Français
Menu

Qu'est-ce que Zero trust ?

Approche de la sécurité qui n'accorde aucune confiance implicite selon l'emplacement sur le réseau (à l'intérieur ou à l'extérieur de l'entreprise) et qui, pour chaque requête d'accès à une ressource, vérifie l'authentification de l'utilisateur, l'état de l'appareil et le contenu de la requête avant de n'autoriser que l'accès minimal nécessaire. On la résume par « never trust, always verify » (ne jamais faire confiance, toujours vérifier). Le NIST américain en a posé les principes et les composants, comme le point de décision de politique et le point d'application de politique, dans la SP 800-207 publiée en 2020. Avec la diffusion des services cloud et du télétravail, elle a été adoptée comme une façon de penser qui complète la défense périmétrique.

Nom japonais: ゼロトラスト

« Zero trust » apparaît dans 3 questions d'entraînement réparties sur 2 thèmes, dont Cyberattaques et défense en pratique, Bases et applications de la cryptographie.

Domaine: Cyberattaques et défense en pratique

Différence avec la défense périmétrique

La défense périmétrique traditionnelle traite le réseau interne comme un intérieur de confiance et utilise des pare-feux pour empêcher les intrusions. Une fois qu'un attaquant est entré, par exemple par hameçonnage, il peut s'y déplacer librement. Le zero trust ne fait pas dépendre la confiance de l'intérieur ou de l'extérieur et applique les mêmes vérifications aux accès depuis l'entreprise, ce qui limite l'extension des dommages après une intrusion.

Composants

La SP 800-207 sépare le point de décision de politique (PDP), qui décide d'autoriser ou non l'accès, du point d'application de politique (PEP), qui exécute la décision entre l'utilisateur et la ressource. La décision s'appuie sur des informations comme la gestion des identités et l'authentification multifacteur, l'état de gestion de l'appareil, les informations sur les menaces et l'analyse des journaux. Les mises en œuvre combinent le ZTNA (accès réseau zéro confiance), la microsegmentation et un contrôle d'accès centré sur l'identité.

Comment l'introduire

Le zero trust ne s'obtient pas en achetant un seul produit ; c'est une démarche qui consiste à recenser ce qu'il faut protéger (données, applications et actifs), à comprendre les flux de trafic et à durcir progressivement les politiques. On l'introduit généralement par étapes, en commençant par une authentification multifacteur systématique et la gestion des appareils, puis en faisant passer les applications importantes au ZTNA.

S'entraîner : questions sur Zero trust

Quelle description du contrôle d'accès fondé sur l'idée du zero trust est correcte ?

  1. AOn ne fait confiance à personne du seul fait de sa présence sur le réseau interne ; à chaque requête, on vérifie l'utilisateur et l'état de l'appareil et on n'autorise que l'accès minimal nécessaire
  2. BOn considère l'intérieur du réseau interne comme sûr et on y laisse circuler librement le trafic, en n'utilisant le pare-feu périmétrique et le VPN que pour empêcher les intrusions venant de l'extérieur
  3. CUne fois qu'un utilisateur et un appareil se sont connectés avec succès, on leur fait confiance et ils peuvent ensuite accéder librement à tous les systèmes sans autre vérification
Afficher la réponse et l'explication

Réponse : A. On ne fait confiance à personne du seul fait de sa présence sur le réseau interne ; à chaque requête, on vérifie l'utilisateur et l'état de l'appareil et on n'autorise que l'accès minimal nécessaire

La défense périmétrique traditionnelle considérait le réseau interne comme un intérieur de confiance et arrêtait les intrus à la frontière. Comme l'usage du cloud et le télétravail étendent hors de l'entreprise ce qu'il faut protéger, et qu'un attaquant qui franchit le périmètre peut se déplacer librement, l'idée du zero trust, qui n'accorde aucune confiance en fonction de l'emplacement sur le réseau, s'est répandue. Dans la SP 800-207 publiée en 2020, le NIST américain a posé des principes comme ne pas accorder de confiance implicite selon l'emplacement sur le réseau, accorder l'accès aux ressources requête par requête et décider par des politiques dynamiques fondées notamment sur l'état des utilisateurs et des appareils. On le résume par « never trust, always verify » (ne jamais faire confiance, toujours vérifier).

L'architecture zero trust de la NIST SP 800-207 sépare le « point de décision de politique (PDP) », qui décide s'il faut autoriser l'accès, du « point d'application de politique (PEP) », qui exécute la décision. Quelle description du fonctionnement des deux lorsqu'un employé accède à une application métier est correcte ?

  1. ALe PEP décide d'autoriser ou non l'accès selon l'authentification de l'utilisateur et l'état de l'appareil, et le PDP s'exécute sur le PC de l'utilisateur pour chiffrer le trafic vers l'application
  2. BLe PDP décide en confrontant le résultat de l'authentification et l'état de l'appareil à la politique, et le PEP placé entre l'utilisateur et l'application laisse passer ou coupe les connexions selon cette décision
  3. CLe PDP et le PEP sont deux noms du même équipement, et une fois une connexion autorisée, la décision n'est en principe pas réexaminée avant la fin de la session
Afficher la réponse et l'explication

Réponse : B. Le PDP décide en confrontant le résultat de l'authentification et l'état de l'appareil à la politique, et le PEP placé entre l'utilisateur et l'application laisse passer ou coupe les connexions selon cette décision

Dans la SP 800-207, le PDP, composé du moteur de politique et de l'administrateur de politique, décide d'autoriser ou non l'accès en confrontant à la politique le résultat de l'authentification de l'utilisateur, l'état de l'appareil, l'importance de la ressource demandée, les informations sur les menaces, etc. Le PEP se trouve sur le chemin entre l'utilisateur et la ressource et établit, surveille et coupe les connexions selon la décision du PDP. Séparer décision et application permet de gérer la politique en un seul endroit tout en l'appliquant de la même façon à l'entrée de nombreuses applications. De plus, si l'état de l'appareil ou d'autres facteurs changent, la décision peut être réexaminée même en cours de connexion et l'accès interrompu.

Questions fréquentes

Adopter le zero trust rend-il les pare-feux et les VPN inutiles ?

Pas immédiatement. Le zero trust est l'idée de ne pas faire confiance sur la seule base de l'emplacement sur le réseau, et les défenses périmétriques restent utiles comme une couche qui réduit les attaques. Pour l'accès à distance, on observe toutefois une tendance à passer des VPN au ZTNA, qui accorde l'accès application par application.

Si « on ne fait confiance à personne », le travail des employés ne devient-il pas plus difficile ?

Ce à quoi on ne fait pas confiance, c'est l'emplacement sur le réseau ; l'accès nécessaire est autorisé après vérification. L'authentification unique et les clés d'accès rendent les vérifications discrètes, et une vérification supplémentaire n'est demandée que dans des situations inhabituelles, comme un nouvel appareil ou un lieu inconnu, afin de concilier sécurité et facilité d'usage.

« Zero trust » dans les explications

Questions mentionnant « Zero trust » (3)

  1. Quelle description du contrôle d'accès fondé sur l'idée du zero trust est correcte ?
  2. L'architecture zero trust de la NIST SP 800-207 sépare le « point de décision de politique (PDP) », qui décide s'il faut autoriser l'accès, du « point d'application de politique (PEP) », qui exécute la décision. Quelle description du fonctionnement des deux lorsqu'un employé accède à une application métier est correcte ?
  3. Quelle affirmation sur le TLS mutuel (mTLS) est correcte ?

Termes associés

TLS (Transport Layer Security) Attaque par la chaîne d'approvisionnement Centre des opérations de sécurité Cyber Kill Chain EDR (endpoint detection and response) Indicateur de compromission (IoC) Investigation numérique (forensique) MITRE ATT&CK Mouvement latéral (lateral movement) Réponse aux incidents

Retour au glossaire