Trois raisons pour lesquelles l’adoption du modèle Zero Trust améliore la protection contre les bots ainsi que la sécurité des applications web et des API

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Aujourd’hui, le Zero Trust est la nouvelle tendance incontournable à laquelle tout le monde veut être associé. Il figure parmi les trois tendances « les plus prometteuses » identifiées dans notre rapport State of Application Strategy 2022 et a constamment suscité un vif intérêt sur Google Trends au cours des douze derniers mois.

Résultat : le modèle Zero Trust est l’une des approches de sécurité qui suscitent le plus de discussions — et d’incompréhensions — depuis l’apparition du « shift left ». Trop souvent, le Zero Trust est assimilé à une technologie particulière, comme le périmètre défini par logiciel (SDP), ou à un segment de marché, comme la gestion des identités et des accès (IDAM).

Ce n’est pas vraiment surprenant. Lors de l’apparition du cloud computing, nous avons observé le même empressement à assimiler certaines technologies ou certains produits à la « nouvelle tendance du moment ». Le « cloud washing » était alors une pratique courante, et ce terme était souvent employé de manière péjorative pour remettre en question le caractère réellement « cloud » d’un nouveau produit.

Il me faut donc commencer par définir le modèle Zero Trust. Pour ce faire, je vais citer mes collègues, Ken Arora et Mudit Tyagi, qui ont déjà publié un excellent guide sur le sujet:

« Nous pensons que la sécurité Zero Trust est, fondamentalement, un état d’esprit — un système de croyances — dont découlent des techniques et des tactiques qui s’appuient sur des technologies spécifiques, lesquelles peuvent ensuite être mises en œuvre pour faire face à un large éventail de menaces de sécurité. »

C’est un point important, je vais donc le répéter : la sécurité Zero Trust est avant tout un état d’esprit.

Cet état d’esprit repose sur un ensemble d’hypothèses, et les usages des technologies découlent de ces hypothèses.

Cela signifie que la mise en œuvre d’une technologie telle que le SDP ou la sécurité des API ne veut pas dire que vous avez adopté le modèle Zero Trust. Il n’existe aucun produit unique dont le déploiement vous rendrait soudainement « conforme au modèle Zero Trust » et donc à l’abri des attaques, des intrusions ou de l’exploitation de vulnérabilités.

Ce qui est vrai, c’est que le SDP et la sécurité des API peuvent effectivement constituer une réponse tactique appropriée à l’adoption d’une approche Zero Trust. Mais pour y parvenir, il faut partir de quelques hypothèses fondamentales, puis déterminer quels sont les outils et les technologies les plus adaptés qui en découlent logiquement.

Pour approfondir ce point, examinons quelques exemples qui, comme l’indique le titre, nous amènent à conclure que la protection contre les bots ainsi que la sécurité du Web et des API font partie de la boîte à outils « Zero Trust ».

1. Une approche zero trust part du principe qu’une compromission est possible. Les utilisateurs légitimes disposant d’un accès autorisé peuvent en effet être compromis et constituer ainsi une menace involontaire — et très coûteuse. Les attaquants savent qu’il est généralement plus facile d’entrer par les fenêtres (les utilisateurs) que par la porte d’entrée (le réseau de l’entreprise). Les utilisateurs sont constamment exposés au risque d’être compromis ; partir du principe qu’ils le sont déjà est donc la stratégie la plus sûre. Un ordinateur portable ou un téléphone mobile professionnel compromis peut servir à mener de nombreuses actions, notamment à lancer des attaques contre des sites web et des applications afin de diffuser des logiciels malveillants (malwares, ransomwares et autres menaces à venir) ou d’exploiter des vulnérabilités pour obtenir un accès. Les API devenant de plus en plus « le moyen » par lequel les applications mobiles et web accèdent aux applications et systèmes de l’entreprise, il est important d’inspecter le contenu provenant même d’utilisateurs légitimes et authentifiés afin de déterminer s’il est malveillant ou non. La sécurité des applications web et des API constitue donc un choix logique pour se protéger contre ce risque.
   
   
2. Une approche Zero Trust part du principe que les identifiants ne suffisent pas. Qu’un utilisateur soit une personne, une machine ou un logiciel, une approche Zero Trust considère que même si des identifiants valides sont présentés, l’utilisateur réel peut ne pas être légitime. Après tout, le credential stuffing reste une menace persistante qui exploite des identifiants valides, mais volés. Il est bien connu qu’en moyenne, un million de noms d’utilisateur et de mots de passe sont signalés chaque jour comme ayant été divulgués ou volés. Une analyse de F5 conclut que 0,5 à 2 % des identifiants figurant sur une liste issue d’une fuite de données seront valides sur le site web ou l’application mobile ciblés. Une approche Zero Trust doit donc prendre des mesures pour vérifier non seulement les identifiants, mais aussi l’identité même de l’utilisateur. Cela implique notamment de détecter les bots qui se font passer pour des utilisateurs légitimes. Concrètement, la protection contre les bots — également appelée détection des bots — joue donc un rôle important dans une approche Zero Trust.
   
   
3. Une approche Zero Trust part du principe que le changement est permanent. Le modèle Zero Trust rejette l’idée qu’il n’existe plus aucun risque une fois qu’un utilisateur a été vérifié et que l’accès à une ressource lui a été accordé. Chaque transaction est considérée comme risquée et évaluée en fonction du contenu qu’elle transporte et de l’utilisateur qui l’envoie. Le détournement de session est une méthode d’attaque bien réelle, après tout. La vigilance constante est (ou devrait être) la devise du modèle Zero Trust, ce qui implique d’être continuellement à l’affût de contenus malveillants. La sécurité des applications web et des API, ainsi que la détection des bots, sont donc des composantes essentielles d’une approche Zero Trust.

Cette approche conduit également à d’autres outils et technologies, tels que le SDP, la gestion des identités et des accès, les pare-feu réseau et les CASB, ainsi qu’à une multitude d’autres solutions qui atténuent les risques connus découlant naturellement de ces hypothèses. Mais vous ne pouvez pas vous contenter de mettre en œuvre une seule de ces solutions et considérer que votre initiative Zero Trust est achevée. Ce serait comme prendre du Tylenol pour soigner une jambe cassée au lieu de consulter un médecin. Certes, cela soulage la douleur, mais ne résout en rien le reste du problème.

Adopter le zero trust comme un changement d’état d’esprit conduisant à une réduction des risques n’est pas une solution parfaite — aucune méthode ne l’est —, mais cela vous permettra de gagner en adaptabilité et de contrer plus rapidement et plus efficacement les attaques nouvelles et émergentes.

Soyez prudents.

Pour en savoir plus sur la modernisation de la sécurité grâce à une approche Zero Trust, consultez le chapitre 5 de notre ouvrage, « Architecture d’entreprise pour les entreprises numériques ».

À propos de l’auteur

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.

Autres articles de Lori Mac Vittie