Qu'est-ce que Zero Trust ?

Le zero trust est un cadre de sécurité basé sur le principe selon lequel les utilisateurs et les dispositifs ne doivent jamais être automatiquement ou implicitement approuvés, que ce soit à l'intérieur ou à l'extérieur du périmètre réseau d'une entreprise. Par défaut, il suppose que chaque demande d'accès, quels que soient son origine et son emplacement, doit être strictement et continuellement vérifiée et authentifiée avant d'accorder ou de maintenir l'accès aux ressources.

Les cybermenaces sont de plus en plus sophistiquées et les modèles traditionnels de sécurité réseau ne suffisent plus à protéger les données sensibles et les systèmes. Étant donné que le coût moyen d'une violation de données pour les entreprises américaines dépasse les 10 millions de dollars,¹ le prix à payer pour utiliser des modèles de sécurité obsolètes « faire confiance mais vérifier » ne fera qu’augmenter.

Le Zero Trust est une approche de la sécurité basée sur le principe « ne jamais faire confiance, toujours vérifier ». Il est prouvé qu'il est plus efficace que la segmentation traditionnelle du réseau et les défenses basées sur le périmètre. Il s'agit d'une stratégie tournée vers l'avenir qui assure la protection des entreprises modernes dans des environnements cloud hybrides complexes, des réseaux locaux et des télétravailleurs, ainsi que des appareils, des applications, des données et de l'infrastructure dont ils dépendent, où qu'ils se trouvent.

Le Zero Trust Network Access (ZTNA) est le composant fondamental du modèle zero trust. Il fournit un accès sécurisé aux ressources en fonction de l'identité de l'utilisateur et de la posture du dispositif, plutôt qu'en s'appuyant sur l'emplacement du réseau. Le ZTNA permet aux entreprises de mettre en place des contrôles d'accès précis et définis, offrant aux utilisateurs le moindre privilège nécessaire pour effectuer leurs tâches. En limitant l'accès utilisateur aux seules applications et services dont il a besoin, l'approche réduit la surface d'attaque potentielle et le risque de mouvement latéral non autorisé, une vulnérabilité courante exploitée par les cybercriminels.

Le ZTNA refuse l'accès par défaut et établit des connexions chiffrées individuelles entre les dispositifs et les ressources qu'ils utilisent. Cela permet un accès à distance sécurisé à des applications et services spécifiques tout en dissimulant la plupart des infrastructures et services. Cela permet également de mettre en œuvre des politiques de contrôle d'accès spécifiques à l'emplacement et au dispositif, ce qui empêche les dispositifs compromis de se connecter aux services.

Le zero trust est important car il répond aux limites des modèles de sécurité réseau traditionnels qui s'appuient sur des stratégies de défense du périmètre, telles que les pare-feu, pour protéger les ressources et l'infrastructure de données vitales. Ces approches traditionnelles ne sont pas adaptées pour faire face à l’augmentation des menaces avancées, des attaques internes et des mouvements latéraux d’acteurs malveillants au sein d’un réseau.

Dans une ère numérique définie par une main-d'œuvre de plus en plus internationale et disparate, le zero trust fournit un cadre de sécurité proactif et adaptatif axé sur la vérification continue, ce qui réduit le risque d'accès non autorisé et de violation de données. En outre, avec la croissance de l'infrastructure cloud hybride et des environnements pilotés par les données infiniment complexes, des stratégies zero trust correctement mises en oeuvre font gagner un temps précieux aux équipes chargées de la sécurité. Plutôt que de dépenser des ressources pour gérer un patchwork mal intégré de solutions et d'outils de sécurité, les entreprises et leurs équipes informatiques peuvent se concentrer sur les menaces à venir.

Le zero trust repose sur des principes essentiels, mais il n’existe pas de norme unique, donc leurs définitions et leur portée varient d’un cadre à l’autre. Par exemple, aux États-Unis, de nombreux documents d'orientation proposent des interprétations différentes de ces principes et piliers : 

• Agence de cybersécurité et de sécurité des infrastructures (CISA)
• National Institute of Standards and Technology (NIST)
• Ministère américain de la Défense (DoD)
• Administration des services gouvernementaux (GSA)

Bien que le concept du zero trust soit interprété différemment selon les secteurs et les entreprises, la plupart des experts s'accordent sur un ensemble commun de principes fondamentaux pour le déploiement pratique et efficace de la stratégie du zero trust.

La plupart des cadres reposent sur trois principes : la vérification continue, l’accès selon le moindre privilège et l’hypothèse de violation. Ceux-ci fournissent la base de référence, tandis que des principes plus larges élargissent la stratégie pour répondre aux demandes du monde réel.

Principes clés de Zero Trust :

• Contrôle d'accès basé sur l'identité : le zero trust souligne l'importance de vérifier et d'authentifier l'identité des utilisateurs avant d'accorder l'accès aux ressources. Les identités des utilisateurs sont les critères principaux pour déterminer les privilèges d'accès.
• Authentification multifactorielle (MFA) : l'authentification multifactorielle fournit un niveau supplémentaire de sécurité en demandant aux utilisateurs de fournir plusieurs formes de vérification, comprenant des mots de passe, des données biométriques et des jetons de sécurité.
• Microsegmentation : la microsegmentation divise les réseaux en sections plus petites, ce qui permet aux entreprises d'appliquer des contrôles d'accès précis. En limitant les mouvements latéraux au sein du réseau, le zero trust réduit l’impact des violations potentielles.
• Moindre privilège : les utilisateurs obtiennent le moindre privilège nécessaire pour effectuer leurs tâches. En limitant les droits d'accès, vous réduisez le risque d'accès non autorisé et d'exposition des données. Le fait de limiter la portée des identifiants de connexion et des chemins d'accès à un utilisateur malveillant potentiel donne aux entreprises plus de temps pour neutraliser les attaques.
• Suivi continu et validation : le suivi continu et actif du comportement des utilisateurs, de l'état des dispositifs et du trafic réseau pour détecter les anomalies et les menaces potentielles permet aux équipes informatiques de réagir rapidement aux évènements de sécurité. Une fois établies, les connexions expirent périodiquement, ce qui oblige la revérification continue des utilisateurs et des dispositifs.

Les piliers du zero trust représentent les éléments centraux d'une stratégie de sécurité, de qui peut accéder aux informations à la manière dont les données sont surveillées et protégées. Ensemble, ces piliers créent un cadre complet qui aide à prévenir les menaces et à garantir la sécurité des activités. Chaque pilier représente une partie spécifique de la sécurité et, une fois combinés, ils forment un tableau complet qui protège une entreprise contre les menaces internes et externes.

Le zero trust est traditionnellement défini autour d'un ensemble de piliers centraux. Le modèle de la CISA, par exemple, comprend cinq piliers : l'identité, les dispositifs, le réseau, les applications et les données, qui représentent les points de contrôle critiques. La visibilité, l'analyse et l'automatisation sont souvent considérées comme des éléments interfonctionnels plutôt que comme des piliers individuels, ce qui ne les rend pas moins essentiels. Ils sont intégrés à l'ensemble de l'architecture du zero trust, forment un tout cohérent et garantissent que chaque élément du système fonctionne de manière synchronisée.

Il ne s'agit pas seulement d'une théorie : c'est la même direction prise par des organisations respectées du secteur public comme la CISA, le ministère de la Défense des États-Unis, le Centre national de cybersécurité du Royaume-Uni (NCSC) et le Centre de cybersécurité de l'Australie (ACSC), entre autres.

Les données devraient idéalement servir d'élément commun et unificateur qui relie tous les piliers du zero trust. Chaque pilier, qu'il s'agisse de l'identité, des dispositifs, du réseau ou des applications, génère des données télémétriques essentielles. Si ces données ne sont pas rassemblées, le zero trust reste fragmenté.

Les données servent de base pour garantir que les politiques sont éclairées, que les réponses sont précises et que la visibilité est complète. C'est ainsi que les entreprises passent de contrôles cloisonnés à des activités de sécurité véritablement intégrées.

Le zero trust nécessite une vérification et une surveillance continues. Il s'appuie sur des technologies et des techniques telles que l'authentification multifactorielle (MFA), le contrôle d'accès basé sur l'identité, la microsegmentation, la sécurité robuste des points de terminaison et la surveillance continue du comportement des utilisateurs et de l’état des dispositifs.

En combinant ces éléments, le zero trust garantit que l'accès est uniquement accordé en fonction d'une évaluation de confiance en temps réel, plutôt que sur la confiance supposée des identifiants de connexion statiques ou de l'emplacement du réseau. Le modèle du zero trust part du principe qu'une violation s'est déjà produite ou va se produire, et que par conséquent les utilisateurs ne devraient jamais avoir accès à des informations sensibles sur la base d'une seule vérification au niveau du périmètre de l'entreprise.

Le zero trust exige une vérification continue de chaque utilisateur, dispositif et application. Il authentifie et autorise chaque connexion et flux réseau, en s'appuyant sur une large variété de données pour assurer la visibilité complète.

Traditionnellement, la grande majorité des attaques ont impliqué l'utilisation ou l'utilisation abusive d'identifiants de connexion légitimes et compromis dans un réseau. Une fois à l'intérieur du périmètre d'un réseau, les individus malveillants peuvent faire des ravages dans les systèmes. Avec la croissance explosive de la migration vers le cloud et des environnements de travail à distance, le zero trust représente une évolution essentielle des modèles de sécurité pour lutter contre les cybermenaces actuelles.

La mise en œuvre réussie d'une architecture zero trust nécessite un engagement à l'échelle de l'entreprise. Cela comprend l'obtention l’harmonisation universelle des politiques d'accès, la connexion des informations entre les domaines de sécurité et la sécurisation de toutes les connexions au sein de l'entreprise. 

Pour adopter le zero trust, il faut effectivement une approche systématique. Voici trois étapes clés pour aider les entreprises à passer à un modèle de sécurité zero trust :

• Étape 1 : Évaluez votre infrastructure réseau existante et votre posture de sécurité pour identifier les vulnérabilités. Pour vous aider à mesurer la portée de la mise en place du zero trust, vous pouvez définir votre surface d'attaque en évaluant les faiblesses et en détectant les domaines pouvant être améliorés.
• Étape 2 : Développez une stratégie complète de contrôle d'accès basée sur les principes du zero trust. Cela comprend le catalogage de toutes vos ressources informatiques et de données, la définition et l'attribution de rôles utilisateur, la mise en oeuvre de l'authentification multifactorielle, la mise en place de contrôles d'accès précis et l'adoption de techniques de segmentation réseau.
• Étape 3 : Déployez les dernières technologies et solutions pour vous aider à mettre en œuvre le zero trust. Cela peut impliquer la mise en oeuvre de solutions de gestion des identités et des accès (IAM), des systèmes de détection d'intrusion, des pare-feu de nouvelle génération et des outils de gestion des informations et des évènements de sécurité (SIEM). Surveillez et mettez à jour régulièrement ces solutions pour conserver un environnement de sécurité zero trust sain.

Les stratégies zero trust peuvent apporter de nombreux avantages, notamment une productivité améliorée, de meilleures expériences pour les utilisateurs finaux, une réduction des coûts informatiques, un accès plus flexible et, bien sûr, une sécurité considérablement renforcée. L'adoption du zero trust offre aux entreprises : 

• Une posture de sécurité améliorée : fondamentalement, en vérifiant et en surveillant l'accès en permanence, le zero trust réduit à la fois la surface d'attaque et le risque d'accès non autorisé, ce qui élimine les vulnérabilités intégrées aux protections traditionnelles axées sur le périmètre.
• Exposition réduite aux violations de données : le principe du moindre privilège et les contrôles d'accès précis du zero trust limitent les droits d'accès utilisateur, ce qui diminue la probabilité de violations de données, de mouvements latéraux et d'attaques internes.
• Une visibilité et un contrôle accrus : le zero trust offre aux entreprises une visibilité précise et en temps réel sur le comportement des utilisateurs, l'état des dispositifs et le trafic réseau.
• Une réponse rapide : le zero trust permet une détection et une réponse plus rapides aux menaces.
• L’atténuation des dommages : en limitant les violations à des zones restreintes grâce à la microsegmentation, le zero trust réduit les dommages en cas d'attaque, réduisant ainsi le coût de la récupération.
• Réduction des risques et de l'impact : en exigeant plusieurs facteurs d'authentification, le zero trust réduit l'impact des attaques par hameçonnage et du vol d'informations d'identification des utilisateurs. La vérification améliorée réduit le risque posé par les dispositifs vulnérables, y compris les dispositifs IdO qui sont difficiles à sécuriser et à mettre à jour.

Alors que le zero trust offre des avantages importants en termes de sécurité, son adoption peut entraîner des difficultés. Voici quelques défis courants :

• Infrastructure existante
  Les entreprises avec des systèmes existants peuvent trouver difficile d'intégrer les principes du zero trust dans leurs architectures réseau existantes. Les systèmes existants peuvent ne pas disposer des capacités nécessaires pour mettre en oeuvre des contrôles d'accès précis et une surveillance continue. L’adaptation des infrastructures basées sur la confiance implicite afin de s’aligner sur les principes du zero trust nécessite à la fois des connaissances et des investissements.
• Expérience utilisateur
  La mise en œuvre de mesures d'authentification et de contrôles d'accès robustes peut avoir un impact sur l'expérience utilisateur. Pour assurer une transition en douceur vers le zero trust, les entreprises doivent trouver un équilibre entre les besoins de sécurité et les exigences de facilité d'utilisation.
• Changements culturels
  Le zero trust nécessite un changement de mentalité et de culture d’entreprise. Les utilisateurs habitués à des politiques d'accès plus permissives peuvent avoir du mal à abandonner les procédures obsolètes du type « faire confiance mais vérifier ». Le zero trust ne peut être adopté qu'avec l'engagement, la coopération et l'adhésion totale de la direction, du personnel informatique, des propriétaires de données et de systèmes, et des utilisateurs dans toute l'entreprise.
• Données cloisonnées et interopérabilité
  Les données de sécurité résident souvent dans des outils, des plateformes ou des services déconnectés, ce qui rend difficile l'unification des informations cloisonnées. Cette fragmentation limite la visibilité transversale nécessaire pour une détection coordonnée des menaces et une interopérabilité efficace. Sans un niveau de données unique et unifié, il est difficile d'avoir une vue d'ensemble, d'identifier les risques et d'appliquer efficacement les politiques de sécurité.

Une stratégie zero trust peut être adaptée pour répondre aux besoins uniques de la plupart des entreprises. Le zero trust gagne du terrain dans tous les secteurs et le nombre de cas d'utilisation potentiels continue également de croître. En voici quelques exemples :

• Sécurisation des équipes de travail à distance : avec l'augmentation du télétravail, le zero trust aide les entreprises à sécuriser l'accès à leurs ressources de l'entreprise à partir de réseaux et de dispositifs potentiellement non fiables.
• Environnements cloud et multicloud : le zero trust est bien adapté pour sécuriser les applications et infrastructures cloud, garantissant que seuls les utilisateurs et dispositifs autorisés accèdent aux ressources critiques du cloud.
• Gestion des accès privilégiés : les principes du zero trust sont particulièrement pertinents pour gérer les accès privilégiés et atténuer les risques associés aux comptes privilégiés.
• Intégration rapide des tiers, des sous-traitants et des nouveaux employés : le zero trust facilite l'extension d'un accès restreint et de moindre privilège à des parties externes utilisant des dispositifs non gérés par les équipes informatiques internes.

La plateforme de recherche adossée à l'IA d’Elastic et l’approche du type maillage de données peuvent contribuer à l’application pratique des principes du zero trust dans toute l’entreprise. Elastic fournit une plateforme de données évolutive pour lier tous les niveaux de l'architecture zero trust d'une entreprise. En utilisant Elastic comme niveau de données unifié, vous pouvez collecter et intégrer des données provenant de différentes sources et formats, permettant une corrélation croisée efficace et une analyse à grande échelle en temps quasi réel.

Elastic facilite l'une des fonctionnalités les plus fondamentales de toute stratégie zero trust efficace : un niveau d'exploitation et d'analyse de données commun qui offre une visibilité sur l'ensemble de l'architecture, ainsi que des requêtes et des analyses en temps quasi réel sur tous les flux de données pertinents. La plateforme de données unique, puissante et flexible d'Elastic connecte toutes les données et tous les systèmes d'une manière à la fois rentable et évolutive, ce qui se traduit par un environnement plus intégré, précis et fiable.

• La solution Elastic Security
• L'élément manquant de votre stratégie Zero Trust : une couche de données unifiée
• Garder les données exploitables dans une architecture zero trust
• Votre stratégie Zero Trust comprend-elle une couche unifiée d'accès aux données ?
• Elastic fournit les bases pour l'infrastructure réseau zero trust du ministère de la Défense américain
• Guide de compréhension de l'IA dans le gouvernement
• Maillage de données dans le secteur public : piliers, architecture et exemples
• Guide de cybersécurité 101
  

¹ IBM Cost of a Data Breach Report 2022