Avec la généralisation des environnements hybrides et multicloud, le modèle Zero Trust est devenu indispensable à la sécurité. Le périmètre réseau traditionnel de l’entreprise, entre les environnements cloud et edge adoptés, est désormais obsolète, ce qui impose le recours à des pratiques de sécurité modernes fondées sur le modèle Zero Trust.
Bref aperçu du modèle Zero Trust
Si l’idée d’une sécurité sans périmètre remonte au milieu des années 1990, le concept moderne de zero trust trouve son origine dans les travaux de John Kindervag, analyste chez Forrester Research, en 2010. Bien qu’il puisse parfois sembler désigner une technologie spécifique, le National Institute of Standards and Technology (NIST) définit le zero trust comme « un ensemble évolutif de paradigmes de cybersécurité qui délaissent les périmètres statiques fondés sur le réseau pour recentrer les défenses sur les utilisateurs, les actifs et les ressources ».1
Il n’existe pas une seule bonne façon de mettre en œuvre le Zero Trust, ce qui présente à la fois des avantages et des inconvénients. Cette approche offre la souplesse nécessaire pour être adaptée aux besoins de votre organisation, mais elle peut également nécessiter une planification approfondie et de nombreux outils pour couvrir tous les aspects. Bien que les détails puissent varier, votre architecture Zero Trust doit tenir compte de plusieurs principes clés :
- Vérifiez et authentifiez en permanence tous les utilisateurs, toutes les machines et tous les appareils.
- Accordez un accès selon le principe du moindre privilège, c’est-à-dire le niveau minimal nécessaire pour effectuer les tâches requises.
- Utilisez la microsegmentation pour l’isolation et le contrôle des accès.
- Collectez, analysez et corrélez en continu les événements et les données de sécurité.
- Utilisez l’automatisation et l’orchestration pour accélérer les interventions et réduire les erreurs.
- Autorisez chaque requête en tenant compte du contexte pour une meilleure précision.
Bien démarrer avec le modèle Zero Trust dans le cloud
Pour commencer à planifier votre stratégie Zero Trust, évaluez d’abord votre portefeuille de charges de travail. Identifiez les domaines dans lesquels vous pourriez ajouter des outils de gestion des identités et de sécurité, ainsi que les moyens de surveiller l’état de santé, afin de commencer à vous aligner sur une stratégie Zero Trust.
Pour les charges de travail dans le cloud, AWS propose des services d’identité et de mise en réseau qui fournissent les éléments constitutifs d’une architecture Zero Trust. Les contrôles centrés sur l’identité dans AWS authentifient et autorisent de manière unique chaque requête d’API signée, et offrent des contrôles d’accès précis. Les outils centrés sur le réseau dans AWS filtrent les données superflues du système et établissent ainsi des garde-fous pour les contrôles centrés sur l’identité. Ces deux types de contrôles fonctionnent conjointement pour une efficacité accrue.
Les interactions de service à service au sein d’AWS reposent également sur les principes du modèle Zero Trust pour rester sécurisées. Les appels sont authentifiés et autorisés par AWS Identity and Access Management. Ces mêmes outils sont également utilisés pour sécuriser l’accès des utilisateurs.
Le modèle Zero Trust dans les environnements hybrides
Si vous travaillez dans un environnement hybride ou sur plusieurs clouds, comme c’est le cas de la plupart des organisations, vous devez étendre votre architecture Zero Trust à ces environnements. C’est là que les choses peuvent se compliquer. De nombreux environnements disposent de leurs propres outils propriétaires, qui nécessitent davantage de temps de gestion et rendent difficile l’obtention d’une vue d’ensemble.
La sécurité Zero Trust est également indispensable pour les applications conteneurisées. Dans la dernière édition du Hype Cycle de Gartner consacré aux réseaux Zero Trust,2 Kubernetes était considéré comme une catégorie technologique en phase d’adoption précoce par le grand public, qui pallie les lacunes des fonctionnalités natives de Kubernetes. Une solution réseau Kubernetes Zero Trust assure la sécurité et l’évolutivité des communications entre pods, ainsi que du trafic nord-sud et est-ouest.
Les solutions F5, notamment F5 Distributed Cloud Services, F5 BIG-IP Access Policy Manager et F5 NGINX, s’intègrent nativement à une architecture Zero Trust et renforcent la sécurité grâce à l’accès selon le principe du moindre privilège, à la vérification explicite, à l’évaluation continue et à la remédiation tenant compte des risques pour les applications et les microservices conteneurisés. Ces solutions fonctionnent également partout où vos applications sont exécutées : dans le cloud, sur site ou en périphérie. L’utilisation d’outils et de politiques de sécurité cohérents dans tous les environnements facilite la mise en œuvre d’une stratégie Zero Trust efficace.
Protégez votre environnement hybride avec F5 et AWS
Ensemble, F5 et AWS vous offrent les outils nécessaires pour simplifier la sécurité Zero Trust dans un environnement hybride. Protégez vos applications, vos API et vos utilisateurs où qu’ils se trouvent grâce à des politiques cohérentes, des contrôles granulaires et une authentification précise.
Découvrez comment F5 et AWS s'associent pour assurer une sécurité Zero Trust sur f5.com/aws.
Sources
1. NIST, Publication spéciale 800-207, août 2020
2. Gartner, Hype Cycle pour les réseaux Zero Trust, 2023, juill. 2023
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.