Le zero trust est l’un des termes (ou expressions) les plus en vogue dans le secteur technologique aujourd’hui. Il a été désigné comme la troisième technologie la plus prometteuse dans notre étude « État de la stratégie applicative 2022 » et suscite un vif intérêt à tous les niveaux de l’organisation.
L’une des vérités souvent négligées concernant le modèle Zero Trust est qu’il s’agit avant tout d’un état d’esprit, et non d’une technologie ou d’une solution. C’est pourquoi je reviens toujours à notre conviction fondamentale concernant le modèle Zero Trust :
« Nous pensons que la sécurité Zero Trust est, fondamentalement, un état d’esprit — un système de croyances — dont découlent des techniques et des tactiques qui s’appuient sur des technologies spécifiques, lesquelles peuvent ensuite être mises en œuvre pour faire face à un large éventail de menaces de sécurité. »
C’est pourquoi il est important de revenir sur la règle zéro de la sécurité.
Pour ceux qui ne connaissent pas le concept de « règle zéro », celui-ci vient des jeux de rôle, où les règles jouent un rôle important. Elles déterminent l’ordre des interactions, l’interprétation des jets de dés, ainsi que ce que l’on peut ou ne peut pas faire. Tout comme dans le monde réel. Mais dans les jeux de rôle, il existe une règle zéro qui prime sur toutes les autres : « Le MJ est l’arbitre ultime de tout ce qui se passe dans le jeu. » Cela signifie essentiellement que le MJ peut modifier, ajouter ou supprimer des règles à tout moment. Et croyez-moi, il le fait souvent.
Certains seront peut-être surpris d’apprendre que la sécurité a elle aussi une règle zéro, et la voici :
« Tu ne feras jamais confiance aux données saisies par l’utilisateur. Jamais. »
Cette règle n’est pas nouvelle ; elle a déjà été mise en avant à de très nombreuses reprises, et j’ai écrit plusieurs fois à ce sujet pour rappeler qu’elle est au cœur des bonnes pratiques de sécurité. Le non-respect de cette règle entraîne des vulnérabilités susceptibles de donner lieu à une exploitation dangereuse et généralisée.
La règle de sécurité zéro reste pertinente aujourd’hui — peut-être même plus que jamais. Avec la prolifération des API et l’essor fulgurant des services numériques, les bots, les scripts et les acteurs malveillants sont plus nombreux que jamais. Et si le credential stuffing reste l’une des principales techniques d’attaque, les actualités ne manquent pas d’exemples d’exploitations tirant parti de services numériques et d’API qui ne respectent pas la règle de sécurité zéro.
Faire confiance aux données saisies par les utilisateurs est contraire au principe même du zero trust. Aucune donnée saisie par un utilisateur — qu’il s’agisse d’un humain, d’un logiciel ou d’un système — ne doit être considérée comme pouvant être traitée en toute sécurité sans avoir été contrôlée. Un point, c’est tout.
L’un des principes fondamentaux — l’une des convictions — du modèle Zero Trust consiste à partir du principe qu’une compromission a eu lieu. Une compromission peut désigner la présence d’un logiciel malveillant ou la prise de contrôle par un acteur malveillant. C’est l’état du système. La conséquence est que les données — les messages — provenant de ce système peuvent être malveillantes.
Par conséquent, vous ne devez jamais faire confiance à une quelconque saisie utilisateur. Point final.
Comme indiqué ci-dessus, cette règle fondamentale conduit à des tactiques (inspection) et à des technologies (WAAP, WAF, NGF) permettant de détecter et de neutraliser une grande variété d’attaques.
La règle de sécurité zéro est un élément essentiel du modèle Zero Trust. Son adoption permettra de mettre en œuvre des tactiques plus efficaces et de renforcer la sécurité pour tous.
Soyez prudents.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Pourquoi devriez-vous vous intéresser à WebAssembly ?
WebAssembly (Wasm) est un jeu d’instructions binaires portable, rapide et sécurisé, qui permet d’exécuter des applications hautes performances sur n’importe quelle plateforme.
Trois choses à savoir sur les applications d’IA
Les applications d’IA sont des applications modernes, mais elles présentent certaines particularités. Découvrez les points essentiels à connaître sur les applications basées sur l’IA.
État des lieux de la stratégie applicative 2022 : il est temps de moderniser les opérations
Il est devenu évident que, pour maintenir la dynamique de leur transformation numérique, les organisations doivent recentrer leurs efforts sur les fonctions métier. Si les expériences destinées aux clients restent prioritaires, il est également indispensable de permettre la numérisation de fonctions telles que les services juridiques, les ressources humaines et la finance. Les DSI prennent donc les commandes, tandis que la transformation numérique passe de la modernisation des applications à celle des opérations.
Clouds multiples ou multicloud : faciliter la transition
La gestion et la sécurisation des charges de travail deviennent complexes à mesure que les entreprises adoptent une stratégie de cloud connecté. Découvrez comment F5 répond au besoin d’une nouvelle approche de la mise en réseau multicloud.
L’expérience client dépend de la visibilité
Une enquête menée par Dimensional Research auprès de plus de 3 000 utilisateurs d’applications mobiles a confirmé ce que beaucoup d’entre nous pensent des attentes actuelles des clients.
Transformation numérique et explosion du portefeuille d’applications
La transformation numérique stimule la croissance des portefeuilles d’applications et modifie la manière dont celles-ci sont développées, déployées, intégrées et, en définitive, utilisées.