Sécurité périmétrique vs zero trust : confiance, fréquence d’authentification, accès distant
La sécurité périmétrique fait confiance à l’intérieur du réseau de l’entreprise et place des pare-feu et des équipements VPN à la frontière avec Internet pour tenir les attaques à l’écart. Le zero trust n’accorde aucune confiance en fonction de l’emplacement sur le réseau ; pour chaque combinaison d’utilisateur, d’appareil et de ressource, il vérifie chaque accès puis n’autorise que ce qui est nécessaire. Le NIST américain définit l’architecture zero trust dans la SP 800-207 (2020). Le zero trust s’est répandu à mesure que les services cloud et les accès depuis l’extérieur des bureaux se développaient et que les éléments à protéger sortaient du périmètre.
| Critère | Sécurité périmétrique | Zero trust |
|---|---|---|
| Hypothèse de confiance | L’intérieur du réseau de l’entreprise est digne de confiance, l’extérieur ne l’est pas | L’emplacement sur le réseau ne confère aucune confiance ; les accès depuis l’intérieur sont vérifiés à chaque fois, comme ceux depuis l’extérieur |
| Emplacement des contrôles | À la frontière avec Internet (pare-feu, équipements VPN, proxys, etc.) | Sur chaque chemin d’accès entre utilisateurs ou appareils et ressources (applications et données), avec un point qui décide d’autoriser ou non l’accès (point de décision de politique) et un point qui applique la décision (point d’application de politique) |
| Moment de l’authentification et de l’autorisation | Une seule fois, à l’entrée dans le réseau de l’entreprise (par exemple lors de la connexion au VPN) | Par ressource et par session, selon l’authentification de l’utilisateur (comme l’authentification multifacteur), l’état de l’appareil, le lieu et l’heure, avec une réévaluation lorsque les conditions changent |
| Accès distant | Un VPN connecte les utilisateurs au réseau de l’entreprise et les traite comme s’ils étaient au bureau | Le ZTNA (zero trust network access) et des approches similaires ne connectent les utilisateurs qu’aux applications qu’ils ont le droit d’utiliser, jamais au réseau entier |
| Mouvement latéral après une intrusion | Une fois à l’intérieur, le trafic entre machines internes est peu restreint : un attaquant peut donc se propager facilement | Les accès sont finement découpés et seuls les droits nécessaires sont accordés (moindre privilège) : la propagation est donc plus difficile |
| Traitement des appareils | Les appareils connectés au réseau interne ont tendance à être considérés comme fiables | Le fait qu’un appareil soit géré, que les mises à jour de son OS et sa protection contre les logiciels malveillants soient en ordre, sert de critère à chaque décision d’accès |
| Visibilité et journalisation | Le trafic qui traverse la frontière est journalisé, mais le trafic entre machines internes est difficile à voir | Chaque demande d’accès et chaque décision sont journalisées et servent à la surveillance continue et à l’amélioration de la politique |
| Adéquation au cloud | Avec l’essor des services cloud et du travail à domicile, les éléments à protéger sortent de la frontière ; faire passer tout le trafic par le VPN jusqu’au bureau tend à saturer les liaisons et les équipements | Les décisions suivent la même politique quel que soit le lieu, ce qui convient aux services cloud et au travail à distance |
| Difficulté de la migration | Facile à comprendre, et la plupart des organisations en disposent déjà | Nécessite une gestion des identités, une gestion des appareils, un inventaire des actifs et une politique d’accès conçue, et s’adopte progressivement ; installer un seul produit ne suffit pas |
Les valeurs indiquées sont des ordres de grandeur typiques et varient selon la génération de procédé et le produit.