Qu’est-ce que l’architecture Zero Trust ?

Zero trust est devenu l’un des termes les plus populaires de la sécurité du réseau. Cependant, avec tout le battage médiatique, il peut devenir difficile de distinguer le marketing sans substance de la valeur réelle. Heureusement, contrairement à beaucoup de mots à la mode, il y a beaucoup de substance autour de la confiance zéro, ou Zero trust.

Au début de cette année, le National Cybersecurity Center of Excellence (qui fait partie du National Institute of Standards and Technology du Gouvernement des États-Unis) a publié son projet d’implémentation d’une architecture Zero Trust, une approche fondée sur des normes pour la mise en œuvre de l’architecture Zero Trust.

Alors, en quoi la confiance zéro est-elle concrète et comment pouvez-vous identifier des solutions qui répondent aux besoins de votre entreprise ? Regardons cela de plus près…

Qu’est-ce que le Zero Trust Network Access ? Un cours accéléré

En termes simples, la confiance zéro est basée sur les principes suivants : appliquer des contrôles d’accès granulaires et ne faire confiance à aucun des points de terminaison à moins qu’ils ne soient explicitement autorisés à accéder à une ressource donnée. La Zero Trust Network Architecture est simplement une conception qui met en œuvre des principes de confiance zéro et produit ce qu’on appelle le Zero Trust Network Access (ZTNA).

L’architecture Zero Trust représente un changement fondamental par rapport aux solutions traditionnelles de type « châteaux et douves » telles que les appliances VPN basées sur Internet pour l’accès réseau à distance. Avec ces solutions traditionnelles, une fois qu’un point de terminaison s’authentifie, il a accès à tout sur le même segment de réseau et n’est potentiellement bloqué que par la sécurité au niveau de l’application.

En d’autres termes, les solutions traditionnelles faisaient par défaut confiance à tout sur le réseau interne. Malheureusement, ce modèle n’est pas assez robuste pour l’entreprise digitale moderne. La confiance zéro est devenue nécessaire parce que les réseaux d’entreprise ont changé radicalement au cours de la dernière décennie, et encore plus au cours des six derniers mois.

Le télétravail est désormais la norme, les données critiques circulent vers et depuis plusieurs clouds publics, le BOYD est une pratique courante, et les périmètres WAN sont plus dynamiques que jamais. Cela veut dire que les réseaux d’entreprise qui ont une surface d’attaque plus étendue sont fortement incités à la fois à prévenir les violations et à limiter les temps d’arrêt et le mouvement latéral en cas de violation. L’architecture Zero Trust permet la micro-segmentation et la création de micro-périmètres autour des appareils pour atteindre ces objectifs. Pour une analyse approfondie de la confiance zéro, consultez le Guide du marché du ZTNA de Gartner.

Fonctionnement de l’architecture Zero Trust

Bien que les outils spécifiques utilisés pour mettre en œuvre l’architecture de confiance zéro puissent varier, le projet Mise en œuvre d’une architecture de confiance zéro du Centre national d’excellence en cybersécurité met en avant quatre fonctions clés :

Identifier. Implique de faire l’inventaire et la catégorisation des systèmes, logiciels et autres ressources. Permet de définir des lignes de base pour la détection des anomalies.
Protéger. Implique le traitement de l’authentification et de l’autorisation. La fonction de protection couvre la vérification et la configuration des identités des ressources sur lesquelles la confiance zéro est basée ainsi que la vérification d’intégrité pour le logiciel, le firmware et le matériel.
Détecter. La fonction de détection vise l’identification d’anomalies et d’autres événements de réseau. Il est essentiel ici d’exercer une surveillance continue en temps réel pour détecter de manière proactive les menaces potentielles.
Réagir. Cette fonction gère le confinement et l’atténuation des menaces une fois qu’elles sont détectées.

L’architecture de confiance zéro couple ces fonctions avec des stratégies d’accès granulaires de niveau applicatif définies sur le refus par défaut.

Il en résulte un flux de travail qui ressemble à quelque chose comme ceci dans la pratique :

Les utilisateurs s’authentifient à l’aide de la MFA (authentification multifacteur) sur un canal sécurisé
L’ accès est accordé à des applications et des ressources réseau spécifiques en fonction de l’identité de l’utilisateur
La session est surveillée en permanence pour détecter des anomalies ou des activités malveillantes
La réponse aux menaces s’effectue en temps réel lorsque des activités potentiellement malveillantes sont détectées
Le même modèle général est appliqué à tous les utilisateurs et ressources au sein de l’entreprise, créant un environnement où une véritable micro-segmentation est possible.

Comment le SDP et le SASE s’appuient sur l’architecture Zero Trust

Le SDP (software-defined perimeter), également appelé ZTNA (Zero Trust Network Access), est une approche logicielle visant à sécuriser l’accès à distance. Le SDP est basé sur une authentification utilisateur forte, des droits d’accès au niveau applicatif et une évaluation continue des risques tout au long des sessions utilisateur. Cette description permet à elle seule de mieux comprendre comment le SDP permet d’implémenter l’architecture Zero Trust.

Lorsque le SDP fait partie d’une plateforme SASE (Secure Access Service Edge) plus large, les entreprises bénéficient d’avantages supplémentaires en matière de sécurité et de performances. Avec le SASE, le SDP élimine la complexité du déploiement des appliances à chaque emplacement et l’imprévisibilité due à la dépendance sur l’Internet public en tant que dorsale de réseau. De plus, avec le SASE, des fonctionnalités de sécurité avancées sont intégrées à l’infrastructure réseau sous-jacente. En bref, lorsqu’il s’inscrit dans le SASE, le SDP permet à l’architecture Zero Trust d’atteindre son plein potentiel. Cela simplifie alors la sécurisation des personnels distants avec la ZTNA.

Par exemple, la plateforme Cato SASE met en œuvre la confiance zéro et offre :

1. Accès à distance intégré basé sur le client ou sur un navigateur sans client
2. Authentification via MFA sécurisée
3. Autorisation basée sur des politiques d’accès au niveau applicatif basées sur des identités d’utilisateurs
4. DPI (inspection approfondie des paquets) et un moteur anti-malware intelligent pour une protection continue contre les menaces
5. Fonctionnalités de sécurité avancées telles que NGFW (pare-feu nouvelle génération), IPS (système de prévention des intrusions) et SWG (passerelle Web sécurisée)
6. Performances optimisées de bout en bout pour les ressources sur site et dans le cloud
7. Une plateforme cloud distribuée à l’échelle mondiale, accessible à partir de tous les edges du réseau
8. Une dorsale réseau prise en charge par plus de 50 PoP (points de présence) et un SLA de disponibilité de 99,999 %

Si vous souhaitez en savoir plus sur le SDP, le SASE ou Zero Trust, contactez-nous dès aujourd’hui ou inscrivez-vous pour assister à une démonstration de la plateforme Cato SASE.