ZTNA (Zero Trust Network Access)

Les modèles d'accès au réseau sans confiance (ZTNA) accordent de manière adaptative l'accès aux utilisateurs ou appareils autorisés sur la base de la connaissance du contexte. Ces systèmes définissent des autorisations d'accès par défaut, et seuls les utilisateurs autorisés en fonction de leur identité, de l'heure, de l'appareil et d'autres paramètres configurables ont accès à votre réseau, à vos données ou à vos applications. L'accès n'est jamais implicite et n'est accordé que sur la base d'une approbation préalable et du besoin de savoir.

La cybercriminalité devrait coûter à la société plus de 6 000 milliards de dollars par an. Les services informatiques sont aujourd'hui responsables de la gestion d'une surface d'attaque beaucoup plus importante qu'auparavant. Les cibles potentielles des attaques comprennent les points d'extrémité du réseau entre les appareils et les serveurs (la surface d'attaque du réseau), le code que vos réseaux et appareils exécutent (la surface d'attaque du logiciel) et les appareils physiques ouverts aux attaques (la surface d'attaque physique).

Avec le développement du travail à distance et l'utilisation d'applications en nuage pour les tâches quotidiennes, il peut être difficile de fournir aux travailleurs l'accès dont ils ont besoin tout en protégeant votre organisation contre les attaques malveillantes. C'est là qu'intervient l'accès au réseau sans confiance (ZTNA).

Comment fonctionne l'accès au réseau de confiance zéro (ZTNA)

Dans le modèle ZTNA, l'accès n'est approuvé qu'une fois l'utilisateur authentifié par le service ZTNA, qui fournit alors une application ou un accès au réseau via un tunnel sécurisé et crypté. Ce service empêche les utilisateurs de voir des applications ou des données auxquelles ils n'ont pas le droit d'accéder, ce qui permet d'éviter les mouvements latéraux d'un attaquant potentiel. Ce type de mouvement serait possible si un terminal compromis ou des informations d'identification approuvées pouvaient être utilisées par un appareil ou un agent non autorisé pour accéder à d'autres services ou applications.

Avec ZTNA, les applications protégées sont également cachées et leur accès est limité, via le service ZTNA (également connu sous le nom de "trust broker"), à un ensemble d'entités préapprouvées. Un courtier en fidéicommis n'accordera l'accès à une entité que si les conditions suivantes sont remplies :

L'entité (un utilisateur, un appareil ou un réseau) fournit au courtier les bonnes informations d'identification.
Le contexte dans lequel l'accès est demandé est valide.
Toutes les politiques d'accès applicables dans ce contexte ont été respectées.

Dans ZTNA, les politiques d'accès sont personnalisables et peuvent être modifiées en fonction des besoins du système. Par exemple, en plus des exigences ci-dessus, vous pouvez mettre en œuvre un contrôle d'accès basé sur l'emplacement ou l'appareil qui empêche les appareils vulnérables ou non approuvés de se connecter à un réseau protégé.

Avantages de l'accès au réseau sans confiance (ZTNA)

Premièrement, l'accès aux applications étant isolé de l'accès au réseau dans le cadre de ZTNA, l'exposition du réseau aux infections ou à l'accès par des dispositifs compromis est réduite.

Deuxièmement, les modèles ZTNA n'établissent que des connexions sortantes. Cela permet de s'assurer que les infrastructures du réseau et des applications sont invisibles pour les utilisateurs non autorisés ou non approuvés.

Troisièmement, une fois qu'un utilisateur est autorisé, l'accès aux applications est fourni sur une base individuelle ; les utilisateurs ne peuvent accéder qu'aux applications auxquelles ils ont été explicitement autorisés à accéder, au lieu de bénéficier d'un accès complet au réseau.

Enfin, le ZTNA étant défini par logiciel, les frais généraux de gestion des appareils et des applications peuvent être considérablement réduits.

Cas d'utilisation de l'accès au réseau sans confiance (ZTNA)

Voici quelques cas d'utilisation populaires qui illustrent la puissance des modèles de sécurité ZTNA.

Remplacement du VPN

Les VPN sont lents, relativement peu sûrs et peuvent être difficiles à gérer. Le ZTNA est en passe de devenir le modèle de sécurité privilégié qui est appelé à remplacer le VPN pour l'approvisionnement de l'accès à distance aux réseaux centraux.

Réduction des risques liés aux tiers et aux fournisseurs

Les autorisations d'accès et les transferts de données vers ou depuis des tiers ou des fournisseurs externes constituent une faille de sécurité inhérente à votre infrastructure informatique. Avec ZTNA, vous pouvez réduire ces risques en veillant à ce que les utilisateurs externes n'accèdent jamais à un réseau sécurisé sans y être autorisés et que, même s'ils y accèdent, ils n'aient accès qu'à des applications ou des bases de données spécifiques pour lesquelles ils ont reçu une autorisation.

Déployer l'accès au réseau sans confiance (ZTNA)

Vous pouvez déployer ZTNA dans votre organisation de la manière suivante :

Par l'intégration d'une passerelle, dans laquelle tout trafic tentant de franchir une frontière de réseau sera filtré par votre passerelle.
Via un réseau étendu sécurisé défini par logiciel qui peut optimiser et automatiser l'accès au réseau à l'aide d'une pile de sécurité intégrée dans chaque appareil réseau.
Via Secure Access Service Edge (SASE) qui fournit une sécurité WAN définie par logiciel via une appliance virtuelle en nuage.

Le ZTNA est reconnu comme une pratique exemplaire en matière de cybersécurité. L'avantage du ZTNA est qu'il ne nécessite pas une refonte importante de votre réseau existant pour le déployer. Cependant, étant donné que tout projet informatique nécessite l'intégration des personnes et des appareils, la redéfinition des politiques et l'adhésion des parties prenantes, les décideurs doivent tenir compte des éléments suivants avant de s'associer à un fournisseur de solutions ZTNA :

La solution vous aide-t-elle à sécuriser les données et les applications à l'aide de microperimètres ?
Pouvez-vous protéger les données en transit ?
Dispose-t-il d'une segmentation par défaut et d'une conception et d'un test granulaires des politiques ?
Peut-il être déployé indépendamment de votre infrastructure existante ?
Fournit-il des alertes en cas de violation ?
Quelles sont les dispositions disponibles en matière de sécurité de la charge de travail ?
La solution offre-t-elle une segmentation basée sur l'utilisateur, un contrôle d'accès à distance et une prévention des mouvements latéraux ?
Existe-t-il une segmentation au niveau des appareils, une détection des appareils inconnus et une mise en quarantaine des appareils ?
Y a-t-il un confinement par défaut, avant même que les menaces ne soient identifiées ?
Quels sont les types de visibilité dont disposent les utilisateurs et quels sont les types d'audits disponibles ?
Quels sont les types d'intégration inclus ? Considérez ce qui suit :
Orchestration avec Chef, Puppet ou Ansible
Orchestration de plateforme de conteneurs avec Red Hat OpenShift, Kubernetes ou Docker.
Analyse de la sécurité avec Splunk et IBM QRadar
Outils de gestion des vulnérabilités tels que Qualys, Tenable ou Rapid7
Outils de cloud public tels que AWS Cloud Formation, AWS GuardDuty et Azure
À quelle vitesse puis-je segmenter mes environnements réseau ?
Comment tirer parti de mes investissements existants, tels que les pare-feu, les commutateurs et les répartiteurs de charge, pour appliquer la segmentation dans les systèmes existants et hybrides ?
Quels types d'intégrations API REST sont pris en charge ? Les outils importants à vérifier sont OneOps, Chef, Puppet, Jenkins, Docker et OpenStack Heat/Murano.