Dans les agences fédérales américaines, l’heure est venue d’adopter le modèle Zero Trust

Bill ChurchDirecteur technique terrain – Secteur fédéral

Le défi toujours plus grand que représente la protection des données critiques, en particulier à l’ère des environnements de travail mobiles et basés sur le cloud, a conduit un nombre croissant d’agences fédérales à adopter un modèle de sécurité « Zero Trust » qui répond mieux à leurs besoins dans ce monde résolument numérique.

Selon une étude récente, près de la moitié des responsables informatiques du gouvernement fédéral ont indiqué que leurs agences s’orientaient vers des stratégies de sécurité centrées sur l’identité, ou Zero Trust, afin de protéger leurs ressources numériques. L’étude, réalisée par FedScoop et financée par Duo Security, révèle que les agences fédérales délaissent les méthodes traditionnelles de défense du périmètre réseau et se montrent plus ouvertes à un environnement de données sans périmètre, qui utilise des outils de gestion des identités et d’authentification comme principaux moyens d’accès.

Rien n’illustre mieux l’essor rapide du Zero Trust et son adoption croissante que le récent décret présidentiel sur la cybersécurité, qui souligne son importance cruciale, d’autant plus que la Maison-Blanche a récemment publié la version définitive de sa stratégie d’architecture Zero Trust, destinée à améliorer considérablement la cybersécurité des systèmes des agences gouvernementales au cours des deux prochaines années. Cette évolution a coïncidé avec une forte augmentation des environnements multicloud et du nombre de télétravailleurs, deux composantes d’un environnement de travail moderne auxquelles le modèle Zero Trust répond particulièrement bien.

L’adoption accélérée du modèle Zero Trust, tant au sein des agences fédérales que dans le monde des affaires en général, coïncide avec une prise de conscience croissante : les méthodes traditionnelles de sécurisation du périmètre d’un réseau ne suffisent plus. Puisqu’il n’existe désormais plus de réseau de confiance au sein d’un périmètre défini, l’approche « Faire confiance, mais vérifier » est devenue obsolète. Les équipes fédérales chargées de la sécurité devront plutôt respecter trois principes plus efficaces :

• Ne faites jamais confiance, sauf lorsque les utilisateurs et les terminaux ont réellement mérité cette confiance.
  
  
• Toujours vérifier — une règle qui s’applique à l’analyse du contexte, de l’application, de la localisation et du comportement, ainsi qu’aux autres éléments nécessaires pour définir une approche fondée sur les risques et adaptée à l’activité du terminal.
  
  
• Surveiller en continu, en gardant à l’esprit qu’une authentification unique ne suffit pas et qu’il ne faut pas supposer que le risque restera faible par la suite. Seule une authentification continue permettra de garantir une sécurité permanente.

F5 a récemment été désigné comme l’un des 18 fournisseurs appelés à collaborer avec le NCCoE du NIST dans le cadre du projet de mise en œuvre d’une architecture Zero Trust afin de développer des approches pratiques et interopérables pour la conception et la création d’architectures Zero Trust. Notre grande expertise auprès des principales organisations fédérales à l’avant-garde de l’adoption du modèle Zero Trust nous aide à répondre à ces enjeux majeurs. Le vaste portefeuille de solutions de sécurité des applications de F5 couvre quatre points de contrôle clés au sein d’une architecture Zero Trust, comme décrit ci-dessous :

Terminaux : accès sécurisé aux applications

F5 Labs a indiqué que les violations liées aux accès représentaient, en 2020, la plus grande part des causes connues de violation, soit 34 %. À l’heure où les violations liées aux accès se multiplient, il est essentiel de disposer d’une solution d’accès sécurisé aux applications.

F5 BIG-IP Access Policy Manager (APM) fournit une authentification moderne pour toutes les applications, en simplifiant et en centralisant l’accès aux applications, aux API et aux données, où que se trouvent les utilisateurs et leurs applications. Que l’application soit hébergée sur site ou dans le cloud, les utilisateurs bénéficient ainsi d’une meilleure expérience grâce au SSO et d’une expérience homogène dans un environnement plus sécurisé reposant sur une architecture Zero Trust.

Avec Identity Aware Proxy (IAP), APM met en œuvre une validation fondée sur le modèle Zero Trust afin de sécuriser chaque demande d’accès aux applications. Dans les agences fédérales, le processus d’authentification des utilisateurs privilégiés commence par l’affichage, par APM, d’une bannière d’avertissement du gouvernement américain, que l’utilisateur doit accepter avant de poursuivre l’authentification. APM exige également de l’utilisateur des identifiants robustes et propose plusieurs méthodes de vérification, notamment leur contrôle dans une liste de révocation de certificats ou auprès d’un serveur utilisant le protocole OCSP (Online Certificate Status Protocol), afin de s’assurer qu’ils n’ont pas été révoqués.

Une fois que l’utilisateur privilégié est autorisé à accéder au système, APM interroge des attributs supplémentaires afin de déterminer les ressources auxquelles il peut accéder. Plusieurs fonctionnalités avancées permettent également de garantir l’intégrité du client, notamment en vérifiant que celui-ci utilise un équipement fourni par le gouvernement (GFE), qu’il est conforme au système de sécurité basé sur l’hôte (HBSS) et/ou qu’il exécute un système d’exploitation pris en charge.

Infrastructure réseau : sécurité des applications

Une infrastructure réseau est nécessaire pour garantir la sécurité et la disponibilité des applications afin de mettre en œuvre le modèle Zero Trust. F5 Labs research révèle que près de 90 % des chargements de pages sont chiffrés avec SSL/TLS, ce qui signifie que le chiffrement est désormais la norme. Néanmoins, les menaces chiffrées persistent. En effet, les attaquants utilisent couramment le chiffrement pour dissimuler des charges utiles malveillantes et contourner les contrôles de sécurité.

Envisagez une solution de visibilité SSL afin d’éliminer les menaces grâce à des fonctions robustes de déchiffrement et de chiffrement du trafic SSL/TLS entrant et sortant, ainsi qu’à une gestion centralisée du chiffrement. Cette solution doit proposer une orchestration fondée sur des politiques afin d’éliminer les angles morts et d’assurer, à moindre coût, une visibilité sur l’ensemble de la chaîne de sécurité, quels que soient la topologie réseau, l’équipement ou l’application.

Applications : sécurité de la couche applicative pour la protection des agences

Nos travaux de F5 Labs recherche révèlent que les organisations déploient en moyenne 765 applications. Face au grand nombre de cibles potentielles dont disposent les cyberattaquants, les organismes publics devront rester vigilants afin de protéger ces applications dans le cadre de leur stratégie Zero Trust.

Vos solutions de sécurité de la couche applicative, que les applications soient hébergées dans le cloud ou sur site, proposées en mode SaaS ou entièrement gérées, doivent assurer la sécurité au niveau de l’application ou à proximité de celle-ci, et protéger la pile applicative dans le cadre d’une architecture Zero Trust.

Vos « solutions WAF pour les administrations fédérales » doivent également assurer une protection contre les attaques DoS de couche 7 grâce à des analyses comportementales qui surveillent en permanence l’état des applications. Elles doivent aussi proposer d’autres fonctionnalités, notamment la protection des identifiants afin d’empêcher tout accès non autorisé aux comptes utilisateurs et de protéger les applications contre les attaques visant les API.

Service d’identité : partenariats

Envisagez de déployer une solution proposée par un fournisseur ayant établi des partenariats étroits avec des entreprises telles que Microsoft, Okta et Ping. En intégrant des solutions fiables d’accès aux applications à ces fournisseurs d’identité en tant que service (IDaaS), vous comblez le fossé identitaire entre les applications cloud, SaaS, stratégiques et personnalisées, afin d’offrir aux utilisateurs une expérience d’accès unifiée et sécurisée.

Les agences fédérales doivent elles aussi nouer des partenariats solides pour garantir le succès du déploiement d’une architecture Zero Trust. Nous vous invitons à nous contacter afin de bénéficier de l’expertise et des solutions dont vous avez besoin. Notre objectif est de vous aider à adopter le modèle Zero Trust de la manière la plus fluide possible, afin que votre agence puisse commencer à en tirer parti.

Bill Church
Directeur de la technologie – F5 US Federal Solutions

(Une version antérieure de ce contenu a été publiée fin 2020. Mise à jour début 2022.)

À propos de l’auteur

Bill ChurchDirecteur technique terrain – Secteur fédéral

Autres articles de Bill Church