De quoi s'agit-il réellement avec « Zero Trust » ? – AVANTEC

À propos de cette offre

Zero Trust n'est pas une technologie ni une solution que l'on peut acheter toute prête chez un fabricant, mais plutôt un cadre ou peut-être même une philosophie. Avec Zero Trust, on part du principe que chaque connexion, peu importe d'où elle vient et où elle va, doit être identifiée et authentifiée. Cela semble raisonnable, mais si l'on regarde les architectures réseau « classiques », on trouve presque toujours ce qu'on appelle des zones de confiance.
Klassische Netzwerksegmentierung
Dans un réseau On-Premises classique, nous avons le périmètre, généralement avec une DMZ, où les connexions externes sont terminées. La DMZ est séparée des autres zones internes par un pare-feu. Les zones internes elles-mêmes peuvent également être isolées les unes des autres par des pare-feux, mais le trafic réseau à l'intérieur d'une zone est généralement assez ouvert. Oui, il existe aussi à l'intérieur des zones réseau des VLANs et des VRFs qui isolent un peu plus le trafic, et parfois des réseaux en tissu (par exemple des commutateurs Spine-Leaf) sont utilisés, permettant une isolation supplémentaire.
Mikrosegmentierung
Mais Zero Trust va beaucoup plus loin. Chaque application qui communique avec une autre application ou un service doit être authentifiée avant qu'une connexion soit établie. Et seules les connexions autorisées sont permises. C'est ce qu'on appelle la micro-segmentation. Le trafic réseau d'une application à une autre est vérifié et n'est autorisé que s'il est conforme à une politique. D'abord, une vue d'ensemble du trafic applicatif est créée, permettant d'identifier et de visualiser quelles applications communiquent avec quels services. La création de ces politiques est aujourd'hui généralement facilitée par l'apprentissage automatique. La politique résultante peut aussi être affinée ou modifiée manuellement selon les besoins. Ce premier pas, qui consiste à révéler et visualiser le trafic entre toutes les applications et services, est très précieux. Mais il constitue aussi la base de la micro-segmentation elle-même, où le trafic est alors limité aux connexions nécessaires.
Zero Trust Network Access (ZTNA)
Mais Zero Trust va encore plus loin. L'accès des utilisateurs est vérifié selon les mêmes principes. Une frontière d'accès basée sur l'identité et le contexte est créée devant les applications. Même si un utilisateur se trouve dans la même zone réseau qu'une application, cela ne signifie pas qu'il devrait y avoir accès. Il ne devrait même pas pouvoir découvrir les applications situées dans la même zone. Cela prive l'utilisateur de la visibilité que cherche normalement un attaquant. Le Zero Trust Network Access (ZTNA) est aussi appelé Software-Defined Perimeter (SDP). Ces deux concepts limitent l'accès d'un utilisateur aux applications et ressources d'une organisation et n'autorisent la connexion que si cet accès est permis et nécessaire selon les politiques existantes.
Wieso braucht es Zero Trust?
De nos jours, on part du principe qu'un attaquant motivé peut trouver un chemin dans le réseau d'entreprise. L'idée de renforcer la protection périmétrique au point que personne ne puisse passer n'est plus d'actualité. Si l'on suppose donc qu'un intrus est déjà dans le réseau, on veut s'assurer qu'il ait du mal à accéder à d'autres systèmes. Petite digression : comment se déroulent les attaques ? Un attaquant peut obtenir l'accès à un compte ou un endpoint d'un utilisateur légitime via une attaque par force brute, du credential stuffing, du phishing ou l'utilisation de logiciels malveillants. Une fois dans le réseau, il effectue généralement une énumération à l'aide d'outils, découvrant des informations sur les noms d'utilisateur, groupes, partages, services et serveurs. Les scans réseau classiques sont évités car ils sont souvent faciles à détecter. Avec ces informations, il tente d'accéder à d'autres systèmes, ce qu'on appelle le « mouvement latéral ». Un attaquant essaie d'accéder aux endpoints et serveurs d'utilisateurs à privilèges élevés pour éventuellement obtenir l'accès à un Active Directory (AD) ou à des systèmes centraux similaires. S'il a suffisamment de privilèges, il peut créer des comptes utilisateurs, leur donner accès via VPN, manipuler l'IdP, lire des e-mails, etc. Du point de vue Zero Trust, on veut rendre ces « mouvements latéraux » difficiles voire impossibles. Le rayon d'explosion (blast radius) doit être aussi petit que possible. Un compte utilisateur d'un employé des ressources humaines n'a accès qu'aux applications RH. Il peut avoir accès à un SharePoint RH, mais rien d'autre. Si un attaquant abuse de ce compte, il n'a qu'une liste très limitée de cibles potentielles (le rayon d'explosion est petit).
In der Praxis
Un tel approche Zero Trust est-elle réalisable ? L'utilisabilité ne souffre-t-elle pas de toutes ces restrictions ? On ne peut pas introduire Zero Trust du jour au lendemain. Comme souvent, il est préférable de procéder par étapes. Un bon début est d'obtenir une vue d'ensemble des applications – visibilité sur quelles applications communiquent avec quelles applications et services. Ensuite, on peut commencer à protéger d'abord les systèmes les plus importants, en identifiant les « joyaux de la couronne » et leurs dépendances, puis en les micro-segmentant. Parallèlement, on peut implémenter une solution ZTNA à l'autre extrémité du spectre, pour mieux contrôler à quelles applications un utilisateur externe a accès. Cela peut aussi être étendu aux utilisateurs internes. De même, la micro-segmentation peut progressivement couvrir et sécuriser de plus en plus de systèmes. Les projets de micro-segmentation sont beaucoup plus rapides que les projets classiques de segmentation réseau, qui prennent généralement de six à douze mois. Évidemment, cela dépend de la taille et de la complexité du réseau. Mais une micro-segmentation peut souvent être opérationnelle en un à deux mois, et même les réseaux plus grands peuvent être convertis en trois mois.
Zusammenfassung
Zero Trust est plus un concept qu'une solution toute prête. Pour la plupart des entreprises, il est néanmoins clairement judicieux de s'intéresser au moins à l'approche Zero Trust. À quel point est-il facile pour un attaquant d'aller plus loin une fois qu'il a compromis un compte utilisateur ? Quelle est la taille du rayon d'explosion ? Quelle est la surface d'attaque ? Quelle est la fréquence d'utilisation des comptes à privilèges élevés ? Une solution de détection et réponse réseau (NDR) est-elle en place ? Selon les réponses à ces questions, il vaut la peine de discuter de Zero Trust.
Le billet De quoi s'agit-il réellement avec « Zero Trust » ? est apparu en premier sur Tec-Bite.