La sécurité dans le monde réel
Les habitants des petites villes connaissent généralement tous leurs voisins, de sorte que presque personne ne verrouille sa porte.
Mais pour les habitants des grandes villes, il est beaucoup plus difficile de connaître TOUS ses voisins et de ce fait tout le monde ou presque pense à verrouiller sa porte.
Les gens ne se contentent pas seulement de verrouiller leurs portes, ils installent également des systèmes de sécurité, mettent des barreaux à leurs fenêtres et peuvent même avoir un chien de garde.
En d’autres termes, lorsque les risques sont limités, l’architecture de sécurité de votre réseau peut être simple, mais lorsque les risques deviennent plus importants, c’est à dire lorsque la certitude que votre sécurité diminue, vous devez repenser la manière de sécuriser votre propriété.
En conséquence, la sécurité devient plus compliquée à mettre en place !
L’évolution de la sécurité des réseaux
C’est ainsi que la sécurité des réseaux a évolué !
De la fin des années 80 au début des années 90, la sécurité réseau était simple : une fois qu’une entité (une personne, une machine, un processus) se trouvait dans l’enveloppe de votre réseau et s’authentifiait auprès de votre service de sécurité (généralement l’ordinateur que vous utilisiez), on supposait que cette entité était désormais digne de confiance.
Cette architecture de sécurité est appelée sécurité périmétrique, également connue sous le nom de “douves et château”, et elle partait du principe que tout ce qui était authentifié en interne, c’est à dire dans le “château” était sûr, tandis que tout ce qui se trouvait à l’extérieur était indigne de confiance.
Cette architecture fonctionnait bien car il n’y avait pas de connexions externes à votre réseau et le réseau lui-même n’était pas compliqué.
La sécurité du périmètre supposait également que les “ennemis” se trouvaient tous à l’extérieur de votre réseau et que votre personnel, en particulier le personnel informatique, était bien formé, ne faisait pas d’erreurs et n’avait pas de mauvaises motivations.
Si l’on combine cette hypothèse avec une faible complexité du réseau et une utilisation organisationnelle limitée, votre réseau était, du moins pendant un certain temps, assez bien sécurisé.
La fin de la sécurité simple des réseaux
Bien entendu, cette architecture de sécurité simple n’a pas pu durer longtemps.
Les réseaux sont devenus beaucoup plus complexes à mesure que les réseaux devenaient plus centraux dans les opérations commerciales et que le besoin de connexions externes pour les partenaires commerciaux et la nécessité de prendre en charge les travailleurs mobiles et à distance devenait de plus en plus nécessaire.
À la fin des années 90, ces réseaux ont commencé à se connecter à l’internet, ouvrant la voie à la généralisation des sites web et du courrier électronique.
Dans les années 2000, des centaines de fournisseurs de services ont commencé à proposer des logiciels en tant que service (SaaS), qui sont devenus un élément stratégique des opérations commerciales des entreprises.
Désormais, l’enveloppe du réseau n’est plus aussi clairement définie.
Par conséquent, les défis de la sécurité des réseaux sont devenus beaucoup plus complexes.
Pour résumer l’état de la sécurité des réseaux aux alentours de 2010 :
1) Le réseau n’avait plus un périmètre unique et ininterrompu.
Il est devenu “poreux” pour prendre en charge les travailleurs mobiles et distants, ainsi que les partenaires commerciaux et les nouveaux services tiers.
2) L’authentification “une fois pour toutes” des entités demandant l’accès est devenue inadaptée aux nouvelles exigences de sécurité du réseau, plus complexes.
3) Vous ne pouviez plus partir du principe que toute personne présente sur votre réseau, y compris votre personnel, était digne de confiance.
Une meilleure architecture de sécurité des réseaux
Les réalités des réseaux d’entreprise du XXIe siècle nécessitaient un nouveau paradigme.
En 2010, John Kindervag, analyste chez Forrester Research, a écrit un article qui a popularisé l’idée de l’architecture Zero Trust (également appelée ZTA ou sécurité sans périmètre), bien que le concept existe en réalité depuis 1994.
Au cours des années suivantes, alors que l’informatique d’entreprise évoluait vers le cloud computing et que les problèmes de sécurité périmétrique devenaient plus pressants, le concept d’architecture de confiance zéro (Zero Trust) a gagné en popularité.
En 2020, le National Institute of Standards and Technology (NIST) et le National Cyber Security Center of Excellence (NCCoE) ont élaboré une publication spéciale du NIST, (SP) 800-207, Zero Trust Architecture.
La publication du NIST définit l’architecture de Zero Trust comme suit :
… un ensemble de concepts et d’idées conçus pour réduire l’incertitude liée à l’application de décisions d’accès précises, par demande, dans les systèmes et services d’information face à un réseau considéré comme compromis.
Une “Zero Trust Architecture (ZTA)” est le plan de cybersécurité d’une entreprise qui utilise les concepts de confiance zéro et englobe les relations entre les composants, la planification du flux de travail et les politiques d’accès.
Par conséquent, une entreprise de confiance zéro est l’infrastructure de réseau (physique et virtuelle) avec des politiques opérationnelles qui sont en place pour une entreprise en tant que produit d’un plan d’architecture de confiance zéro. – Wikipedia
Le concept fondamental de l’architecture de confiance zéro est simple : Ne jamais faire confiance, toujours vérifier.
Comment construire une architecture Zero Trust ?
Les architectures réseau Zero Trust ont quatre exigences principales :
- L’utilisation de micro-périmètres et de micro-segments pour restreindre le flux de trafic et limiter autant que possible les privilèges et l’accès des utilisateurs.
– Les micro-périmètres reprennent le concept d’un périmètre de réseau sécurisé qui définit ce qui est à l’intérieur du réseau et ce qui est à l’extérieur (le trafic traversant cette frontière est souvent appelé trafic “nord-sud”) et appliquent des contrôles d’accès similaires à des groupes plus petits d’entités de réseau ou même à un seul appareil.
– La micro-segmentation crée des zones au sein des centres de données et des environnements cloud pour isoler les charges de travail et les sécuriser individuellement (le trafic dans les micro-segments est souvent appelé trafic “est-ouest”).
- Détection et réponse efficaces aux incidents grâce à des analyses complètes et à l’automatisation.
- Des solutions réseau multifournisseurs intégrées pour assurer une conformité sans faille et une cybersécurité unifiée.
- Une visibilité complète et centralisée de toutes les entités et de tous les flux de travail, y compris les utilisateurs, les appareils, les données, le réseau lui-même et les flux de travail. Cela doit également inclure la visibilité de toutes les communications cryptées.
Pour réitérer, les architectures de sécurité de type “Zero Trust” reposent sur le fait de ne faire confiance à personne ou à quoi que ce soit sur votre réseau.
Cela signifie que l’accès au réseau n’est pas accordé sans que le réseau sache exactement qui vous êtes.
De plus, chaque tentative d’accès par une entité doit être validée en plusieurs points du réseau pour s’assurer qu’aucune entité non autorisée ne se déplace verticalement ou latéralement dans le réseau sans être détectée.
Pour qu’un réseau Zero Trust fonctionne réellement, il faut une inspection et une analyse approfondies du trafic.
L’utilisation de solutions d’inspection SSL qui décryptent et analysent le trafic réseau crypté (parfois appelé “break and inspect”) est essentielle pour garantir la conformité aux politiques et maintenir les normes de confidentialité.
En surveillant le trafic crypté pour détecter les communications réseau suspectes et les charges utiles de logiciels malveillants, ainsi que les tentatives d’exfiltration de données contrôlées, par exemple les numéros de carte de crédit et de sécurité sociale, l’inspection SSL permet au modèle Zero Trust de faire ce qu’il est censé faire : protéger les réseaux contre les menaces internes et externes.
Pourquoi vous devriez migrer vers une architecture de sécurité de type “Zero Trust” ?
Si vous n’avez pas encore commencé à réorganiser votre réseau pour en faire un réseau Zero Trust, voici les cinq raisons cruciales de le faire :
- La complexité de votre réseau, le nombre d’utilisateurs, leur lieu de travail, les appareils qu’ils utilisent, le nombre de charges de travail, votre utilisation de SaaS, l’adoption d’un environnement de cloud hybride, etc. ne fera qu’augmenter.
Un réseau à confiance zéro réduit la complexité de la sécurisation de vos actifs et facilite l’isolement des problèmes. - Comme la complexité de votre réseau augmente rapidement, votre périmètre de sécurité ressemblera, et ressemble peut-être déjà, à un fromage suisse. Par conséquent, la surface d’attaque du réseau s’est étendue et la seule façon pratique de réduire votre niveau de vulnérabilité est de commencer à établir des micro-périmètres et des micro-segments pour reprendre le contrôle.
- On ne peut pas faire confiance aux services tiers tels que les SaaS et PaaS. Il suffit d’une seule violation d’un seul service tiers auquel on fait trop confiance pour compromettre vos actifs réseau. La création de micro-périmètres robustes autour de ces services est une nécessité absolue.
- L’internet est, par essence, un réseau non sécurisé et les cyberattaques d’amateurs, du crime organisé et d’acteurs étatiques hostiles augmentent rapidement. En outre, les coûts d’atténuation d’une violation ou d’une attaque par ransomware ont énormément augmenté. Les risques financiers sont devenus plus importants et vont devenir le moteur de la budgétisation informatique.
- Les menaces internes ont également augmenté rapidement. La gestion d’un ensemble d’employés travaillant à domicile ou dans des succursales, ainsi que la livraison d’un accès aux fournisseurs et autres partenaires commerciaux, nécessitent des contrôles de sécurité solides et bien structurés.
Si vous vous êtes engagé sur la voie d’un réseau Zero Trust, avancez-vous assez vite ?
Pourriez-vous aller plus vite ?
La direction de l’entreprise comprend-elle les enjeux et est-elle prête à financer une stratégie qui pourrait être le seul obstacle entre le succès et l’échec irréversible de l’entreprise ?
Si vous n’avez pas encore commencé à planifier et à mettre en œuvre une architecture de confiance zéro, pourquoi pas?
Ressources Associées :
Source : A10 Networks
Pour plus d’informations concernant la solution A10 Networks
