Les 7 piliers du Zero Trust

Les organisations adoptent de plus en plus un modèle de confiance explicite dit Zero Trust pour renforcer leur cybersécurité et leur cyberrésilience. Cet article présente ce qu’est le Zero Trust, ses atouts et ses faiblesses, et les sept piliers d’une implémentation Zero Trust.

Qu’est-ce que le Zero Trust ?

La stratégie classique de cybersécurité s’inscrit dans le cadre de la défense du périmètre, l’objectif principal étant d’empêcher les entités hostiles de pénétrer dans le réseau. Les utilisateurs, les processus, les appareils et les autres entités à l’intérieur du périmètre disposaient quant à eux d’un accès étendu aux ressources informatiques. On disait « Notre réseau est plutôt plat » pour signifier que quiconque à l’intérieur du périmètre pouvait voir tout (ou presque) et y accéder, que tout était décloisonné.

Toutefois, la distinction entre les entités à l’intérieur et à l’extérieur du réseau s’estompe au fil des ans pour des raisons liées au télétravail, à l’utilisation d’appareils personnels dans le cadre professionnel (politiques BYOD), et à la complexité des chaînes d’approvisionnement. De plus, les analyses post-incident ont révélé que lorsqu’ils pénètrent dans un réseau, souvent grâce à des identifiants légitimes volés ou devinés, les cybermalfaiteurs y passent fréquemment des semaines, des mois, voire des années à épier pendant lesquels ils se déplacent furtivement en latéral et élèvent leurs droits d’accès jusqu’à atteindre des systèmes ou données sensibles. En outre, les utilisateurs légitimes des identifiants peuvent aussi causer des dégâts, soit volontairement, soit par erreur ou négligence.

Pour parer à ces situations, la nouvelle approche Zero Trust aborde la cybersécurité selon la devise « ne jamais faire confiance, toujours vérifier ». En pratique, le Zero Trust comprend toute une gamme de contrôles de sécurité, notamment :

• La réauthentification en fonction du risque – aucun utilisateur, processus ou autre identité ne doit être authentifié une fois pour toutes et pouvoir accéder ensuite librement aux ressources informatiques – même si le premier accès a été confirmé par une authentification multifacteur (MFA). Il faut à la place peser le risque de chaque demande d’accès selon différents facteurs ; si le risque dépasse un seuil, une authentification supplémentaire est nécessaire. Parmi ces facteurs de risque, citons l’heure et le lieu de la demande, le niveau de classification des ressources demandées (public, secret ou très secret), les caractéristiques de l’appareil demandeur (comme la version du logiciel), et l’analyse comportementale des schémas d’activité normale de l’entité.

• Adhésion stricte au principe du moindre privilège – l’approche Zero Trust exige aussi d’octroyer l’accès uniquement aux ressources nécessaires pour réaliser une tâche donnée et pour une durée définie. On limite ainsi les éventuels dommages de quiconque à l’intérieur du réseau, que ce soit l’usage d’un titulaire légitime ou la conséquence d’une compromission par un attaquant.

• Surveillance étroite de l’activité – pour garantir la détection rapide des menaces, le Zero Trust exige la surveillance en continu des activités dans l’ensemble de l’infrastructure IT, notamment des actions des utilisateurs finaux, des administrateurs, des comptes de service, des appareils, etc.

Quels sont les 7 piliers du Zero Trust ?

Dans son document sur l’architecture de référence « Zero Trust Reference Architecture », le ministère américain de la Défense établit les sept piliers indissociables de la mise en œuvre des principes du Zero Trust : 

• Les utilisateurs (users) – cet aspect concerne tous les processus liés à l’authentification des identités des utilisateurs et à la gestion de leurs privilèges. On y trouve notamment la gestion des identités et des accès (IAM), la gestion des accès à privilèges (PAM) et l’authentification multifacteur.

• Les appareils (devices) – cette catégorie implique d’authentifier les identités des appareils et de garantir que ceux-ci soient conformes aux règles de sécurité (logiciels à jour, sans composant non autorisé). Les outils de sécurité des appareils comprennent les systèmes des diagnostics et atténuations en continu (CDM), les solutions de gestion des appareils mobiles (MDM), et les modules de plateforme sécurisée (TPM).

• Le réseau/l’environnement (network/environment) – il s’agit ici d’isoler le réseau et d’en avoir la maîtrise, aussi bien dans les environnement sur site que hors site. Les stratégies de sécurité du réseau importantes comprennent les autorisations d’accès granulaires, et la micro- et la macrosegmentation.

• Les applications et les charges de travail (workloads) – cette catégorie regroupe toutes les tâches effectuées par logiciel. Les fonctionnalités de proxy peuvent être utiles dans ce domaine.

• Les données (data) – toutes les données qu’une organisation stocke et traite. Une stratégie exhaustive de gestion des données comprend des contrôles, comme l’examen des accès aux données, pour appliquer rigoureusement le principe de moindre privilège et le chiffrement pour empêcher que les données ne tombent en de mauvaises mains.

• Visibilité et analyses (visibility and analytics) – ce volet traite de l’analyse de l’activité dans le réseau et le système afin de détecter les menaces. Les technologies utiles comprennent les journaux d’activité système et réseau, les flux de cyberveille (CTI) et les outils SIEM.

• Automatisation (automation) et orchestration – l’automatisation des processus de sécurité, comme la détection des menaces et la réponse à apporter, pour accélérer la mise en œuvre de la politique de sécurité et renforcer sa cohérence.

Qu’est-ce qu’une architecture Zero Trust ?

Pour implémenter les piliers du modèle Zero Trust, les organisations doivent bâtir une architecture Zero Trust. Le document « Zero Trust Architecture » (NIST SP 800-207)  énumère les principaux composants :

Au centre du schéma se trouvent les éléments de politique :

• Moteur de politiques (PE, policy engine) – il collecte les données sur une demande et applique les règles de l’entreprise pour décider de l’approuver ou non.

• Administrateur des politiques (PA, policy administrator) – suite à la décision du PE, il crée ou non les données d’authentification ou les jetons pour autoriser une session.

• Point d’application de politique (PEP, policy enforcement point) – il gère la connexion entre l’appareil demandeur et la ressource privée en fonction des commandes envoyées par le PA.

Sur les côtés gauche et droit se trouvent les sources de données qui alimentent le PE :

• Système des diagnostics et atténuations en continu (CDM, continuous diagnostics and mitigation) – il collecte les informations sur les caractéristiques de l’appareil demandeur.

• Système de conformité sectorielle (industry compliance) – il encode les règles pour aider au respect de la réglementation applicable, comme les lois américaines sur la gestion de la sécurité des informations fédérales FISMA ou sur les données de santé HIPAA.

• Flux de cyberveille (threat intelligence feeds) – ils fournissent des informations sur les attaques ou vulnérabilités pertinentes dans le processus de contrôle d’accès.

• Journaux d’activité réseau et système (network and system activity logs) – il enregistre les informations sur les événements au sein du réseau afin d’améliorer la détection des menaces et de déterminer les comportements anormaux.

• Politiques d’accès aux données (data access policies) – elles définissent les règles fondamentales déterminant les individus autorisés à accéder à une ressource donnée à un moment donné.

• Système de gestion des informations et des événements de sécurité (SIEM) – il collecte et analyse les données issues de différentes sources pour repérer les menaces à la sécurité.

• Système de gestion des identités (ID management) – il gère le registre des identités des comptes demandant l’accès aux ressources.

Quels sont les défis d’une implémentation Zero Trust ? 

Principaux challenges de la mise en œuvre du modèle Zero Trust : 

• Migrer les systèmes existants – la plupart des organisations qui mettent en œuvre le Zero Trust ne partent pas de rien ; elles doivent remplacer graduellement leurs systèmes et processus actuels par des équivalents Zero Trust. Tout au long de la période de migration, elles doivent maintenir une sécurité robuste en s’assurant que tous les éléments, anciens et nouveaux, fonctionnent bien ensemble.
• Constituer de solides sources de données – une autre difficulté de mise en œuvre réside dans la collecte de données suffisantes pour alimenter le PE et la prise de décision d’authentification fiable. Cette tâche demande une connaissance approfondie des actifs de l’entreprise, de ses thématiques et des processus métier.
• Sécuriser les composantes des politiques – pour éviter toute perturbation des processus d’authentification et, par conséquent, de l’activité, les organisations doivent protéger le PE, le PA et le PEP. Ceux-ci doivent se trouver dans un environnement sécurisé ou être répliqués dans plusieurs environnements. Il faut en outre les surveiller avec attention, sans omettre d’enregistrer et de vérifier toute modification apportée à la configuration.
• Promouvoir l’acceptation des utilisateurs – puisque la démarche Zero Trust exige de n’accorder à l’utilisateur que la permission strictement nécessaire et de le réauthentifier lors des demandes d’accès à plus haut risque, les changements peuvent engendrer des frustrations. Pour réduire la lassitude sécuritaire, veillez à ne pas retirer aux utilisateurs les droits d’accès dont ils ont besoin et à ne demander l’authentification multifacteur (MFA) que lorsqu’elle est nécessaire. Plus globalement, il s’agit de cultiver un état d’esprit Zero Trust en en expliquant les avantages sécuritaires. Il est aussi utile de corriger l’idée fausse qui associe Zero Trust, littéralement la « confiance zéro », à une méfiance vis-à-vis des personnes que sont les employés : expliquez que la notion renvoie simplement au principe de ne pas faire confiance automatiquement à n’importe quel appareil, système, utilisateur ou autre entité.
• Gérer le bon niveau de permissions – octroyer les permissions strictement nécessaires ne veut pas dire aucune, et les utilisateurs continueront de disposer d’un ensemble d’autorisations une fois authentifiés, mais ils ne doivent pas jouir de toutes les permissions possibles. Un rapport de Microsoft datant de 2023 pointe un risque dans l’écart entre les permissions attribuées et celles utilisées dans le cloud : les identités n’utilisent que 1 % des autorisations octroyées. Pour pallier ce risque, veillez à ce que les rôles d’un utilisateur et les permissions qui leur sont attribuées soient bien gérés et les plus petits possibles. De plus, la mise en place d’un processus qui autorise des exceptions en juste-à-temps ou un moyen audité en libre-service pour attribuer les droits nécessaires facilitera le fonctionnement du Zero Trust.

Conclusion

La mise en œuvre d’un modèle de sécurité Zero Trust n’est pas une mince affaire, mais les 7 piliers du Zero Trust jettent des fondations solides pour déterminer les outils et processus nécessaires. La bonne nouvelle est que vous n’avez pas besoin de tous les implémenter pour en constater les avantages. Chaque étape de la construction de votre architecture Zero Trust renforcera votre cyberrésilience et votre cybersécurité.