La chaine de confiance du Zero Trust

Ces dernières années, le Zero Trust a été érigé comme le modèle de référence pour la sécurité des systèmes d’information. Si le ZTNA (Zero Trust Network Access) en est l’une des briques essentielles, le Zero Trust ne s’arrête pas aux droits d’accès externes, toute une chaîne de confiance est nécessaire pour mettre en œuvre ce modèle : gestion des identités et des accès (IAM), gestion des utilisateurs à privilèges (PAM) et virtualisation d’applications (VDI). Pour qu’elle soit efficace, cette chaîne de confiance du Zero Trust doit s’appréhender comme un ensemble de solutions interdépendantes plutôt que comme un ensemble de briques logicielles indépendantes les unes des autres.

Selon l’adage, la force d’une chaîne dépend de son maillon le plus faible. Il en va de même pour le Zero Trust. Toute faille ou moindre protection est immédiatement ciblée en cas de tentative d’intrusion non autorisée sur le système d’information d’une organisation. Dès lors, le déploiement d’un modèle Zero Trust incomplet ne peut pas, à proprement parlé, être qualifié de Zero Trust.

Les 7 maillons de la chaîne de confiance du Zero Trust

La chaîne de confiance du Zero Trust correspond à l’ensemble des briques logicielles permettant d’atteindre une sécurité dite « Zero Tust », fondée sur le principe qu’on ne peut faire confiance à personne, que l’on peut également nommer principe du moindre privilège.

Les maillons de la chaîne de confiance du Zero Trust suivent un cheminement logique permettant de garantir la sécurité du système d’information de bout en bout :

1. Donner des habilitations sur l’application: Le premier maillon de la chaîne de confiance du Zero Trust consiste à gérer les habilitations en temps réel (Just-In-Time IAM) avec l’objectif d’être capable de donner rapidement des droits à un utilisateur, de les déployer et de les retirer tout aussi rapidement afin de garantir à tout instant la cohérence entre le besoin de l’utilisateur et la réalité des droits qui lui sont accordés.

2. AuthentificationL’authentification permet à un utilisateur de garantir son identité avant d’accéder à une ressource ou un service… More: Il s’agit ici de tenir compte du contexte de l’authentification (de quel lieu l’utilisateur accède-t-il à ses applications, à quelle période, avec quel device, poste maîtrisé ou non, etc.) pour, en fonction de ce contexte, pouvoir renforcer l’authentification via différents mécanismes MFA tels que l’OTP, des cartes à puces ou encore des mécanismes de questions-réponses. Enfin, il s’agit également de pouvoir proposer à cet utilisateur une solution de secours, en cas d’oubli de mot de passe ou de moyen d’authentification forte, pour lui permettre malgré tout d’accéder à son environnement de travail, en toute sécurité.

3. Donner l’accès réseau à l’application : Il convient ici d’éliminer ce que l’on peut appeler le « risque VPN » puisque le VPN donne accès à un réseau complet et ne permet pas de contrôler, au sein de cet accès, à quoi l’utilisateur se connecte. Il est donc indispensable d’avoir une solution de gestion des accès qui permette de donner des accès sélectifs aux applications et non pas un accès global au réseau. Il est également nécessaire de pouvoir couvrir tout un panel de cas de figure différents : télétravail organisé ou massif, accès de collaborateurs internes ou de prestataires et de pouvoir donner des accès à une certaine zone du réseau, à un poste de travail bien précis ou une application spécifique. La solution d’accès doit sécuriser le flux de bout en bout, du poste de l’utilisateur jusqu’à l’application. Enfin, l’expérience utilisateur doit être équivalente à celle vécue au bureau même lorsque l’utilisateur est à l’extérieur.

4. Donner l’accès logique à l’application : Il est nécessaire de s’assurer que l’infrastructure applicative réalise effectivement les habilitations préalablement définies dans le premier maillon de la chaîne de confiance du Zero Trust. La solution de mise à disposition des applications doit s’adapter en temps réel aux modifications d’habilitations (si la solution d’IAM indique que l’utilisateur doit avoir accès à de nouvelles applications ou au contraire supprime les droits d’accès à certaines applications, l’infrastructure applicative doit immédiatement le refléter). Les différents modes d’accès (terminal client léger, console web, poste maîtrisé ou non, etc.) de l’utilisateur doivent être pris en compte et l’expérience utilisateur doit là aussi être la plus fluide possible.

5. Faire correspondre l’identité de l’utilisateur avec le compte applicatif : L’objectif est que l’utilisateur n’ait pas à manipuler des mots de passe puisque plus il en manipulera, plus il va être tenté de les communiquer ou de les écrire quelque part pour les mémoriser. Cela permet alors de forcer des politiques de mots de passe telles que la mise en place de mots de passe forts ou de rotation de mots de passe. Cela permet également d’éviter les « prêts » de compte qui empêchent toute traçabilité des actions. Dans cette même logique, il est important de privilégier les comptes nominatifs aux comptes génériques.

6. Contrôler ce qui est fait sur l’application: Ce chaînon concerne plutôt les utilisateurs à pouvoirs, qui ont des droits de modification assez importants sur des ressources. Il convient en premier lieu de ne mettre à leur disposition que les outils qui leur sont nécessaires, en fonction de leur profil. L’objectif principal va ensuite être de tracer et d’enregistrer toutes les sessions des utilisateurs à pouvoir, de détecter les actions suspicieuses et de réagir immédiatement par exemple pour demander à l’utilisateur à pouvoir de se réauthentifier ou pour mettre fin automatiquement et directement à sa session.

7. Garantir l’identité en temps réel: Dans cette chaîne de confiance du Zero Trust, l’identité de la personne est primordiale puisque toute la chaîne est basée sur celle-ci. On ne peut donc pas se contenter d’une simple authentification initiale car d’une part, les risques de vols de mots de passe voire de moyens d’authentification forte sont réels, d’autre part, il existe un risque d’usurpation d’identité après que l’utilisateur se soit authentifié. Un utilisateur malveillant peut en effet prendre le contrôle d’une session lorsque l’utilisateur authentifié s’absente momentanément sans verrouiller sa session. Il est donc nécessaire d’être en mesure de s’assurer en temps réel que la personne devant son écran est bien celle qui s’est authentifiée.

Comment couvrir tout le spectre de cette chaîne de confiance ?

Dans une stratégie Zero Trust, les organisations doivent avoir pour objectif de mettre en œuvre toute cette chaîne de confiance, la plupart d’entre elles ayant déjà plusieurs chaînons en place sans que la chaîne ne soit complète. Dans cette logique, Systancia a développé les produits permettant de couvrir l’ensemble de la chaîne de confiance du Zero Trust de bout en bout avec :

• cyberelements Identity, produit de gestion des identités et des habilitations qui permet de définir les règles d’habilitations sur les applications (chaînon 1).
• cyberelements Access, produit d’authentification permettant de gérer de manière sécurisée l’authentification transparente de l’utilisateur à toutes ses applications et cyberelements Gate, produit d’accès réseau privé «zero-trust» multi-tenants et multi-sites, qui vont tous deux permettre d’assurer l’authentification de l’utilisateur (chaînon 2).
• cyberelements Gate, également en mesure de donner l’accès réseau à l’application (chaînon 3).
• cyberelements Access, également capable de faire correspondre l’identité de l’utilisateur avec le compte applicatif (chaînon 5).
• cyberelements Cleanroom, seul produit de PAM proposant aux administrateurs du SI un poste stérile et jetable d’administration de toutes les ressources, qui va permettre de contrôler ce qui est fait sur les applications (chaînon 6).
• Neomia Pulse, produit d’authentification continue des utilisateurs à privilèges basé sur la biométrie comportementale et les algorithmes d’intelligence artificielle qui va garantir l’identité de l’utilisateur en temps réel (chaînon 7).