ZTA ou l’Architecture Zéro Confiance

Le terme « Black core » est apparu aux Etats Unies aux environs de 2004 et vise à passer d’un modèle de sécurité périmétrique à un modèle focalisé sur la sécurité des transactions individuelles. Ce concept a évolué avec le temps vers le concept de zéro confiance (ZT) qui a pour objectif d'évaluer les demandes d’accès d’une façon plus dynamique et granulaire sur la base du besoin d’accès pour faire face aux menaces du à une potentielle compromission du réseau interne de l'organisme.

Le zéro confiance vise à assurer une protection des attaques internes en limitant l’accès aux ressources aux seules personnes dont leurs missions le nécessitent et avec des privilèges très restreints (le principe du moindre privilège). L’idée est de considérer le réseau interne comme compromis et gérer les accès de telle manière d’assurer une protection adéquate aux données et ressources internes en garantissant la gestion des accès et des autorisations à un niveau de granularité approfondi. Par conséquent, le principe de confiance implicite octroyée aux composants IT localisés à l'intérieur du périmètre de sécurité protégé par les pare-feux périphériques n’est plus valable. L'architecture de confiance zéro (ou ZAT) est une approche de bout en bout de la sécurité des ressources et des données d'entreprise qui englobe l'identité (personnes et entités), les informations d'identification, la gestion des accès, les opérations, les points de terminaison, les environnements d'hébergement et l'infrastructure d'interconnexion. L'objectif initial devrait être de restreindre les ressources à ceux qui ont besoin d'accéder et de n'accorder que les privilèges minimaux (par exemple, lire, écrire, supprimer) nécessaires pour effectuer la mission. Les principes de base de l’architecture zéro confiance sont comme suit:

1. Toutes les sources de données et services informatiques connectés au réseau interne sont considérés comme des ressources de l’entreprise (y compris les appareils personnels dans la cadre d’une politique BYOD)

2. Toutes les communications sont sécurisées quel que soit l'emplacement du réseau. Par exemple si le chiffrement est nécessaire pour la consommation d’un service du réseau internet il doit l’être également pour le réseau interne (l’utilisation des passerelles SSL est à revoir pour ceux qui l’utilisent)

3. L'accès aux ressources d'entreprise individuelles est accordé par session. L’accès n’est pas statique mais il est basé sur une session établie après un ensemble de vérification selon des règles claires. Le même utilisateur peut avoir sa demande d’accès acceptée pour une durée déterminée et refusée une autre fois à cause d'un changement des conditions de la demande.

4. L'accès aux ressources est déterminé par une politique dynamique, y compris l'état observable de l'identité du client, de l'application ou du service et de l'actif demandeur, et peut inclure d'autres attributs comportementaux et environnementaux (par exemple l’état de sécurité de l’ordinateur utilisé , les attaques actives au moment de la demande ...)

5. L'entreprise surveille et mesure l'intégrité et la sécurité de tous les actifs détenus et associés. Les ressources non conforme à la politique de sécurité de l'entreprise peuvent avoir un refus d'accès aux réseaux de l'entreprise et peuvent être obligés de se conformer avant toute communication avec le reste des ressources.

6. Toutes les authentifications et autorisations de ressources sont dynamiques et strictement appliquées avant que l'accès ne soit autorisé. Par exemple une demande d’accès d’un ordinateur qui a une base de signatures antivirales obsolète pourrait être refuser et ce dernier pourrait être obliger de mettre à jour sa base.

7. L'entreprise recueille autant d'informations que possible sur l'état actuel des actifs, de l'infrastructure réseau et des communications et les utilise pour améliorer sa posture de sécurité. Par exemple si une infection virale est détectée sur un composant réseau, le contrôle d’accès pourrait être renforcer avec des nouvelles règles permettant d’éviter l’accès aux ressources et composants IT infectés par cette dernière.

Avec l'utilisation massive des services cloud et des réseaux virtuels (VPN) notamment avec la généralisation du travail à distance, ce principe de zéro confiance relève d'une importance vitale pour la sécurité des réseaux et ressources des entreprises. Du coup sa prise en compte dans l'élaboration des nouvelles architectures réseaux est nécessaire pour prendre en considération les risques engendrés par l'utilisation du cloud et des réseaux virtuels encouragée par les contraintes de la pandémie de COVID 19.