Pourquoi le Zero Trust est devenu indispensable à toutes les organisations ?
Cela s’accélère pour le Zero Trust : le thème du salon InCyber cette année était le Zero Trust, l’ANSSI prépare des documents sur le sujet et chaque éditeur a son approche, sa définition, ses réponses.
Il est difficile de s’y retrouver d’autant plus qu’il ne s’agit pas d’une norme, mais d’un paradigme, et donc une certaine façon de voir les choses. Tout le monde peut donc avoir raison…ou tort.
Systancia, reconnu plusieurs fois par le Gartner comme le seul acteur européen détenant une vraie technologie Zero Trust, a une réponse forte et depuis plusieurs années dans les domaines de l’accès distant sécurisé, la gestion des utilisateurs à privilèges (PAM) et la gestion des identités (IAM). Comme les nouvelles frontières intègrent massivement le Cloud et la nécessité de la rapidité de la mise en œuvre, Systancia a, avec cyberelements, la première et seule plate-forme SaaS fondée sur le Zero Trust.
A partir de l’état de l’art notamment posé par le National Institute of Standards and Technology (NIST), nous démontrons la pertinence de la réponse Systancia qui s’appuie sur une démarche rigoureuse et rationnelle.
La définition du NIST est claire : « La confiance zéro est un paradigme de cybersécurité axé sur la protection des ressources et sur le principe selon lequel la confiance n’est jamais accordée implicitement, mais doit être évaluée en permanence.”
La nécessité de maîtriser les identités y compris dynamiquement
Le Zero Trust est bien d’abord une politique de sécurité. Le NIST est clair : « ces protections impliquent généralement de limiter l’accès aux ressources […] aux seuls sujets et actifs identifiés comme nécessitant un accès »
Historiquement, le VPN, qui est une connexion de réseaux, apportait une réponse en termes de périmètre : je donne accès à un ensemble de ressources. La principale conséquence est des mouvements latéraux d’attaque créant des dégâts irréversibles.
Ainsi une approche Zero Trust nécessite que personne n’a, par défaut, accès aux applications (ressource, serveur, poste, infrastructure, … tout service numérique) et par ailleurs, chaque utilisateur a ses droits limités aux seules ressources dont il a besoin. On emploie les termes « moindre privilège » (‘least privilege’) ; « privilège ‘juste-à-temps’ » (‘JIT privilege’) ; « aucun privilège résiduel » (‘zero standing privilege’) pour décrire cette politique.
Le NIST insiste fortement sur la granularité nécessaire « application d’un contrôle d’accès aussi granulaire que possible ».
Au regard de la masse d’applications, de données et donc de ressources à contrôler, il est complètement illusoire de traiter ces éléments par une action exclusivement humaine.
Une telle politique doit donc être mise en œuvre par une solution de gestion des identités et des habilitations (« Identity Governance and Administration », IGA), comme Identity. Elle consiste à provisionner et dé-provisionner les utilisateurs, leurs comptes et leurs droits, dans les annuaires ou les applications concernées avec des mécanismes de workflow pour placer la décision du droit auprès du bon interlocuteur.
Un des aspects forts du concept de Zero Trust est celui de la gestion dynamique de la sécurité. Le NIST précise : « L’authentification et l’autorisation de toutes les ressources sont dynamiques et strictement appliquées avant que l’accès ne soit autorisé. ».
L’authentification a lieu au moment de l’accès à la ressource, et doit faire l’objet d’un contrôle maximum. Evidemment, avec la présence d’un MFA y compris juste avant l’accès à une ressource en utilisant la meilleure technologie de MFA pour éviter le découragement des utilisateurs, mais également des points de contrôle de conformité qui doivent être dynamiques. Un élément de mon environnement change, mon accès peut être arrêté immédiatement. Le NIST l’exprime ainsi : « L’accès aux ressources est déterminé par une politique dynamique – comprenant l’état observable de l’identité du client, de l’application/du service et de l’actif demandeur – et peut inclure d’autres attributs comportementaux et environnementaux. ».
L’autorisation va s’appuyer sur une solution de gestion des identités : a minima, vous autorisez l’usage à une ressource pour un temps déterminé. Par exemple votre infogéreur aura accès à la maintenance de votre serveur RDP ou de votre base de données Oracle uniquement à telle heure et tel jour. A maxima, vous mettez en œuvre une approche de comptes ou identités éphémères. Ils n’existent que pour le besoin et la durée de la tâche à effectuer.
Systancia propose les deux approches qui ne relèvent pas seulement d’un produit IGA ou d’une solution de gestion d’accès distant sécurisé avec un contrôle de conformité dynamique, mais bien d’une combinaison des deux, c’est la très grande force de la plate-forme SaaS cyberelements qui va faciliter le respect absolu du Zero Trust.
La protection des ressources dès l’infrastructure
Le NIST a une approche radicale mais obligeant à une vision différente de la sécurité : « Les modèles de sécurité à confiance zéro supposent qu’un attaquant est présent dans l’environnement et qu’un environnement appartenant à l’entreprise n’est pas différent – ou n’est pas plus digne de confiance – qu’un environnement n’appartenant pas à l’entreprise. »
Ce n’est pas seulement la politique d’accès, mais principalement l’infrastructure d’accès, qui contre les attaques. Cela nécessite une combinaison de technologies innovantes, ingénieuses pour rendre vaine toute attaque.
L’architecture est l’élément essentiel, le choix fait par Systancia est qu’un utilisateur se connectant à son organisation de l’extérieur ne doit jamais nécessiter l’ouverture d’un port de l’extérieur vers l’intérieur. Une passerelle dans le réseau se connectera vers un serveur sécurisé de contrôle pour permettre la connexion.
Cette double barrière est une sécurité forte d’autant plus que le serveur de contrôle ne dispose pas d’informations de données ou d’identités. C’est un sas sécurisé de passage. Il est complété par des approches de ruptures protocolaires notamment avec l’usage de filtres HTLM5 où votre accès est basé sur un navigateur qui ne permet que l’interaction clavier et souris, votre poste de travail n’ayant accès à aucun élément du réseau dans lequel vous rentrez, toujours selon cette approche du NIST qui suppose la présence de l’attaquant.
Il est également nécessaire de segmenter les accès avec des solutions qui garantissent quand même un usage facilité. Si vos réseaux sont clairement dissociés en interne (IT vs OT, silotage AD, …), ce n’est pas pour que la solution qui ouvre l’accès les réunisse et crée un risque. Systancia permet cela via une approche totalement multi-tenante des organisations et des réseaux, qui reproduit une cloison étanche pour les accès sans contrainte excessive pour les utilisateurs.
cyberelements, la seule plate-forme SaaS nativement Zero Trust
Systancia a particulièrement investi pour apporter le meilleur avec un noyau Zero Trust, dont la première certification et qualification élémentaire par l’ANSSI date de 2016. L’ensemble des éléments définissant objectivement le Zero Trust, comme l’a fait le NIST, sont présents au sein de cyberelements.