exemple, la norme PCI-DSS exige l'utilisation de la segmentation et de pare-feux pour protéger les données sensibles. Or, le Zero Trust ne prévoit pas de pare-feu, ce qui engendre des problèmes de conformité. Des modifications de la réglementation sont nécessaires pour encourager l'adoption du Zero Trust.

Conclusion

Bien que relativement récent, le Zero Trust fait sensation dans le secteur de la sécurité. Compte tenu de la multiplication des cyberattaques dans le monde, il est indispensable de disposer d'un système robuste tel que le Zero Trust.

Le Zero Trust fournit une architecture de sécurité renforcée, avec des contrôles d'identité et d'accès pour chaque appareil et chaque utilisateur, à chaque point d'accès. Il protège les organisations contre toutes les menaces en ligne, qu'elles soient humaines ou logicielles, internes ou externes au réseau.