Zero Trust : comment ce modèle améliore la sécurité

Le Zero-Trust encourage les équipes de sécurité des entreprises à moins dépendre du modèle traditionnel de sécurité périmétrique, dont les piliers sont les fameux firewalls et autres connexions VPN, et davantage de nouveaux processus et technologies de sécurité qui peuvent être appliqués directement aux ressources de l'entreprise, quelle que soit leur localisation et l'identité du demandeur d'accès.

La description la plus synthétique des principes sous-jacents à l'approche Zero-Trust peut être la suivante :

1. Tout réseau est par défaut considéré comme hostile.
2.  Les menaces internes et externes sont présentes à tout moment sur le réseau.
3.  Être à l'intérieur d'un réseau interne n'est jamais un gage de confiance absolue.
4.   Chaque terminal, chaque utilisateur et chaque flux réseau doivent être authentifiés et autorisés.
5.    Les politiques de sécurité doivent être dynamiques et définies à partir d'autant de sources de données que possible.

Le modèle Zero-Trust est de plus en plus populaire à mesure qu'un nombre croissant d'organisations s'engagent dans des projets de transformation digitale, qui sont en grande partie incompatibles avec le modèle de sécurité périmétrique.

L'adoption du cloud, le télétravail, le BYOD et d'autres tendances nouvelles créent de plus en plus de scénarios dans lesquelles le routage du trafic via un périmètre de sécurité réseau (par exemple, un firewall ou une liaison VPN) suffit à établir qu'une demande d'accès provient d'une adresse IP « sûre. »

Ce processus, connu sous le nom de 'backhauling' (réacheminement), renforce le mythe selon lequel la sécurité basée sur le périmètre était efficace en toutes circonstances. Or, les innombrables manières utilisées par les acteurs malveillants pour s'introduire dans des réseaux d'entreprise sont bien connues, tout comme le déplacement transversal qu'ils effectuent à travers ces réseaux pour voler des données et déstabiliser des entreprises.

Le fait d'accorder une confiance aveugle à un utilisateur qui a pu, d'une manière ou d'une autre, obtenir un accès au réseau affaiblit la posture de sécurité d'une organisation, et cela de quatre manières :

-  Il ne tient pas compte des vols d'identifiants
Le Data breaches Investigations Report 2019 de Verizon a révélé que 32% des intrusions étaient le fuit d'attaques de 'phishing', et que 29% impliquaient l'utilisation d'identifiants volés. Des identifiants valides suffisent souvent à accéder à un réseau d'entreprise.

- Il ne tient pas compte des terminaux compromis
L'Internet Security Threat Report 2019 de Symantec a révélé qu'« un appareil sur 36 utilisés dans les organisations était classé comme à haut risque. Ceci comprend des terminaux 'rootés' ou 'jailbreakés', ainsi que les appareils quasiment certains d'être infectés par un malware. » Des utilisateurs légitimes sur des terminaux compromis peuvent exposer, par accident, des ressources sensibles à des acteurs malveillants via leur propre accès au réseau d'entreprise.

- Il ne tient pas compte du contexte de la demande d'accès
Les adresses IP aident à établir qu'un utilisateur demande un accès à partir d'un « réseau de confiance ». Mais compter sur ces seules données a pour résultat une protection insuffisante des ressources de l'entreprise, car sont ignorées d'autres sources de risques basées sur le type d'utilisateur (service, ancienneté, privilège), sur le contexte de la demande (moment de la journée, terminal, géolocalisation), ainsi que le niveau de risque de la ressource demandée (application financière vs calendrier des vacances).

- Il crée une impression fallacieuse de sécurité 
Le mythe de la sécurité derrière le firewall est dangereux. Faute de prendre en compte l'hypothèse que le réseau a déjà fait l'objet d'une attaque, les habituelles bonnes pratiques de sécurité peuvent être remises à plus tard ou ignorées car « personne ne pourra accéder à cette ressource de l'extérieur, et de toutes façons elle se trouve derrière le firewall. »

Les faiblesses d'une approche basée sur une sécurité périmétrique mentionnée plus haut disparaissent rapidement avec l'adoption d'un modèle Zero-Trust. Les identifiants et terminaux compromis, ainsi que les changements de contexte sont tous traités par des fonctionnalités sous-jacentes à toute stratégie Zero-Trust.

Et lorsque l'impression de sécurité absolue derrière un firewall n'existe plus, les responsables et les équipes de sécurité sont forcés d'évaluer attentivement la sécurité et le profil de risque de chaque ressource de manière régulière pour garantir une protection suffisante.

Un modèle Zero-Trust assure que les bonnes questions soient posées en fonction du profil de risque de chaque utilisateur, de chaque terminal et de la ressource dont l'accès est demandé :

Au cours de l'authentification
-  Cet utilisateur est-il autorisé ?
-  Cet utilisateur a-t-il été identifié de manière acceptable pour la tâche effectuée ?
-  Son terminal est-il suffisamment sécurisé pour la tâche effectuée ?
-  Cet utilisateur est-il qui il prétend être ?

Au cours de l'autorisation
- Cet utilisateur doit-il obtenir un accès en toute circonstance ?
- Cet utilisateur doit-il obtenir un accès en tenant compte des circonstances actuelles ?

Au cours des transactions
- Cette session est-elle toujours contrôlée par le véritable utilisateur ?
- Le degré de confiance dans l'identité de l'utilisateur est -il cohérent avec le niveau de risque associé à cette transaction ?
- La demande a-t-elle été vérifiée ?

Au cours de l'accès aux données
-  L'utilisateur a-t-il donné son consentement pour l'accès, et à qui ?
-  A quelles transactions (LIRE, MODIFIER, SUPPRIMER) a-t-il consenti ?
-  Ces données devraient-elles être cryptées ?

 Outre un niveau de protection des données largement supérieur, remplacer un modèle de sécurité exclusivement périmétrique par un modèle Zero Trust présente de nombreux avantages supplémentaires pour les entreprises.

Tout d'abord, elles sont libres de profiter de tout l'éventail des options de déploiement pour l'infrastructure, les applications et les données sans avoir à « réacheminer » tout le trafic via le réseau interne et son firewall.

Deuxièmement, elles peuvent accroître leur agilité en s'appuyant indifféremment sur des data centers sur site, des clouds privés, des clouds publics et toute combinaison des trois en fonction de ce qui est le plus approprié pour chaque catégorie de ressource et non de ce qui fonctionne le mieux pour la sécurité. Elles peuvent également réaliser des économies en optimisant les frais d'hébergement et de gestion par catégorie de ressource, ainsi qu'en réduisant les frais de licence pour les liaisons VPN et autres équipements de sécurité périmétrique.

Troisièmement, elles peuvent améliorer la productivité de leurs employés en adoptant un modèle Zero-Trust, grâce à l'uniformisation des contrôles d'accès à toutes les ressources quelle que soit la localisation et le terminal utilisé par le demandeur.

Enfin, des ' micro-segments ' de conformité peuvent être mis en place pour s'assurer que toutes les données hébergées dans ce segment respectent les exigences d'une réglementation particulière.

Arnaud Gallut, Directeur des Ventes Europe du sud - Ping Identity.