Zero Trust – Les questions à poser

F5

Avoir une « stratégie Zero Trust », c’est un peu comme avoir une « stratégie cloud » : cela n’a guère de sens sans connaître le contexte, à savoir ce que vous cherchez à accomplir et où vous en êtes aujourd’hui. Même le nom peut être trompeur, puisqu’il faut bien accorder sa confiance à quelque chose. Une définition simple du Zero Trust serait : « ne pas faire confiance à un utilisateur ou à un appareil en fonction de son emplacement sur le réseau ». Mais si c’était aussi simple, nous aurions tous déjà fini de le mettre en œuvre. En tant qu’architecte de solutions globales chez F5, j’ai l’occasion d’étudier de nombreuses architectures d’accès. Si beaucoup aspirent au Zero Trust, rares sont celles qui ont atteint leurs objectifs en la matière.

Une meilleure définition consisterait sans doute à redéfinir le périmètre de confiance afin d’y inclure l’identité, l’appareil et l’application, plutôt que de le limiter au périmètre réseau. Cette idée n’est certes pas nouvelle, et j’ai vu de nombreux clients progresser dans cette voie, mais elle gagne aujourd’hui du terrain à mesure que les fournisseurs s’attaquent aux principaux obstacles à sa mise en œuvre effective dans les environnements qui ne disposent pas de leur propre armée de développeurs pour créer une solution sur mesure. Pour ajouter à la confusion, il existe une multitude de modèles parmi lesquels choisir, tels que les proxys, les micro-tunnels, la microsegmentation ou les architectures sans proxy, ainsi que des termes concurrents et des concepts connexes comme la microsegmentation et le périmètre défini par logiciel (SDP). Comment définir la réussite d’une démarche aussi vague, offrant autant d’options, et par où commencer pour évaluer les solutions ? Vous devez d’abord connaître vos objectifs et vos exigences. Je commencerais donc par quelques questions comme celles-ci...

Quels types d’applications souhaitez-vous protéger ?

Les proxys sont généralement bien adaptés à la gestion des applications web, car ils offrent des fonctionnalités d’authentification unique (SSO), une bonne expérience utilisateur ainsi qu’un déploiement et une gestion relativement simples. Souhaitez-vous également appliquer le modèle Zero Trust aux accès aux serveurs ? Certaines solutions proposent des proxys SSH et RDP. Pour chacun de ces trois protocoles, il existe aussi des solutions sans proxy qui s’intègrent directement au code de l’application ou aux modules d’authentification du serveur. Gardez toutefois à l’esprit que vous ne pourrez alors pas bloquer le trafic avant qu’il n’atteigne le serveur ou l’application, ce qui implique un niveau de risque plus élevé.

Si vos applications cibles ne se limitent pas à celles-ci, vous devrez probablement opter pour une solution basée sur des tunnels. Toutes les solutions de tunnellisation ne se valent pas. Certaines s’appuient sur des VPN traditionnels, qui limitent votre connectivité à une seule passerelle. Les microtunnels constituent généralement une meilleure approche, car ils permettent d’établir de nombreux tunnels vers différents points de terminaison afin de répondre à vos besoins d’accès, quel que soit l’emplacement de vos applications.

Quels types de protections doivent être mis en place ?

C’est une excellente occasion de vous assurer que chaque application est protégée par une authentification multifacteur, ainsi que par des mécanismes contre le bourrage d’identifiants et les attaques par force brute, une protection contre les bots, une visibilité sur le trafic intégrant des services de sécurité tels que la prévention des pertes de données et les systèmes de prévention des intrusions, ainsi qu’un pare-feu applicatif web pour vos applications web. En mettant en œuvre un modèle d’accès cohérent, vous créez également un point d’intégration commun pour tous ces services. Méfiez-vous des solutions de confidentialité de bout en bout. Elles peuvent sembler séduisantes, jusqu’à ce que vous réalisiez qu’elles vous obligent à contourner tous vos services de sécurité. Le Zero Trust ne doit jamais affaiblir votre niveau de sécurité. Une bonne stratégie consiste à terminer les tunnels au niveau d’une passerelle, puis à acheminer le trafic via des dispositifs de visibilité et de sécurité.

Avez-vous besoin de l’authentification unique (SSO) ?

Les solutions de tunneling ne sont généralement pas en mesure de transmettre l’identité à l’application et s’appuient parfois sur d’autres mécanismes d’authentification transparente déjà en place dans l’environnement. Vous devrez peut-être recourir à des proxys ou à une intégration directe dans le code pour fournir l’authentification unique (SSO) recherchée. Répondre à ce besoin sera probablement un facteur clé de réussite auprès de bon nombre de vos parties prenantes. Une solution adaptée et correctement déployée peut améliorer à la fois l’expérience utilisateur et la sécurité.

Quelle est votre stratégie en matière d’analyse des données ?

Vous devez avoir des attentes élevées dans ce domaine. Lors du déploiement d’un cadre cohérent de politiques d’accès à l’échelle de l’organisation, l’un des principaux avantages doit être de pouvoir déterminer qui accède à quelle ressource, depuis quel appareil, où et quand. Ces données doivent être exploitées et analysées conjointement avec celles de vos autres outils de sécurité afin d’identifier et d’atténuer les menaces. C’est l’occasion de réduire les risques au sein de l’organisation en renforçant votre chaîne d’attaque à chaque étape, notamment en matière de visibilité, d’identification des menaces et d’atténuation. Les fournisseurs de ce secteur ne proposent pas encore de solution complète ; veillez donc à rechercher des moyens d’intégrer à la solution des analyses provenant de tiers afin de l’améliorer. Il est judicieux de privilégier les fournisseurs qui misent sur les intégrations avec des partenaires en complément de leur propre solution, plutôt que de chercher à tout regrouper sur une seule plateforme.

À quel type d’expérience utilisateur devez-vous vous attendre ?

Les proxys offrent généralement une meilleure expérience utilisateur pour les applications web, car ils ne nécessitent aucun changement dans la façon dont l’utilisateur se sert de son navigateur et requièrent également moins de composants côté client. Toutefois, d’autres solutions peuvent nécessiter des clients de tunnel. On peut raisonnablement s’attendre à ce que l’utilisateur final n’ait pas ou presque pas conscience de l’existence des tunnels. Les VPN traditionnels offrent généralement une expérience utilisateur moins satisfaisante que les micro-tunnels et présentent d’autres limites, comme indiqué précédemment.

Quelles plateformes devez-vous prendre en charge ?

Certaines solutions offrent une excellente plateforme pour les ordinateurs de bureau, mais pas pour les appareils mobiles. Veillez à évaluer la solution afin de déterminer si elle peut répondre aux besoins des utilisateurs sur les principaux systèmes d’exploitation de bureau, les appareils mobiles et, le cas échéant, les applications mobiles natives, tout en garantissant une expérience utilisateur et un ensemble de fonctionnalités cohérents.

Prochaines étapes

Définissez vos objectifs, qui devraient probablement inclure, dans un premier temps, l’amélioration de l’expérience utilisateur, une meilleure intégration des services de sécurité, l’authentification multifacteur pour tous les accès et une stratégie d’intégration des outils d’analyse. Cela vous aidera à déterminer quels fournisseurs et quelles architectures méritent une évaluation plus approfondie. Concentrez-vous ensuite sur les fournisseurs disposant de bonnes stratégies de partenariat. Aucun fournisseur ne pourra à lui seul proposer tout ce que vous êtes en droit d’attendre de cette architecture ; il vous faut donc une plateforme sur laquelle vous pourrez vous appuyer. À long terme, vous ne le regretterez pas, croyez-moi !

À propos de l’auteur

F5

Autres articles de F5