Qu'est-ce que l'architecture de confiance zéro ?

Des logiciels malveillants plus performants, des appareils mobiles, des appareils IoT, des applications en nuage et des travailleurs à distance sont autant de menaces pour les entreprises de nos jours. Les menaces peuvent venir de l'intérieur et les données peuvent être stockées en dehors du réseau de l'entreprise. Cela fait de la cybersécurité une tâche difficile pour chaque entreprise. La sécurité traditionnelle des réseaux informatiques repose sur le principe selon lequel toute personne se trouvant à l'intérieur du réseau de l'entreprise est digne de confiance par défaut, tandis qu'il est difficile d'obtenir un accès depuis l'extérieur du réseau. Cela signifie qu'une fois qu'un pirate informatique accède au réseau, il peut pratiquement faire tout ce qu'il veut. La sécurité traditionnelle des réseaux informatiques ne protège pas non plus les données stockées dans les applications en nuage. Il est donc nécessaire de mettre en place un nouveau type de cybersécurité.

Qu'est-ce que le modèle de sécurité "zéro confiance" ?

La solution à ce problème est l'approche "zéro confiance". La sécurité zéro confiance signifie "ne jamais faire confiance, toujours vérifier", ce qui signifie qu'il ne faut pas faire confiance aux dispositifs par défaut, qu'ils se trouvent à l'intérieur ou à l'extérieur du réseau. Même s'ils ont déjà fait l'objet d'une confiance. Tout le monde doit être vérifié pour pouvoir accéder aux ressources du réseau de l'entreprise. La confiance zéro ne reconnaît pas les limites d'un réseau traditionnel. Les réseaux peuvent être locaux, dans le nuage, ou une combinaison de local et de nuage avec des ressources auxquelles les travailleurs à distance peuvent accéder de n'importe où. La sécurité zéro confiance est basée sur le principe clé de l'accès au moindre privilège. Cela signifie que chaque utilisateur ou appareil ne peut accéder qu'aux ressources dont il a réellement besoin, et à rien d'autre. De nombreuses organisations sont désireuses d'adopter une politique de sécurité de confiance zéro lorsqu'elles voient le coût et les autres conséquences d'une cyberattaque. La sécurité de confiance zéro est utilisée pour arrêter toutes les failles de sécurité potentielles.

Accès au réseau sans confiance (ZTNA)

Le modèle de sécurité zéro confiance est également connu sous le nom d'architecture zéro confiance, d'architecture réseau zéro confiance, d'accès réseau zéro confiance (ZTNA) ou de sécurité sans périmètre. Il décrit une approche de la cybersécurité pour la conception et la mise en œuvre de systèmes informatiques. Une architecture de confiance zéro est exactement ce à quoi on s'attendrait, une architecture basée sur le principe que rien n'est digne de confiance. Cela signifie qu'aucun appareil, utilisateur ou application souhaitant interagir avec votre architecture n'est digne de confiance. Cette approche de confiance zéro sécurise l'infrastructure et les données. Forrester Research a d'abord introduit le concept de confiance zéro pour les organisations qui veulent le plus haut niveau de cybersécurité pour leurs données sensibles. Ce concept répond également aux défis modernes tels que les travailleurs à distance, les environnements cloud hybrides et les cybermenaces qui peuvent être préjudiciables aux entreprises. Le modèle de confiance zéro a vu le jour parce que la sécurité traditionnelle des réseaux informatiques permettait aux pirates de pénétrer dans les réseaux d'entreprise. Les pirates pouvaient passer les pare-feu de l'entreprise pour pénétrer dans les segments du réseau et faire des ravages sans trop de résistance.

Les avantages

Un modèle de confiance zéro bien réglé peut conduire à une meilleure expérience utilisateur, à une infrastructure réseau plus simple et à une meilleure défense contre les cybermenaces. L'architecture de confiance zéro bloque les accès inappropriés et les mouvements latéraux dans le réseau en fonction du rôle et de la localisation de l'utilisateur, de son appareil et des données qu'il a demandées. Ce modèle repose sur la conviction qu'en appliquant des périmètres, les entreprises peuvent s'assurer que seuls les utilisateurs, les appareils et les applications autorisés peuvent accéder aux systèmes et aux données de l'organisation. Une bonne mise en œuvre de la confiance zéro limite le risque d'accès non autorisé, de menaces internes et d'attaques malveillantes.

L'histoire de la confiance zéro

Sécurité du périmètre et sécurité sans périmètre

La sécurité basée sur le périmètre utilise des pare-feu et d'autres technologies pour créer un périmètre autour de l'environnement informatique d'une organisation. Cette sécurité périmétrique est basée sur le modèle de sécurité "château et mats" qui fait confiance à tous les utilisateurs et appareils à l'intérieur du périmètre et autorise l'accès à tous les systèmes à l'intérieur du château. Au cours des deux dernières décennies, ce périmètre a commencé à se désintégrer. Avec l'essor de l'internet commercial, des communications mobiles, de l'informatique en nuage, de l'IdO et des politiques de travail à distance, le nombre d'employés, de partenaires commerciaux, d'applications et d'appareils situés à l'extérieur de ce périmètre a rendu la sécurité informatique traditionnelle presque inutile. Les pirates informatiques lancent également des attaques qui se fondent dans ce volume croissant de trafic. L'approche zéro confiance stoppe ces attaques et limite les dommages causés en autorisant les utilisateurs, les appareils et les systèmes avant qu'ils n'accèdent à certaines ressources.

Le calendrier de la confiance zéro en matière de sécurité

Avant 2004

Le passage d'une sécurité périmétrique à une sécurité sans périmètre a obligé les équipes de sécurité des entreprises à repenser leurs stratégies.

2004

Le cadre de confiance zéro a réellement pris son essor en 2004 grâce aux idées présentées par le Jericho Forum, un consortium international de sécurité. Les membres de ce forum ont constaté les problèmes potentiels de l'approche de la sécurité périmétrique et ont développé un nouveau concept de sécurité qu'ils ont appelé la dépérimètrisation. Ce concept prévoit des contrôles de sécurité à plusieurs niveaux, y compris le cryptage et l'authentification au niveau des données.

2010

John Kindervag est l'analyste de recherche de Forrester qui a popularisé le terme "confiance zéro" lorsqu'il a présenté l'idée qu'une entreprise ne devrait pas accorder sa confiance à quoi que ce soit à l'intérieur ou à l'extérieur de son périmètre.

2011

Google a initialement lancé BeyondCorp en réponse aux cyberattaques de l'opération Aurora. Son objectif était de permettre aux employés de travailler à distance sans utiliser de VPN. Plus tard, Google a publié un article détaillant son initiative, ce qui a donné à l'idée de la confiance zéro un regain de reconnaissance significatif.

2018

En 2018, les chercheurs ont continué à faire progresser le concept de confiance zéro. Forrester a présenté l'écosystème eXtended zero trust. Celui-ci a établi les sept piliers fondamentaux de la confiance zéro. Le NIST a également publié le SP 800-207, zero trust architecture. Ce document propose des lignes directrices sur les composants essentiels de la confiance zéro.

2019

En 2019, Gartner a introduit pour la première fois le terme "zero trust network access" (ZTNA). Ce terme décrit les produits et services qui fournissent le concept de confiance zéro au réseau.

2021-2022

Avec la pandémie de COVID-19, l'expansion du travail hybride et du travail à distance a accru le besoin de confiance zéro. La Maison Blanche ainsi que de nombreuses autres entités gouvernementales ont commencé à déployer des efforts pour tendre vers la confiance zéro. Les organisations gouvernementales ont ainsi pris de l'avance sur les entités du secteur privé.

L'avenir de la confiance zéro

En l'espace d'une décennie, la confiance zéro est passée d'un concept hypothétique à une approche largement déployée. De nombreuses organisations ont au moins commencé à mettre en œuvre une stratégie de confiance zéro. Mais peu d'entre elles l'ont pleinement mise en œuvre. Le nombre d'organisations qui vont de l'avant avec leur stratégie de confiance zéro va continuer à augmenter. Cependant, les organisations ont encore beaucoup de travail à faire. La confiance zéro n'est pas facile à mettre en œuvre. Il ne s'agit pas d'un produit unique que l'on peut acheter auprès d'un seul fournisseur. Elle implique également des couches successives de politiques et de technologies. Un grand nombre d'entreprises de cybersécurité et de gouvernements informent les organisations des dangers des cyberattaques et des étapes du processus de confiance zéro.

Quels sont les grands principes de l'architecture "zéro confiance" ?

Ne jamais faire confiance, toujours vérifier

Le premier grand principe de la sécurité zéro confiance est "ne jamais faire confiance, toujours vérifier". Cela signifie que les dispositifs ne doivent pas être approuvés par défaut, même s'ils sont situés à l'intérieur de votre réseau et même s'ils ont été préalablement vérifiés.

Authentification multifactorielle (AMF)

L'authentification multifactorielle (AMF) est une autre valeur fondamentale de la sécurité zéro confiance. L'AMF signifie qu'il faut plus d'un élément de preuve pour authentifier un utilisateur. Cela signifie que la simple saisie d'un mot de passe ne suffit pas pour obtenir un accès. Un exemple courant d'AMF est l'autorisation à deux facteurs utilisée sur des plateformes telles que Facebook et Google. En plus de saisir un mot de passe, les utilisateurs doivent également saisir un code envoyé à un autre appareil, comme un texte sur un téléphone portable ou un e-mail sur un ordinateur.

Contrôle et validation continus

La confiance zéro suppose qu'il existe des attaquants à l'intérieur et à l'extérieur du réseau. Cela signifie qu'aucun utilisateur ou machine ne devrait être automatiquement fiable. La confiance zéro vérifie l'identité de l'utilisateur et impose des privilèges, ce qui permet aux organisations de surveiller les menaces internes. Les ouvertures de session et les connexions sont périodiquement interrompues, ce qui oblige les utilisateurs et les appareils à être revérifiés en permanence.

Le moindre privilège

Le principe du moindre privilège est un autre principe de la sécurité "zéro confiance". Cela signifie que vous n'accordez aux utilisateurs que l'accès dont ils ont besoin pour minimiser l'exposition de chaque utilisateur à vos ressources difficiles à protéger. L'accès au moindre privilège consiste essentiellement à gérer soigneusement les autorisations des utilisateurs.

Contrôle d'accès aux appareils

La confiance zéro exige des contrôles d'accès stricts pour les appareils. Il est important de surveiller le nombre de dispositifs différents qui tentent d'accéder au réseau, de s'assurer que chaque dispositif est autorisé et d'évaluer tous les dispositifs pour s'assurer qu'ils ne sont pas compromis. Cela permet de minimiser la surface d'attaque.

Micro-segmentation

Un autre grand principe de la confiance zéro est la micro-segmentation. Cette pratique consiste à diviser les périmètres de sécurité en petites zones afin de maintenir un accès séparé pour des parties distinctes du réseau. Une personne ayant accès à l'une de ces zones ne pourra pas accéder aux autres zones sans autorisation distincte.

Prévention des mouvements latéraux

Le mouvement latéral désigne les déplacements d'un attaquant au sein d'un réseau après avoir obtenu l'accès à ce réseau. Il peut être difficile à détecter, même si le point d'entrée de l'attaquant est découvert, car l'attaquant se déplace rapidement et compromet également d'autres parties du réseau.

Comment mettre en œuvre la sécurité "zéro confiance" ?

Étapes de la mise en œuvre de la confiance zéro

La mise en œuvre de la confiance zéro peut sembler compliquée, mais elle peut être relativement facile avec le bon partenaire technologique.

Étape 1 : Visualiser

Au cours de cette première étape, vous devez comprendre toutes les ressources et leurs points d'accès afin de pouvoir visualiser tous les risques encourus. Vous devez obtenir une visibilité et un contexte pour l'ensemble du trafic entre les utilisateurs, les appareils, les lieux et les applications.

Étape 2 : Atténuation

Dans un deuxième temps, vous devez détecter et arrêter les menaces ou atténuer l'impact d'une violation au cas où une menace ne peut être arrêtée immédiatement.

Étape 3 : Optimiser

La troisième étape consiste à optimiser. Vous devez étendre la protection à tous les aspects de l'infrastructure informatique et à toutes les ressources, quel que soit l'endroit où elles se trouvent, tout en optimisant l'expérience des utilisateurs finaux et de toutes les personnes concernées. Cela signifie également que vous devez être en mesure de surveiller et de vérifier le trafic lorsqu'il passe d'une fonction à l'autre à l'intérieur du réseau.

Solution Jimber

Isolation du navigateur

Browser Isolation est développé avec notre technologie d'isolation qui est basée sur l'approche zéro confiance. C'est une façon de naviguer en toute sécurité. L'isolation du navigateur utilise une technologie qui fournit une protection contre les logiciels malveillants en contenant l'activité de navigation dans un environnement isolé. Cet environnement isolé sécurise toutes les menaces afin qu'elles ne puissent pas s'infiltrer dans l'ordinateur de l'utilisateur ou dans d'autres appareils. Bien sûr, nous ne voulons pas révéler tous nos secrets concernant nos solutions de cybersécurité, mais en utilisant l'isolation du navigateur, l'utilisateur surfe dans un environnement isolé. Nous appelons souvent cela un "conteneur" : une couche supplémentaire qui s'interpose entre l'internet et les ordinateurs de votre entreprise (les utilisateurs finaux). À la fin de la session de navigation, tout est supprimé. Un virus ou une cyberattaque est contenu dans le conteneur Jimber isolé et est supprimé dès que la session est fermée. Ainsi, la session Internet ne constitue plus une menace pour votre organisation. Aucun contenu web n'atteint jamais l'ordinateur de l'utilisateur. Les logiciels malveillants ne peuvent donc jamais pénétrer dans votre système.

Isolation du réseau

Notre isolation réseau garantit un accès sécurisé à un réseau d'entreprise après vérification (par exemple via Gmail ou 2FA) qui ne permet d'accéder qu'à des applications et/ou appareils spécifiques au lieu d'un accès complet au réseau. Notre solution Jimber Network Isolation est parfaite pour le travail hybride. L'isolation du réseau peut être comparée au ZTNA (Zero Trust Network Access). Cela signifie que vous ne faites confiance à rien et que vous vérifiez tout. Il offre une meilleure sécurité et une micro-segmentation. L'isolation du réseau authentifie en permanence chaque utilisateur et chaque appareil. Les utilisateurs n'ont accès qu'aux applications, aux données et aux appareils explicitement définis par leur périmètre, plutôt qu'à un accès total au réseau. L'isolation du réseau protège contre toutes sortes de menaces. Tout d'abord, l'isolation du réseau vérifie régulièrement la santé des appareils qui se connectent aux applications et la micro-segmentation réduit les endroits où les menaces peuvent se déplacer et attaquer. Deuxièmement, vous pouvez vous protéger contre les menaces d'initiés car vous pouvez facilement savoir quels employés ont quels privilèges. Troisièmement, l'isolation du réseau empêche la découverte d'applications sur l'internet public. Cela permet aux utilisateurs d'accéder aux applications tout en protégeant les organisations contre l'exposition des données, les logiciels malveillants et d'autres attaques.

Cas d'utilisation : L'isolation du réseau Jimber réduit les erreurs et le coût du matériel et de la maintenance.

Le matériel et la maintenance des réseaux d'entreprise peuvent être extraordinairement complexes et coûteux. De nombreuses entreprises trouvent des moyens créatifs pour permettre aux utilisateurs d'accéder à leurs ressources sur plusieurs sites, ce qui peut entraîner de nombreuses erreurs. Cela provoque des failles dans les pare-feu et les protocoles d'accès. L'isolation du réseau autorise les utilisateurs à accéder aux applications et aux réseaux. Cela signifie que le temps et la gestion sont réduits et simplifiés.

Cas d'utilisation : L'isolation du réseau Jimber limite l'accès des utilisateurs et réduit les risques pour les tiers.

La plupart des solutions de sécurité traditionnelles permettent aux utilisateurs tiers d'obtenir un accès complet au réseau. Cela expose les ressources sensibles de l'entreprise à des comptes compromis, à des dispositifs non gérés et à des menaces internes. Cela signifie que les pirates peuvent se déplacer librement et sans être détectés dans les systèmes internes. L'isolation du réseau réduit les risques pour les tiers, car seuls les utilisateurs autorisés peuvent accéder aux ressources internes permises.Vous voulez en savoir plus ? Contactez notre équipe.