Sécurité Zero Trust | Qu'est-ce qu'un réseau Zero Trust?

Le Zero Trust ou confiance zéro est un modèle de sécurité qui consiste à maintenir des contrôles d'accès stricts et de ne faire confiance à personne par défaut, même à ceux qui se trouvent déjà à l'intérieur du périmètre du réseau.

Share facebook icon linkedin icon twitter icon email icon

Sécurité Zero Trust

Objectifs d’apprentissage

Après avoir lu cet article, vous :

  • Définir la sécurité Zero Trust
  • Décrire les technologies et les principes qui sous-tendent le Zero-Trust

Qu'est-ce que la sécurité Zero Trust ?

La sécurité Zero Trust est un modèle de sécurité informatique qui nécessite la vérification de l'identité de chaque personne et de chaque l'appareil qui essaient d'accéder à des ressources sur un réseau privé, indépendamment du fait qu'ils se trouvent à l'intérieur ou à l'extérieur du périmètre du réseau. Aucune technologie spécifique n'est associée au Zero Trust. Il s'agit d'une approche holistique de la sécurité des réseaux qui intègre plusieurs principes et technologies différents.

Castle-and-Moat security model, users within the VPN are trusted

La sécurité des réseaux informatiques traditionnels repose sur le concept du château et des douves. Dans la sécurité du type « château et douves », il est difficile d'obtenir un accès depuis l'extérieur du réseau, mais tout le monde à l'intérieur du réseau est approuvé par défaut. Cette approche pose un problème lorsqu'une personne malveillante a accès au réseau et a alors les coudées franches à l'intérieur du réseau.

Cette vulnérabilité des systèmes de sécurité du type « château et douves » est aggravée par le fait que les entreprises n'ont plus leurs données au même endroit. Aujourd'hui, les informations sont souvent réparties entre les fournisseurs de cloud, ce qui rend plus difficile d'avoir un contrôle de sécurité unique pour un réseau entier.

La sécurité Zero Trust signifie que personne n'est approuvé par défaut à l'intérieur ou à l'extérieur du réseau. Une vérification est requise pour toute personne qui tente d'accéder à des ressources sur le réseau. Il a été démontré que cette couche de sécurité supplémentaire empêche les atteintes à la protection des données. Une étude récente parrainée par IBM a démontré que le coût moyen d'une simple atteinte de données dépasse 3 millions de dollars. Compte tenu de ce chiffre, il n'est pas surprenant que de nombreuses organisations souhaitent désormais adopter une politique de sécurité Zero Trust.

Quels sont les technologies et les principes essentiels liés à la sécurité Zero Trust ?

La philosophie sous-jacente à un réseau Zero Trust part du principe que des personnes malveillantes se trouvent à l'intérieur et à l'extérieur du réseau, par conséquent aucun utilisateur ou aucune machine ne doit être automatiquement approuvé.

Un autre principe de la sécurité Zero Trust est l'accès le moins privilégié. Cela signifie n'accorder aux utilisateurs que l'accès dont ils ont besoin, comme un général d'armée qui donne aux soldats des informations en fonction de leurs besoins. Cela réduit l'exposition de chaque utilisateur aux parties sensibles du réseau.

Les réseaux Zero Trust utilisent également la microsegmentation. La microsegmentation consiste à diviser les périmètres de sécurité en petites zones pour maintenir un accès séparé pour des parties distinctes du réseau. Par exemple, un réseau avec des fichiers hébergés dans un seul datacenter qui utilise la microsegmentation peut contenir des dizaines de zones séparées sécurisées. Une personne ou un programme qui a accès à l'une de ces zones ne pourra accéder à aucune des autres zones sans disposer d'une autorisation distincte.

L'authentification multifacteur (AMF) est également une valeur fondamentale de la sécurité Zero Trust. L'AMF consiste simplement à demander plusieurs preuves pour authentifier un utilisateur. La saisie d'un mot de passe n'est pas suffisante pour que l'accès soit accordé. Une application couramment utilisée de l'AMF est l'autorisation à deux facteurs (2FA) utilisée sur des plates-formes en ligne populaires comme Facebook et Google. En plus de saisir un mot de passe, les utilisateurs qui activent le 2FA pour ces services doivent également entrer un code envoyé à un autre appareil, comme un téléphone mobile. Ils fournissent ainsi deux preuves qu'ils sont bien ceux qu'ils prétendent être.

En plus des contrôles sur l'accès des utilisateurs , le Zero Trust impose également des contrôles stricts sur l'accès des appareils. Les systèmes Zero Trust doivent surveiller le nombre d'appareils différents qui tentent d'accéder à leur réseau et s'assurer que chaque appareil est autorisé. Cette mesure minimise la surface d'attaque du réseau.

Quelle est l'histoire de la sécurité Zero Trust ?

Le terme Zero Trust a été inventé par un analyste de Forrester Research Inc., en 2010, lorsque le concept a été présenté pour la première fois. Quelques années plus tard, Google a annoncé avoir mis en place une sécurité Zero Trust sur son réseau, ce qui a suscité un intérêt croissant pour l'adoption de ce type sécurité au sein de la communauté technologique.

Comment mettre en œuvre la sécurité Zero Trust

Jusqu'à présent, la sécurité Zero Trust exigeait une implémentation détaillée par les ingénieurs en sécurité, en se concentrant sur les technologies et les principes fondamentaux énumérés ci-dessus. Mais grâce à l'introduction de Cloudflare Access, n'importe quelle organisation peut désormais mettre en œuvre rapidement et facilement un système de sécurité Zero Trust sur son réseau.