Le modèle Zero Trust, qui a fait ses preuves pendant dix ans au sein de diverses organisations et s’est imposé comme l’une des meilleures idées de l’histoire de la cybersécurité, nous intéresse-t-il ? Comment mettre en œuvre cette approche révolutionnaire pour atténuer les cyber-risques ?

Pour bénéficier d’une analyse approfondie et nuancée du modèle Zero Trust, comme seul John Kindervag pouvait le faire, nous l’avons invité à participer à un récent épisode du podcast The Virtual CISO. John Verry, RSSI et associé gérant de Pivot Point Security, anime l’émission comme à son habitude.

John a décrit cinq étapes communes à toutes les organisations mettant en œuvre le modèle Zero Trust. Cette approche est fondamentalement axée sur les données. Autrement dit, elle consiste à définir les données, applications, actifs et/ou services (DAaS) qu’il est primordial de protéger.

Étape 1 : Définissez votre surface de protection.

« Ce sont des données réelles [que nous protégeons] », souligne John. Avant, je disais simplement de définir ses données. Mais je me suis rendu compte que parfois, je ne pouvais pas le savoir, alors que je connaissais l’application qui utilisait ces données. Il faut donc sécuriser la requête.

« Les systèmes SCADA, les objets connectés comme les appareils d’IRM, les pompes à perfusion de morphine sans fil… Ils échangent des données, mais on les considère comme des actifs. Il y a aussi des services comme le DNS, le DHCP, Active Directory… Ce sont des éléments qu’il faut protéger, et c’est ainsi que j’ai tendance à les présenter. »

« Vous prenez un seul élément DAAS, vous le placez sur une seule surface de protection, et vous construisez votre réseau ou votre environnement Zero Trust en suivant les étapes restantes sur cette unique surface de protection », explique John.

Étape 2 : Cartographier les flux de transactions.

« Je ne peux pas concevoir un réseau sans savoir comment il fonctionne », explique John. « Chaque environnement Zero Trust doit donc être adapté à chaque surface protégée. Mais je ne peux pas savoir comment la surface protégée interagit avec tous ces autres systèmes tant que je n’ai pas cartographié les flux de transactions. Comment tout cela fonctionne-t-il ensemble pour définir cela ? »

En d’autres termes, il est essentiel de comprendre le système avant de déterminer comment le contrôler. La cartographie des flux de transactions est comparable à la création de diagrammes de flux de données, si vous êtes familiarisé avec ce concept. L’objectif final est de vérifier que ce que vous définissez au sein de votre interface de protection correspond bien à la réalité.

Étape 3 : Définissez votre architecture.

La troisième des cinq étapes du modèle Zero Trust consiste à concevoir l’environnement, qu’il soit basé sur le cloud, sur site ou hybride. Vos schémas de flux de transactions vous indiqueront où placer les contrôles.

« Il suffit d’observer le flux de données et de se dire : “J’ai besoin de contrôler cela, compte tenu de la manière dont les choses se passent et de la façon dont je souhaite définir la politique, car je veux m’assurer que tel élément ne puisse pas communiquer avec tel autre”, explique John. Cela permet de déterminer où placer les éléments architecturaux… Qu’il s’agisse d’un pare-feu de nouvelle génération fonctionnant comme une passerelle de segmentation, du contrôle de la sécurité des conteneurs et des terminaux, du contrôle SD-WAN… Quel que soit le contrôle et son emplacement, il est essentiel de comprendre le fonctionnement global du système avant de décider de son emplacement. »

John partage une anecdote pour illustrer l’importance de suivre les étapes du modèle Zero Trust de manière séquentielle : « Souvent, je participe à ces réunions. Elles rassemblent un grand nombre de personnes, et chacune essaie de positionner son produit… Mon produit devrait aller ici ; mon produit devrait aller là. Je mets cela de côté un moment, puis je demande : « Écoutez, que protégeons-nous dans ce système ? » Et ils répondent : « Ah, on n’y a pas encore pensé. » » Cette approche ne fonctionnera probablement pas. Vous pourriez mettre en place tous ces contrôles sans obtenir le résultat escompté, car vous ne savez même pas ce que vous protégez en premier lieu. »

Étape 4 : Créer la politique de confiance zéro.

Dans cette quatrième étape, vous instanciez votre architecture Zero Trust sous forme de politique. « Idéalement, jusqu’à la couche 7 », prévient John. « Le port et le protocole ne fonctionnent plus… Dans le cadre du protocole TCP/IP, vous devez aller jusqu’à la couche 7. »

Il convient de noter que cette étape implique la création d’une politique technique « concrète » relative aux contrôles d’accès, aux règles de pare-feu, etc., par opposition aux politiques de haut niveau concernant, par exemple, la promulgation par l’exécutif.

Pour un modèle de construction politique, John privilégie la méthode de Kipling : poser les questions qui, quoi, quand, où, pourquoi et comment. Par exemple, une question commençant par « qui » ​​pourrait être : « Qui devrait avoir accès à une ressource ? » Ces questions concernent l’authentification et l’identité. Une autre question pourrait être : « Par quelle application devrions-nous leur permettre d’accéder à une ressource ? » Les règles concernant le « quand » se rapportent à l’identification contextuelle et celles concernant le « où » à la localisation de la ressource.

« Tout ce que vous pouvez faire, c’est autoriser ou refuser, mais vous pouvez disposer d’une quantité massive de données et de critères très complexes pour déterminer si quelque chose doit être autorisé ou refusé », résume John.

Step Étape 5 : Surveiller et maintenir l’environnement Zero Trust.

Cette étape consiste à vérifier que votre politique Zero Trust fonctionne comme prévu et à corriger toute anomalie. Elle implique notamment la gestion des journaux, l’apprentissage automatique et d’autres méthodes d’analyse des données générées par votre environnement.

« Nous avons notre propre moteur ; nous l’appelons Event Flow, a déclaré John. Il analyse tous les événements, toutes les données qui arrivent dans les environnements que nous gérons. Nous prenons des mesures automatisées dans 99 % des cas, et c’est ce que vous essayez de faire. »

« L’idée est qu’un système soumis à une charge devient de plus en plus résistant car il réagit à cette charge », ajoute John. « Ainsi, le modèle Zero Trust est un système antifragile. ».

Source: https://www.pivotpointsecurity.com/blog/5-steps-to-zero-trust/