Le département de la Défense des États-Unis (DoD) a franchi une étape importante dans la sécurisation de l’un des réseaux les plus vastes et les plus sensibles au monde, le réseau d’information du département de la Défense (DoDIN), grâce à son cadre Comply-to-Connect (C2C). Le DoDIN couvre plus de 15 000 environnements non classifiés, classifiés et basés dans le cloud, et fait face à près de 800 millions d’incidents de cybersécurité chaque jour. Le C2C est une initiative fondamentale dans la démarche Zero Trust du DoD, conçue pour garantir une visibilité complète et la protection de tous les actifs, traditionnels ou non, connectés à son vaste réseau.
En appliquant les principes du modèle Zero Trust, tels que l’accès selon le principe du moindre privilège, C2C identifie, authentifie et évalue l’ensemble des appareils et des utilisateurs, tout en automatisant des fonctions de sécurité comme la remédiation et la surveillance continue. Avec C2C, le DoD entend abandonner une approche de la préparation fondée sur de simples cases à cocher au profit d’une cybersécurité durable et automatisée. Comme en témoignent l’amélioration des résultats aux inspections de préparation cyber et les gains d’efficacité opérationnelle dans les bases militaires, C2C produit déjà des effets significatifs.
C2C n’est pas qu’un simple cadre : il marque une transformation profonde de la manière dont le DoD protège ses infrastructures critiques. Face à l’intensification des cybermenaces à l’échelle mondiale et à la complexité croissante de la gestion des accès dans les environnements hybrides, C2C est plus essentiel que jamais. Il jette les bases de mesures de sécurité plus intelligentes et plus efficaces, conformes aux principes du modèle Zero Trust.
“L’adoption du C2C et du modèle Zero Trust nécessite un écosystème complet de solutions assurant la visibilité des appareils, la sécurisation des accès et la protection des applications — précisément ce que propose F5.”
Défis liés au modèle Comply-to-Connect
Alors que le DoD s’efforce de mettre en œuvre le C2C, il se heurte à de nombreux défis. L’un des obstacles les plus urgents réside dans l’ampleur et la complexité mêmes du DoDIN. La gestion de la sécurité d’un réseau d’entreprise aussi vaste nécessite des outils avancés capables de surveiller, d’automatiser et de sécuriser un large éventail d’appareils et de systèmes, notamment les systèmes de contrôle industriel, les plateformes logistiques et les technologies opérationnelles.
Un autre défi majeur réside dans l’augmentation des violations liées aux accès, qui rend indispensables les solutions d’accès sécurisé. Les attaquants exploitent de plus en plus le trafic chiffré pour dissimuler des charges utiles malveillantes, ajoutant ainsi des niveaux de complexité supplémentaires.
Enfin, l’adoption rapide du C2C dans le cadre d’une approche Zero Trust exige une intégration transparente aux systèmes existants, des stratégies de chiffrement robustes et une application unifiée des politiques. Les organismes doivent surmonter ces obstacles afin d’atteindre le niveau de visibilité et d’automatisation de la sécurité nécessaire à la réussite de leur stratégie Zero Trust.
Comment F5 peut contribuer au C2C et à la confiance zéro
L’adoption du modèle Zero Trust nécessite un écosystème complet de solutions couvrant la visibilité des appareils, la sécurisation des accès et la protection des applications — précisément ce que propose F5. En s’appuyant sur les capacités spécialisées de F5, les organismes peuvent surmonter les difficultés liées à la mise en œuvre du C2C tout en renforçant leur posture de cybersécurité face à un large éventail de points d’entrée et de surfaces d’attaque potentiels.
1. Terminaux : accès sécurisé aux applications avec F5 BIG-IP Access Policy Manager (APM)
Le contrôle des accès est un pilier essentiel du modèle Zero Trust. BIG-IP APM simplifie et centralise l’accès aux applications, aux API et aux données dans les environnements cloud et sur site. Il offre une authentification moderne, l’authentification unique (SSO) et une expérience utilisateur cohérente, le tout au sein d’un cadre de sécurité renforcé reposant sur F5 BIG-IP Identity Aware Proxy (IAP). Pour les organismes fédéraux, BIG-IP APM renforce la validation des accès en affichant des bannières d’avertissement personnalisées, en prenant en charge des identifiants robustes et en interrogeant les attributs des utilisateurs afin d’appliquer le principe du moindre privilège.
En outre, BIG-IP APM fournit des contrôles avancés de l’intégrité des clients, garantissant la conformité des terminaux aux normes de sécurité gouvernementales telles que le Host Based Security System (HBSS) et vérifiant l’utilisation d’équipements fournis par le gouvernement (GFE). Cette approche globale permet aux agences de se prémunir contre les accès non autorisés et d’améliorer la sécurité des terminaux, un aspect essentiel de l’initiative C2C 1.
Le proxy sensible à l’identité (IAP) est conçu pour réduire le recours aux VPN en fournissant un accès Zero Trust aux applications. Il fait office de proxy inverse et peut inclure des extensions de navigateur, mais ne nécessite autrement aucun client. L’IAP permet de contrôler précisément l’accès à toutes les applications et prend en charge les appareils gérés comme non gérés. Il ne s’agit pas simplement de listes de contrôle d’accès (ACL) de couche 7, mais d’un contrôle granulaire pouvant être intégré à des outils externes afin d’autoriser ou de refuser l’accès en fonction du contexte.
L’IAP fait également le lien entre les méthodes d’authentification modernes et traditionnelles, en prenant en charge l’authentification multifacteur (MFA) et l’authentification unique (SSO) pour les mécanismes d’authentification classiques (par exemple, basés sur les en-têtes), ainsi que les protocoles OAuth 2.0, SAML 2.0 et FIDO2 (U2F). Il offre des fonctionnalités SSL par application, de VPN et d’accès Zero Trust aux applications parmi les meilleures du marché, constituant ainsi une interface unique pour gérer toutes les applications. L’intégration au service de récupération des données de conformité de Microsoft (Microsoft Intune MDM) et la prise en charge de Microsoft Graph API renforcent encore ses capacités.
2. Services d’identité et partenariats d’intégration
Le modèle Zero Trust repose sur la vérification des identités, et les solutions F5 s’intègrent de manière transparente à des fournisseurs de confiance tels que Microsoft, Okta et Ping. Ce partenariat renforce les services d’identité pour les applications stratégiques, les plateformes SaaS et les services cloud, tout en offrant une expérience utilisateur unifiée et sécurisée. En comblant les lacunes en matière d’identité dans des environnements variés, F5 permet aux organismes de maintenir des capacités Zero Trust robustes et évolutives.
F5 BIG-IP s’intègre aux principales solutions de gestion des appareils mobiles (MDM) et de gestion de la mobilité d’entreprise (EMM), notamment VMware Horizon ONE (AirWatch), Microsoft Intune et IBM MaaS360.
Pour la mise en œuvre, F5 fournit des API et des options de configuration permettant une intégration poussée avec ces plateformes MDM, afin de garantir que seuls les appareils conformes et gérés puissent accéder aux ressources de l’entreprise via la fonctionnalité de proxy sensible à l’identité. L’intégration F5 offre les fonctionnalités suivantes :
- Évaluation de la posture des appareils en vérifiant leur conformité auprès des solutions MDM avant d’autoriser l’accès aux ressources
- Vérification en temps réel de l’enregistrement des appareils mobiles
- Application des politiques d’accès fournies par les plateformes MDM
- Contrôles de stratégie et de gestion de bout en bout
Lors de l’intégration avec des solutions MDM telles qu’AirWatch, MaaS360 ou Intune, le client Edge établit une connexion VPN avec BIG-IP APM, tandis que le système de gestion des terminaux gère les informations relatives à l’appareil et les transmet à BIG-IP APM.
3. Applications : sécurité de couche 7 pour les applications critiques
Alors que les organisations gèrent des centaines d’applications, la sécurité de la couche applicative est plus importante que jamais. F5 propose des solutions avancées de pare-feu d’applications Web (WAF) qui protègent contre un large éventail de menaces, notamment les attaques par déni de service distribué (DDoS) de couche 7, les attaques visant les API et les attaques exploitant les identifiants. L’analyse comportementale est appliquée en continu afin de garantir la disponibilité et la sécurité des applications, contribuant ainsi aux stratégies Zero Trust des organismes en sécurisant aussi bien les applications stratégiques que celles basées dans le cloud.
4. Infrastructure réseau : sécurisation du trafic chiffré
Alors que le chiffrement SSL/TLS devient la norme, les acteurs malveillants l’exploitent fréquemment pour dissimuler leurs attaques. Pour y remédier, F5 propose des solutions de visibilité SSL qui déchiffrent et rechiffrent le trafic, éliminent les angles morts et appliquent une orchestration fondée sur des politiques à l’ensemble de la chaîne de sécurité. En sécurisant le trafic chiffré entrant et sortant, F5 permet aux organismes publics d’améliorer leur visibilité tout en empêchant les menaces de contourner les contrôles de sécurité, en parfaite adéquation avec les objectifs du C2C et du modèle Zero Trust.
La voie à suivre
En s’appuyant sur le C2C, le DoD progresse résolument vers un écosystème Zero Trust, avec pour objectif une mise en œuvre complète dans les meilleurs délais. Toutefois, concrétiser cette vision exige non seulement de la rigueur, mais aussi les outils et l’expertise appropriés. F5 est particulièrement bien placé pour aider les organismes à mener à bien cette transformation, en proposant des solutions sécurisées et évolutives pour les terminaux, les réseaux et les applications.
Qu’il s’agisse de se prémunir contre les violations liées aux accès, de gérer le trafic chiffré ou de renforcer la sécurité des applications, les solutions F5 répondent aux besoins opérationnels des agences fédérales. En s’associant à F5, celles-ci peuvent relever les défis liés au C2C et accélérer leur transition vers un environnement résilient fondé sur le modèle Zero Trust, qui protège aussi bien les réseaux actuels que les systèmes critiques de demain.
Découvrez comment les solutions F5 peuvent contribuer à la mise en œuvre d’une architecture Zero Trust.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.