Confiance zéro : Dépasser le centre de gravité de la cybersécurité

Les technologies modernes deviennent de plus en plus complexes, tout comme la tâche de les sécuriser. La prolifération de technologies décentralisées, telles que l’adoption de l’informatique en cloud et l’IdO (Internet des objets), et le passage au travail à distance ajoutent à la complexité et modifient la manière dont les experts en cybersécurité conçoivent les défenses de leurs systèmes. 

 À une époque plus simple, les systèmes informatiques étaient relativement faciles à clôturer, car il existait un périmètre de sécurité d’entreprise solidement défini, ou “frontière de confiance”. Ce périmètre constituait la base de la stratégie de sécurité classique fondée sur la confiance, dans laquelle tout utilisateur se trouvant à l’intérieur du périmètre était implicitement approuvé par défaut, et toute personne se trouvant à l’extérieur du périmètre se voyait refuser l’accès. Le fait d’être connecté au réseau privé était le seul justificatif vérifiable nécessaire pour accéder au système et à toutes ses données. 

En 1994, un ingénieur a utilisé l’analogie d’un œuf Cadbury Creme Egg pour décrire le modèle de défense périmétrique du pare-feu, le décrivant comme une coquille dure autour d’un centre mou. Une fois cette coquille franchie, rien n’empêche l’accès à tout ce qui se trouve à l’intérieur. 

Qu’est-ce qui fait que la confiance zéro est une confiance zéro ? 

Le mantra de la confiance zéro est “ne jamais faire confiance, toujours vérifier”. L’accès est donc basé sur des informations d’identification qui sont constamment revérifiées. 

La confiance zéro repose sur trois principes fondamentaux : 

Tout d’abord, il faut toujours supposer que le système a été violé. Les acteurs de la menace n’agissent pas toujours immédiatement lorsqu’ils pénètrent dans un système sécurisé ; la plupart du temps, ils restent en sommeil, observant et se propageant lentement dans l’ensemble du réseau jusqu’à ce qu’ils l’aient complètement infiltré. C’est facile avec un ancien modèle de sécurité basé sur la confiance, car une fois qu’ils sont un utilisateur de confiance, ils ont accès à tout. Avec la confiance zéro, le fait de supposer que le système est toujours violé minimise le risque. 

La mise en œuvre de techniques telles que le cryptage de bout en bout, qui fait que seuls les utilisateurs finaux peuvent lire les informations sensibles, ou la segmentation, qui fait que tous les utilisateurs n’ont pas accès à tout, réduit l’impact de ce problème de “centre de mastication”. Une autre approche efficace consiste à enregistrer toutes les activités, de sorte qu’il existe un registre de ce que fait chaque utilisateur et qu’il est plus facile de repérer les activités suspectes lorsqu’elles se présentent. 

Le deuxième principe fondamental de la confiance zéro est l’idée du “moindre privilège”. Cela signifie que les utilisateurs ne reçoivent que le strict minimum d’autorisations nécessaires à l’exercice de leurs fonctions et que, si des autorisations supplémentaires sont nécessaires, elles sont accordées pour la durée la plus courte possible. Cela permet de s’assurer que les autorisations ne sont pas accordées de manière frivole et que leur utilisation est correctement vérifiée. 

Le troisième principe fondamental est celui de la vérification explicite. L’autorisation doit être effectuée avec le plus grand nombre possible de points de données. Comme son nom l’indique, il ne devrait pas y avoir d’octroi de permissions sur la base de la confiance dans un système de “confiance zéro”. Lors de l’octroi de permissions, l’autorisation doit être accordée sur la base d’éléments tels que l’identité de l’appareil, l’état de l’appareil, la sensibilité des données et la localisation. Le système doit également prêter attention à toute anomalie concernant l’utilisateur lorsqu’il décide de procéder à une vérification. 

Si le passage à un modèle de confiance zéro peut sembler décourageant, il est beaucoup plus simple lorsqu’il est décomposé en trois éléments fondamentaux : assumer la violation, le moindre privilège et la vérification explicite. En outre, il n’est pas nécessaire que ce soit tout ou rien et peut être déployé par étapes pour répondre à des cas d’utilisation ou à des objectifs individuels. 

Pourquoi une confiance nulle ? 

Alors, pourquoi les organisations devraient-elles se donner la peine d’investir dans une stratégie de sécurité “zéro confiance” ? D’une manière générale, les cybercriminels ont, par nature, une longueur d’avance sur les progrès de la cybersécurité. Quelle que soit la nouveauté ou la solidité d’un pare-feu, quelqu’un essaie déjà de trouver le meilleur moyen de le franchir. 

Un cadre de confiance zéro permet, même en cas de violation d’un système, de minimiser les dommages autant que possible, en réduisant le temps nécessaire pour réagir et se rétablir. La confiance zéro part du principe que les menaces peuvent se cacher n’importe où, même au sein d’une organisation. Par conséquent, chaque utilisateur, appareil et flux de réseau est considéré comme potentiellement compromis et doit être vérifié et contrôlé avant d’en autoriser l’accès. 

Par exemple, en ne donnant aux utilisateurs et aux appareils que les autorisations minimales nécessaires à l’exécution de leurs tâches, les organisations peuvent réduire considérablement la surface d’attaque. En segmentant les réseaux internes et en limitant l’accès aux actifs, il est plus difficile pour les acteurs de la menace de se déplacer à travers l’ensemble du réseau d’une organisation, et la surveillance continue offre une visibilité accrue sur l’ensemble du trafic, améliorant ainsi la capacité d’une organisation à détecter les activités anormales et malveillantes et à y répondre. 

Les avantages de la confiance zéro ne peuvent pas être sous-estimés, mais sa mise en œuvre est un parcours qui peut être effectué étape par étape. Le meilleur moyen de commencer est d’identifier un cas d’utilisation et de le mettre en œuvre, puis de le développer à partir de là.

 

Justin Giardina est directeur technique chez 11:11 Systems.

Join the companies doing great things with 11:11 Systems

Dr. Martens
Benchmade
Lush
TreeTop
City of Bend