• Principes clés
  • Différences entre les deux systèmes
  • Schéma du réseau

Principes clés de la sécurité Zero Trust

Lors d’un déploiement ZTNA, il faut se rappeler ces trois principes :

Confiance nulle-vérification systématique

Vérifiez chaque demande chaque fois selon tous les points de données disponibles avant d’autoriser un utilisateur ou appareil. N’accordez aucune confiance implicite à rien ni personne.

One

Principe du privilège minimum

Utilisez le privilège minimum et l’élévation de privilèges juste-à-temps pour veiller à ce que les utilisateurs et les appareils ne disposent que de l’accès requis pour remplir leurs fonctions.

One

Violation supposée

Supposez une violation du réseau. Prévoyez de limiter les effets des attaques externes ou internes et déployez des outils d’analyse et de sécurité pour détecter les menaces et y parer.

One
Voulez-vous en savoir plus sur les bases du Zero Trust ?

Consultez ces infographies.

Sept principes du Zero Trust The 7 tenets of Zero Trust
Cinq piliers du Zero Trust The 5 pillars of Zero Trust
Infographics on the basics of Zero Trust - key tenets and principles

Comment le modèle ZTNA se démarque des formes classiques de sécurité ?

Modèle de sécurité classique

On désigne les formes classiques de sécurité sous le terme de sécurité périmétrique. En effet, elles reposent sur des pare-feux, des VPN, etc. pour créer un périmètre autour du réseau.

On utilise parfois l’expression « castle-and-moat » (douves du château). Auparavant, comme tout le monde ne travaillait qu’au bureau, cette forme pouvait sembler suffisante.

Toutefois, ces formes de sécurité ne tiennent pas assez compte des risques que crée l’adoption des solutions cloud et des modes de travail hybrides.

De plus, les attaques liées aux identifiants et le personnel malveillant peuvent facilement contourner les pare-feux et les VPN et ravager le réseau.

Perimeter-based security approach

Modèle de sécurité Zero Trust

Le modèle de sécurité Zero Trust vise à régler la question en axant les défenses sur les identités, les appareils et les ressources au lieu du périmètre du réseau. L’objectif consiste à éviter un accès non autorisé aux ressources de l’organisation tout en rendant le contrôle d’accès le plus précis possible.

The Zero Trust security approach

Les mesures prises sont les suivantes :

  • Vérification explicite : Avant d’accorder l’accès, chaque demande est explicitement vérifiée, peu importe son origine.
  • Principe du privilège minimum : Chaque utilisateur ne reçoit que le niveau d’accès minimum strict qu’exige l’exercice de ses fonctions.
  • Élévation de privilèges juste-à-temps : Un utilisateur devant accéder à des ressources sensibles en dispose en juste-à-temps après nouvelle vérification.
  • Analyse continue : L’activité des utilisateurs est analysée en permanence, ce qui permet aux équipes de sécurité de détecter et bloquer immédiatement un comportement suspect.
  • Automatisation de la sécurité : Des mesures de sécurité sont automatisées pour assurer une réaction instantanée et éviter de graves dommages.
  • Accès dynamique : On peut limiter ou refuser l’accès d’un utilisateur selon la recommandation des outils de sécurité et d’analyse.

Cela garantit que même si un suspect pénètre dans le réseau, il ne peut pas nuire beaucoup. Les cas d’usage du Zero Trust ne se limitent pas à la prévention et la lutte contre les cyberattaques. Cette stratégie simplifie aussi les contrôles d’accès et la conception réseau, entre autres.

Structure et sécurité du réseau : Illustration

Le Zero Trust simplifie aussi la conception réseau en éliminant plusieurs couches et rapprochant le « périmètre » des ressources ou des appareils protégés.

Sans Zero Trust Avec Zero Trust
Network structure without a Approche Zero Trust (the castle-and-moat model)
Approche château et douves