Quel avenir pour le Zero Trust ?

Erin VernaResponsable principal senior du marketing produit | F5

J’ai récemment lu un article sur l’une des dernières attaques par rançongiciel, qui visait cette fois le prestataire de soins de santé Lehigh Valley Health Network (LVHN). S’il est toujours inquiétant de voir des cybercriminels prendre en otage les systèmes et les données d’une organisation, cette cyberattaque était particulièrement préoccupante. Comme le décrit le média The Register :

« Le [groupe cybercriminel] BlackCat (également connu sous le nom d’ALPHV) s’est introduit dans l’un des réseaux de médecins du Lehigh Valley Health Network (LVHN) aux États-Unis et a dérobé des images de patients suivant un traitement de radiothérapie oncologique, ainsi que d’autres dossiers médicaux sensibles… Le LVHN a refusé de payer la rançon et, au début du mois, BlackCat a commencé à divulguer des informations sur les patients, notamment des images d’au moins deux patientes atteintes d’un cancer du sein, nues jusqu’à la taille. »

Si chaque tentative d’extorsion peut raviver la détermination à mieux sécuriser les réseaux et les données sensibles, le fait que les rançongiciels et toutes les formes de cyberattaques puissent causer des préjudices durables et des traumatismes psychologiques aux personnes devrait constituer un sérieux signal d’alarme pour toute organisation qui ne s’est pas encore engagée dans une démarche de sécurité Zero Trust. Tout secteur d’infrastructures critiques ou toute organisation à laquelle sont confiées des informations personnelles sensibles devrait intégrer les principes fondamentaux d’un modèle Zero Trust.

Il va probablement sans dire que, si nous n’anticipons pas dès maintenant les prochaines évolutions de la sécurité des applications, nous serons rapidement distancés dans la course qui nous oppose aux cybercriminels et à leurs nouvelles tactiques d’attaque. Il n’est donc jamais trop tôt pour nous demander quel avenir attend le modèle Zero Trust. Comment évoluera-t-il pour faire face non seulement à un paysage des menaces en mutation, mais aussi à l’évolution constante de notre monde numérique et des applications elles-mêmes ?

Pour tenter de répondre à ces questions, je me suis entretenu avec deux experts en sécurité de F5 : Ken Arora, ingénieur émérite, et Mudit Tyagi, directeur principal du développement produit.

Cette violation de données chez LVHN m’a vraiment amené à réfléchir à la manière dont les organisations mettent en œuvre les principes du Zero Trust. C’est un peu comme l’heure de vérité : pour les consommateurs touchés par une violation de données, un an de surveillance gratuite de leur dossier de crédit ne suffit plus. Diriez-vous que les enjeux sont aujourd’hui beaucoup plus importants pour les entreprises ?

Mudit : Il est évident que les enjeux sont plus importants. C’est particulièrement vrai face aux pirates informatiques soutenus par des États, qui disposent des financements, des ressources techniques et du temps nécessaires pour étudier et lancer des attaques très ciblées contre des entreprises et d’autres pays. Sans compter qu’ils peuvent déstabiliser la société dans son ensemble. On se souvient de l’incident Aurora de 2010, au cours duquel des éléments de propriété intellectuelle ont été dérobés à Google et à d’autres entreprises américaines. Dix ans plus tard, en 2020, l’attaque de la chaîne d’approvisionnement de SolarWinds a servi de moyen pour s’introduire dans de nombreux réseaux sensibles. Le risque de conséquences majeures a conduit la Maison-Blanche à publier un décret présidentiel imposant à toutes les agences gouvernementales de respecter les principes du modèle Zero Trust.

Ken : Je suis d’accord pour dire que l’étendue de l’exposition ne fera que croître avec le temps. Et ce, non seulement parce que davantage de données seront disponibles en ligne, mais aussi parce que de toutes nouvelles catégories de compromission apparaîtront à mesure que nous adopterons l’IA à grande échelle. Je tiens à souligner que la mise en place, à l’échelle de la société, d’un cadre de gouvernance visant à gérer les risques liés à toute nouvelle technologie prend toujours du temps. Par exemple, ce n’est que depuis quelques années que les entreprises, en particulier dans les secteurs réglementés, peuvent voir leur responsabilité juridique engagée. Nous l’avons constaté avec Experian et T-Mobile, pour un montant cumulé de plus d’un milliard de dollars. Plus récemment, nous avons vu comment des personnes telles que le RSSI d’Uber sont tenues personnellement responsables de leurs manquements professionnels lorsqu’une négligence grave a été constatée. Cet exemple fait également écho au secteur de la santé. Je pense que ces évolutions obligent plus que jamais les professionnels de la sécurité à suivre les bonnes pratiques et le système juridique à élaborer des lignes directrices définissant une sphère de sécurité juridique.

Compte tenu du contexte actuel, quelles sont selon vous les perspectives pour le modèle Zero Trust ?

Mudit : Historiquement, Google a lancé BeyondCorp à la suite des attaques Aurora, constituant ainsi l’une des premières incarnations du modèle Zero Trust, même si le concept est encore plus ancien. Aujourd’hui, des offres telles que le ZTNA et le SASE ont vu le jour, appliquant les principes du Zero Trust à l’accès des utilisateurs et des appareils. Toutefois, davantage d’efforts doivent être consacrés à l’application de ces principes au sein même du réseau, là où les charges de travail interagissent entre elles pour assurer les processus métier et les expériences utilisateur. C’est ce que nous appelons le Zero Trust entre charges de travail. En termes simples, les approches axées sur l’accès cherchent à empêcher une compromission, tandis que le Zero Trust au niveau des charges de travail vise à limiter les conséquences d’une compromission en cours.

Le secteur peine à mettre en œuvre des contrôles conformes au principe de confiance zéro selon lequel il faut « partir du principe qu’une compromission a eu lieu ». Pour gérer les scénarios postérieurs à une compromission, les charges de travail doivent disposer d’« identités », au même titre que les utilisateurs et les appareils. Elles doivent également faire l’objet d’une surveillance continue afin d’empêcher les logiciels malveillants déjà présents dans le réseau de causer des dommages. Cette approche est particulièrement cruciale compte tenu de la mobilité actuelle des collaborateurs et des environnements d’infrastructure dans lesquels les applications sont réparties entre des clouds privés et publics, ainsi que des systèmes existants.

Puisque le modèle Zero Trust repose sur le principe selon lequel il faut « partir du principe qu’une compromission a eu lieu », il nécessite des mesures de sécurité allant bien au-delà du simple contrôle des accès.

Ken : Exactement. Nous devons également inclure le renseignement sur les menaces, la gestion des informations et des événements de sécurité, les diagnostics et les mesures d’atténuation en continu, entre autres. L’évolution constante des applications et l’augmentation continue du trafic généré par l’IA exigent non seulement une approche globale du modèle Zero Trust, mais aussi l’application de ces principes à de nouveaux domaines de l’infrastructure, tels que les charges de travail elles-mêmes.

Comme l’a souligné Mudit, les principes au cœur du modèle Zero Trust sont connus et intégrés depuis longtemps par les professionnels de la sécurité — et j’entends ici la sécurité au sens large, pas seulement la cybersécurité. Sa déclinaison la plus récente, le ZTNA, consiste fondamentalement à appliquer les principes de « vérification systématique » et de « surveillance et évaluation continues » à l’identité des utilisateurs et des appareils qui souhaitent accéder à un réseau.

Je pense que les prochaines étapes logiques de l’évolution du modèle Zero Trust appliqué à la cybersécurité seront les suivantes : 1) passer de l’accès au réseau à l’accès aux applications, c’est-à-dire utiliser des abstractions et des protections au niveau de la couche applicative plutôt qu’au niveau de la couche réseau ; et 2) étendre l’application des principes du Zero Trust au-delà des utilisateurs et des appareils, afin d’y inclure les charges de travail.

Pourquoi la charge de travail est-elle si critique ? Et si nous allons aussi loin, devons-nous également appliquer les principes du Zero Trust aux pratiques de développement elles-mêmes (notamment aux dépôts de code et autres outils similaires) ?

Ken : Pour faire court, les charges de travail sont critiques, car elles constituent la nouvelle menace interne.

Il faut savoir que la majeure partie du code des applications cloud natives est développée dans un environnement open source, hors du contrôle de l’organisation propriétaire de l’application. La maturité des pratiques de développement logiciel employées pour créer ce code est généralement peu encadrée et mal documentée. Après son importation, les tests réalisés sur ce code portent principalement sur les fonctionnalités et les performances, les évaluations de sécurité étant largement négligées. Par conséquent, la plupart du code applicatif bénéficie d’une « confiance implicite », soit précisément le comportement que le modèle Zero Trust cherche à décourager. Et cela suppose que les fournisseurs de code soient bien intentionnés. Si l’on tient également compte du fait que des acteurs malveillants tentent activement d’utiliser le code open source comme porte dérobée, celui-ci devient une surface d’attaque de premier plan. D’ailleurs, bon nombre des attaques récentes les plus médiatisées — log4j, SolarWinds et 3CX — sont des exemples d’attaques de la chaîne d’approvisionnement, qui échappent au périmètre aussi bien du ZTNA que des solutions de sécurité fondées sur l’identité des utilisateurs.

Attardons-nous un instant sur ce dernier point : la manière dont le code open source peut être utilisé comme porte dérobée. Cela nous ramène à ce que vous disiez précédemment sur le fait que le modèle Zero Trust nécessite des mesures telles que le renseignement sur les menaces, la gestion des informations et des événements de sécurité, les diagnostics continus, etc.

Mudit : Oui. Il est important de réfléchir à la manière dont nous envisagerions la sécurité en partant du principe qu’une compromission a déjà eu lieu. Les contrôles centrés sur le réseau ont un rôle à jouer : ils peuvent détecter les communications avec les serveurs de commande et de contrôle. Toutefois, l’objectif est d’empêcher le logiciel malveillant qui a réussi à s’introduire de causer des dommages. Lorsqu’il entre en action, il doit nécessairement se dévoiler. En surveillant toutes les charges de travail et en comprenant leurs caractéristiques, nous avons bien plus de chances de détecter la charge de travail malveillante liée à ses activités.

Les chercheurs de MITRE ont rendu un grand service au monde de la cybersécurité en créant une taxonomie qui permet d’appréhender la plupart des attaques comme une combinaison de tactiques, techniques et procédures (TTP) décrites dans le référentiel MITRE ATT&CK. Ils présentent également, dans le référentiel MITRE D3FEND, un ensemble de contre-mesures permettant de détecter ces TTP. L’analyse des processus constitue un élément important de ce référentiel et nécessite l’application des principes du Zero Trust au niveau des charges de travail.

Il est essentiel que le code constituant la charge de travail soit analysé afin d’y détecter d’éventuelles vulnérabilités à l’aide d’outils de test statique de sécurité des applications (SAST) et de test dynamique de sécurité des applications (DAST) au cours du cycle de développement. Il est également possible de préparer la mise en œuvre du modèle Zero Trust au niveau de la charge de travail en établissant, pendant le cycle de développement, une base de référence des caractéristiques de bas niveau de la charge de travail, telles que les « appels système ». Cette base de référence facilite la détection et l’analyse des anomalies lorsque la charge de travail s’exécute en production. Le framework D3FEND préconise tout un ensemble de contre-mesures axées sur le renforcement de la sécurité, à mettre en œuvre au cours du cycle de développement.

Abordons le rôle de l’IA dans la sécurité en général, et plus particulièrement dans le modèle Zero Trust. Quels défis et quelles opportunités l’IA créera-t-elle en matière de sécurité ? Par ailleurs, ChatGPT a fait la une de tous les médias. J’ai vu des prévisions selon lesquelles 90 % du trafic Internet sera généré par l’IA d’ici 2026. Cela changera-t-il la donne en matière de sécurité ? Si oui, de quelle manière ?

Mudit: Les attaques automatisées sont déjà très difficiles à contrer. L’attaquant peut continuellement faire évoluer et modifier son attaque, ce qui génère beaucoup de bruit pour le SOC. Les équipes de défense utilisent déjà l’automatisation pour lutter contre ces attaques automatisées. Même lorsque nous parvenons à identifier leurs signatures, les faux positifs restent un problème majeur. Grâce à l’IA, il sera possible d’imiter le comportement d’utilisateurs normaux bien plus fidèlement qu’avec les attaques automatisées actuelles. La détection des anomalies deviendra donc plus difficile et nécessitera une analyse contextuelle très poussée afin de réduire au minimum les faux positifs.

Ken : Je pense que l’IA continuera d’avoir un impact considérable sur la sécurité. Tout d’abord, elle influe clairement beaucoup sur la manière dont les acteurs malveillants mènent leurs attaques, ainsi que sur la façon dont les défenseurs les détectent et y remédient. En bref, le jeu du chat et de la souris va se poursuivre, l’IA agissant comme un relais exponentiellement plus rapide et plus agile de ce que les humains pourraient faire manuellement.

En ce qui concerne spécifiquement ChatGPT, je pense que le principe du zero trust, qui consiste à ne pas accorder sa confiance aveuglément, s’appliquera ici. Tout comme le principe de base du ZTNA est de « ne pas faire aveuglément confiance aux utilisateurs et aux appareils », et qu’il devrait être étendu aux charges de travail, je pense que la génération de contenu par l’IA nous amènera à ne pas faire aveuglément confiance aux contenus. À bien des égards, cela nous ramène au fonctionnement de la société : le degré de confiance que nous accordons à un contenu donné dépend de sa provenance. Par exemple, je pourrais davantage me fier à une déclaration concernant la validité d’un chèque provenant de ma banque qu’à une déclaration similaire faite par une personne croisée au hasard dans la rue. En bref, l’attribution des données est importante. Et à mesure que l’IA générera davantage de contenu, nous verrons cette idée — qui existe depuis longtemps dans le monde réel — devenir un enjeu majeur dans le monde numérique.

Compte tenu du rythme toujours plus soutenu auquel émergent de nouvelles menaces, le débat sur l’avenir du modèle Zero Trust devrait rester d’actualité, notamment lorsqu’il s’agit de limiter l’impact des menaces internes et d’appliquer les principes du Zero Trust aux charges de travail. À mesure que les contenus générés par l’IA envahissent Internet, l’approche du secteur en matière de Zero Trust devra nécessairement évoluer, et nous continuerons à vous présenter d’autres points de vue. Merci de nous avoir suivis.
____

Pour ceux qui souhaitent approfondir le principe « assume breach », consultez le dernier article de Ken ici.

À propos de l’auteur

Erin VernaResponsable principal senior du marketing produit | F5

Autres articles de Erin Verna