Si jamais, dans une réalité alternative ou un futur fantastique, j’avais l’opportunité de concevoir les systèmes informatiques de Starfleet, je veillerais à ce que les systèmes d’armes ne soient pas connectés à des sous-programmes de survie. Ou, si je devais être le commandant d’une force d’invasion extraterrestre chargée de prendre le contrôle de la Terre – une planète avec une espèce complètement différente, remarquez – j’insisterais sur l’authentification biométrique, plutôt que sur un code d’accès ou un jeton. Et enfin, si l’un de mes officiers ou l’un de mes vaisseaux spatiaux parvenait, contre toute attente, à « échapper » miraculeusement à ses ravisseurs, je vérifierais certainement d’abord qu’il ne transporte pas de chevaux de Troie.
Alors, qu’est-ce que cela a à voir avec le Zero Trust ? Comme vous l’avez probablement deviné, Hollywood adore les intrigues qui mettent en scène les conséquences épiques qui résultent du renoncement à quelques onces de paranoïa saine au départ. Et, de mon point de vue de praticien en cybersécurité, ce même état d’esprit – maintenir une paranoïa saine – est au cœur de ce qu’est réellement la confiance zéro.
Alors, pourquoi est-ce que je choisis de me concentrer sur le Zero Trust, en particulier ? Ma motivation est basée sur une tendance dans la façon dont le terme « zero trust » est utilisé aujourd’hui. Pour revenir à une autre anecdote de production cinématographique, celle-ci de la fin des années 80, c'était l'époque où Hollywood passait des technologies analogiques traditionnelles aux normes numériques pour l'audio, la vidéo et le montage post-traitement. À cette époque et à cet endroit, de nombreux membres moins techniques de la communauté cinématographique ne comprenaient pas réellement ce que signifiait « numérique », et ne s’en souciaient pas vraiment ; au contraire, le terme « numérique » était, pour eux, effectivement synonyme de « meilleur de sa catégorie ». En conséquence, et au grand dam de mes amis techniciens qui travaillaient avec eux, les producteurs et les réalisateurs ont commencé à se demander si l’éclairage ou la construction du décor étaient « numériques », alors qu’en réalité, ils voulaient dire : « Est-ce la meilleure conception d’éclairage ou la meilleure construction de décor ? » Maintenant, pour revenir à aujourd’hui, j’entends trop souvent le terme « zero trust » utilisé au sein de la communauté des OSC de la même manière que les producteurs de films utilisaient le terme « numérique » en 1990.
Par ailleurs, j’ai récemment découvert le cadre « Commence par le pourquoi » de Simon Sinek. Ce cadre, élaboré parallèlement aux souvenirs de la façon dont Hollywood pensait aux débuts du « numérique » et de la façon dont les films créaient des histoires basées sur des (mauvaises) pratiques en matière de sécurité, a contribué à distiller un certain nombre de réflexions que j’avais autour de la confiance zéro. Au cœur du concept de confiance zéro se trouve la morale des scénarios hollywoodiens avec lesquels j’ai commencé : renoncer à quelques onces de cyber-prévention réfléchie dans la conception et le fonctionnement de la sécurisation d’un système critique se traduira par des kilos de compromis et de souffrances ultérieurs. De même, au niveau central du « pourquoi » du cadre, la confiance zéro peut être articulée comme l’ensemble de croyances suivant :
UN. Vérifiez toujours explicitement « qui » : Que c'est l'acteur qui tente d'interagir avec votre système.
B. Par défaut, le moindre privilège requis est requis : Une fois l’identité établie, accordez à cet acteur uniquement les privilèges nécessaires pour interagir avec le système pour la transaction commerciale spécifique en cours d’exécution, avec les privilèges requis énumérés par la conception.
C. Surveiller et (ré ) évaluer en permanence : La vérification de l’identité et les droits de privilège ne doivent pas être une chose statique et ponctuelle ; au contraire, ces décisions doivent être continuellement évaluées et réévaluées.
D. Et, encore une fois, supposons que vous ayez été compromis : Enfin, malgré les trois points ci-dessus, présumez qu’un adversaire sophistiqué a réussi à franchir les défenses. Le système doit donc également réfléchir à la manière d’identifier et d’isoler les éléments ou identités compromis, ainsi qu’à une stratégie de confinement et/ou de correction de leur impact sur le système.
Simplement : Ne faites pas confiance implicitement, vérifiez plutôt toujours. Et ne faites confiance qu'autant que nécessaire. Et évaluer en permanence. Et ne présumez pas que vous les attraperez tous. C’est le « pourquoi » du Zero Trust.
Bien sûr, le « pourquoi » n’est qu’une partie de l’histoire. Le « comment » — c’est-à-dire les techniques et les outils utilisés pour incarner l’état d’esprit que le « pourquoi » engendre — est une autre perspective pertinente pour le praticien ; elle découle des croyances susmentionnées. Là encore, je serai précis, formulé dans le contexte de l’ensemble actuel d’outils dont disposent les praticiens de la cybersécurité d’aujourd’hui :
Le dernier élément du cadre « pourquoi, comment, quoi » est le « quoi » : vous pouvez atteindre vos objectifs et prévenir ou atténuer les catégories d’attaques grâce aux outils et techniques présentés. Nous détaillerons une taxonomie complète de toutes les cyberattaques dans un prochain article ; en attendant, les « pourquoi » et « comment » exposés ici couvrent bien le spectre des « menaces avancées » sophistiquées. Par exemple, une démarche zéro confiance peut contrer les menaces liées aux rançongiciels, même si elles proviennent de composants logiciels dits « de confiance » (aussi appelées attaques de la chaîne d’approvisionnement). Concrètement, appliquez le principe du moindre privilège, inscrit dans votre politique de contrôle d’accès, pour restreindre les droits de lecture/écriture uniquement aux acteurs qui en ont besoin, afin d’empêcher le chiffrement des fichiers. De plus, si un acteur — tel un composant logiciel autorisé à écrire sur les fichiers — venait à être compromis via une attaque de la chaîne d’approvisionnement, et tentait de chiffrer rapidement un grand nombre de fichiers, une analyse et une réévaluation continues détecteraient rapidement ce comportement anormal en observant l’étendue et la cadence d’accès aux fichiers. Cette détection, combinée à une réponse automatisée, vous permet de bloquer promptement ce type d’activité.
Alors, revenons aux mondes alternatifs avec lesquels j'ai commencé... Si tous les sous-systèmes informatiques de Starfleet fonctionnaient selon le principe du moindre privilège, l’API qui lance les torpilles à photons ne devrait pas être invocable par le sous-système de contrôle de la gravité. Et les commandes du vaisseau-mère extraterrestre n’effectueraient pas seulement une MFA basée sur la biométrie, mais les contrôles de sécurité du vaisseau-mère supposeraient également que des violations se produiront – et donc surveilleraient et réévalueraient en permanence, détectant l’anomalie d’un drone de combat qui vole à travers le vaisseau, et atténuant la menace si ce drone anormal se dirige vers le noyau du moteur. Ces quelques onces de prévention permettraient d’éviter de nombreux drames à long terme – mauvais pour Hollywood, mais bons pour les professionnels de la cybersécurité.
Pour en savoir plus sur le cadre englobant les concepts généraux autour de Zero Trust, par rapport au contexte commercial existant et à l'état d'esprit de sécurité que les chefs d'entreprise d'applications devraient adopter, lisez notre livre blanc Zero Trust Security : Pourquoi Zero Trust est important (et pour bien plus que le simple accès) .