Comment mettre en œuvre un modèle de sécurité Zero Trust dans un environnement largement ouvert

Il n'y a pas si longtemps, la sécurité impliquait le stockage sur site avec des périmètres surveillés. Les entreprises pouvaient être confiantes dans la solidité de leur protection, car elles savaient où se trouvaient les données sensibles et le nombre limité de personnes autorisées à y accéder physiquement.

Ce n'est tout simplement pas le monde numérique dans lequel nous vivons aujourd'hui. Les périmètres fortifiés ont été remplacés par des environnements distants et une prolifération d'appareils mobiles. Les données professionnelles sont désormais réparties sur un stockage virtualisé hébergé sur des serveurs du monde entier. Tout en offrant une flexibilité et une évolutivité exceptionnelles aux entreprises, cela élargit également la surface d'attaque pour les acteurs malveillants qui cherchent à exploiter les failles de sécurité.

En réponse à ce défi, les professionnels de la sécurité inaugurent une nouvelle ère de sécurité Zero Trust. Dans sa forme la plus élémentaire, un Approche Zero Trust nécessite de vérifier chaque demande d'accès entre toutes les ressources, peu importe qui, quoi et où elles se trouvent. Fondamentalement, Zero Trust est un état d'esprit et une stratégie en matière de sécurité, dont la mise en œuvre complète peut s'avérer difficile.

Dans cet article, nous aborderons l'origine de la méthodologie Zero Trust et expliquerons comment les entreprises peuvent mettre en œuvre la sécurité Zero Trust dans un environnement de plus en plus distant et sans périmètre, privilégiant le cloud.

Bref historique de Zero Trust

Le terme Zero Trust a été abordé pour la première fois dans les années 1990 dans une thèse de doctorat sur la sécurité informatique, bien qu'il n'ait pas été utilisé dans son sens actuel. Le concept a gagné en traction vers 2010 après une discussion menée par Forrester Research sur les principes de ce qui allait devenir la base du paradigme.

Forrester a reconnu que l'idée d'un périmètre de confiance dans les organisations est risquée. Non seulement les informations d'identification pourraient être compromises, mais cela ne fait aucune mention de la prévention des menaces internes. Par conséquent, tout le trafic réseau doit être considéré comme non fiable, sauf preuve contraire.

Quelques années plus tard, notre personnel de plus en plus mobile (et maintenant de plus en plus distant) redéfinit même l'idée de base d'un périmètre. Ceci, combiné à l'essor des solutions cloud, nécessite une nouvelle transition par rapport à l'authentification basée sur les informations d'identification. En plus de mettre l'accent sur les personnes, nous devons désormais étendre le cadre Zero Trust pour se concentrer sur les données. Cela signifie que les outils de sécurité de nouvelle génération doivent prendre en compte l'activité du réseau, l'accès et les privilèges des utilisateurs, ainsi que l'accès et l'utilisation des données.

Zero Trust ne se limite désormais pas à demander qui est l'utilisateur. Chaque tentative de connexion doit exiger un contexte, tel que :

• L'appareil est-il utilisé comme un appareil connu ?
• La connexion provient-elle d'un emplacement ou d'un réseau connu ?
• À quelles données ou applications essaient-ils d'accéder ?

Bien entendu, exiger et vérifier tout ce contexte peut être plus facile à dire qu'à faire dans notre environnement de plus en plus ouvert. Les professionnels de la sécurité doivent se préparer aux nouvelles tendances dans un paysage numérique de plus en plus ouvert. Nous irons encore plus loin pour voir comment adopter un paradigme Zero Trust dans un environnement de sécurité moderne.

Mettre en œuvre Zero Trust dans un environnement sans frontières

La nature de la prolifération des données et du travail à distance aujourd'hui rend quasiment impossible l'application des périmètres de sécurité comme nous le faisions autrefois. Examinons donc quelques mesures concrètes pour transformer cette stratégie en résultats et en un paradigme de sécurité axé sur la technologie.

Définissez la surface de protection

La première étape pour sécuriser l'environnement de votre organisation consiste à définir cet environnement. Essentiellement, vous essayez de créer une frontière là où il n'y en a pas. Cette approche nécessite une vision globale du réseau et de l'environnement, y compris tous les utilisateurs, appareils, privilèges et trafic

Cela est particulièrement difficile si vous utilisez des services basés sur le cloud ou si vous disposez d'un hébergement partagé pour vos serveurs. Selon l'expert du secteur Alex Williams de Hosting Data, chaque fois que les ressources sont partagées, la sécurité peut en pâtir. « La nature très communautaire du serveur peut permettre à des virus de se propager sur le site d'un serveur et d'infecter les personnes qui y sont liées », explique Williams. « Vous n'avez aucun moyen de personnaliser votre sécurité. Vous comptez essentiellement sur votre équipe d'hébergement pour vous protéger. »

Quelle que soit votre configuration, notre surface d'attaque moderne ne cesse de s'étendre. Il existe plusieurs manières de définir une surface d'attaque, mais avec Zero Trust, nous l'abordons spécifiquement en termes de ce qui doit être protégé.

Cela permet de se concentrer sur ce qui est le plus précieux pour l'entreprise. Une « surface de protection » comprend :

• Données (telles que des informations personnelles identifiables ou des informations de carte de paiement)
• Applications (celles utilisées pour accéder aux données, telles que le CRM ou le processus de paiement)
• Actifs (serveurs ou équipements qui traitent les données, tels que les terminaux de point de vente)
• Services (services essentiels à l'entreprise utilisés pour accéder aux données, tels que le DNS ou Active Directory)

La définition d'une surface protégée associe la gestion des données et la gestion des actifs en plus de la gestion des accès traditionnelle associée à l'authentification des utilisateurs.

Projet de politique Zero Trust

Une fois que vous avez défini la surface de protection, vous devez utiliser ces informations pour formaliser la politique à l'échelle de l'organisation. Zero Trust exige de se demander qui a accès, à quoi, quand et depuis où. Chaque fois qu'une demande d'accès est faite à une ressource particulière, un certain nombre de questions doivent être posées :

• Qui devrait y avoir accès ?
• Quels appareils devraient avoir accès ?
• Quand les utilisateurs peuvent-ils y avoir accès ?
• D'où les utilisateurs peuvent-ils y accéder ?
• À quoi peut servir la ressource ?

Ces questions doivent être traduites en mesures concrètes suffisamment spécifiques pour répondre aux besoins uniques des différents actifs ou services. Un modèle de contrôle d'accès basé sur les attributs (ABAC) sera utile pour élaborer des politiques ciblées sur les attributs des différents groupes de ressources.

Cependant, le fait que vous ayez des politiques différentes pour différents types de services ne signifie pas qu'il ne s'agit pas d'une politique à l'échelle de l'entreprise. Si vous êtes novice en la matière, vous devriez pensez à consulter un expert pour vous aider à formuler votre stratégie de politique Zero Trust.

Formez le périmètre « virtuel »

Plusieurs outils et tactiques peuvent être appliqués pour renforcer le périmètre virtuel. Dans un environnement ouvert, l'objectif principal devrait être de cartographier les flux réseau et d'accroître la visibilité des ressources natives du cloud.

Il se peut que vous ayez un environnement cloud hybride avec certaines ressources sur site et virtuelles. Vous devrez également faire face à des logiciels internes par rapport à des logiciels tiers. Le modèle ABAC permettra de consolider les règles afin d'offrir une visibilité plus complète. En outre, vous devrez segmenter vos services pour appliquer Zero Trust.

UNE outil de micro-segmentation qui offre un contrôle granulaire de votre source protégée contribuera à réduire la gravité d'une attaque en cas de violation. La segmentation est particulièrement importante lorsque vous utilisez des microservices basés sur le cloud : sans installer de murs virtuels, un attaquant pourrait se déplacer latéralement dans votre système avec un seul ensemble d'informations d'identification volées. Le bon outil vous donnera également une visibilité en temps réel des comportements du système, ce qui vous aidera à appliquer vos politiques.

Surveillez et testez régulièrement

Même une fois que vous êtes sûr de vos politiques et de leur mise en œuvre, vous ne devez jamais arrêter de tester les vulnérabilités de votre système. Testez vos politiques prédéfinies pour s'assurer qu'ils détectent les activités suspectes et peuvent être utilisés pour adopter des mesures d'urgence en cas de menace. Il peut également être utile de réaliser des tests contradictoires périodiques, en interne ou en sous-traitance, pour cartographier les vulnérabilités et éviter de tomber dans la complaisance.

Formez vos équipes

Enfin, afin de promouvoir un paradigme Zero Trust dans l'ensemble de votre organisation, vous devez utiliser une formation ciblée pour impliquer tout le monde. Il est important que tout le monde, du service informatique à la haute direction, sache pourquoi les changements de politique sont mis en œuvre et quel en sera l'impact.

Par exemple, vous souhaiterez former les employés à la manière dont la gestion des accès et l'authentification multifactorielle modifieront leurs processus de connexion et pourquoi cela est important pour l'entreprise, les employés et les clients.

Conclusion

Le monde numérique est en constante évolution et les professionnels de la sécurité ont la charge de s'adapter à ces changements. L'époque des appareils sur site verrouillés est révolue, remplacée par le cloud hybride, informatique de pointe et l'Internet des objets.

Zero Trust aide les entreprises à se montrer à la hauteur grâce à une sécurité multicouche centrée sur les données. Et si elle est mise en œuvre correctement, il n'y a aucune raison que la sécurité soit perçue comme un inconvénient. Il peut plutôt s'agir d'un changement de priorité à l'échelle de l'organisation qui encourage la responsabilité et une hygiène cybernétique saine.

Découvrez comment Illumio, le pionnier et leader de Segmentation Zero Trust, peut vous aider à :

• Lisez les dernières Rapports Forrester Wave sur le Zero Trust et la microsegmentation.
• Obtenez des conseils étape par étape dans le livre électronique, 6 étapes pour mettre en œuvre un modèle Zero Trust.
• Téléchargez l'étude de Forrester Consulting, Faites confiance à Zero Trust.