ZTNA - Qu'est-ce que c'est et pourquoi le voulez-vous ?

L'abréviation ZTNA signifie Zero Trust Network Access. On parle également de périmètre défini par logiciel ou SDP. Il garantit que vous donnez un accès sécurisé à des applications privées sans donner à l'utilisateur l'accès au réseau d'entreprise.

Pourquoi les entreprises veulent-elles le Zero Trust (ZTNA) ?

Tout est transféré dans le cloud et de plus en plus de données sensibles sont stockées dans ce cloud. Auparavant, il était possible de sécuriser un réseau en sécurisant la connexion Internet à l'aide d'un pare-feu. De nos jours, les utilisateurs travaillent en itinérance ou depuis leur domicile et les données elles-mêmes peuvent être stockées au bureau ou dans une application cloud. Par conséquent, un simple pare-feu en tant que gardien numérique ne suffit plus.

Les attaques externes et les menaces internes augmentent chaque jour. Ces attaques et menaces ont renforcé la sensibilisation à la sécurité dans tous les secteurs et les investissements en matière de sécurité sont en augmentation. Cependant, l'effet sur la sécurité n'est pas vraiment satisfaisant, puisque les incidents de sécurité se succèdent. Le Zero Trust (ZTNA) est indispensable pour protéger correctement une organisation dans son ensemble, quels que soient les utilisateurs et les données.

L’architecture d’accès réseau Zero Trust (ZTNA) a défini un périmètre dynamique, basé sur l'identité numérique, avec quatre propriétés importantes :

• Accès basé sur l'identité ;
• Accès sécurisé aux fichiers et applications ;
• Évaluation continue de l'utilisateur et de son accès tout au long de la journée ;
• Contrôle d’accès rigoureux.

C’est une question de confiance

La confiance est la principale cause d'échec de l'architecture de sécurité traditionnelle. La base fondamentale de la sécurité est le traitement des risques, ces risques étant étroitement liés aux « failles ». L'architecture traditionnelle de sécurité réseau basée sur le périmètre suppose que les personnes et les dispositifs du réseau interne sont dignes de confiance, raison pour laquelle la stratégie de sécurité se concentre sur la construction des remparts numériques de l'entreprise. Mais il faut toujours prendre en compte un certain nombre d'hypothèses :

• Il y a toujours des faiblesses non découvertes dans les systèmes de réseau ;
• Il y a toujours des failles découvertes mais non corrigées dans le système ;
• Un hacker peut toujours avoir activement pris le contrôle de l'organisation et des systèmes ;
• Les initiés sont toujours imprévisibles.

Ces quatre hypothèses annulent les méthodes techniques de la sécurité traditionnelle des réseaux en segmentant le réseau et en construisant les remparts. Elles annulent également l'abus de confiance dans le cadre de l'architecture de sécurité basée sur le périmètre. En outre, l'architecture et les solutions de sécurité basées sur le périmètre sont difficiles à gérer dans le contexte actuel des menaces visant les réseaux.

Création d'une architecture Zero Trust

Une nouvelle architecture de sécurité réseau est nécessaire pour faire face à l'infrastructure moderne et complexe des réseaux d'entreprise. Et aussi pour être en mesure de faire face aux menaces de plus en plus graves qui pèsent sur le réseau. L'architecture Zero Trust émerge dans ce contexte et est une évolution inévitable du raisonnement et de l'architecture de sécurité.

Dans l’ouvrage « Zero trust networks: Building secure systems in untrusted networks », Evan Gilman et Doug Barth définissent le concept de zéro confiance par défaut comme s’articulant autour de cinq principes fondamentaux :

1. Le réseau est toujours censé être hostile ;
2. Les menaces externes et internes sont toujours présentes sur le réseau ;
3. La localisation du réseau n'est pas suffisante pour déterminer la confiance dans un réseau ;
4. Chaque dispositif, chaque utilisateur et chaque flux réseau est authentifié et autorisé ;
5. La politique doit être dynamique et calculée sur la base du plus grand nombre possible de sources de données.

Aucune personne/dispositif/application dans le réseau d'entreprise ne doit être fiable par défaut. La base fondamentale de la confiance doit reposer sur un contrôle d'accès renouvelé utilisant une authentification et une autorisation appropriées. L'architecture Zero Trust a modifié le mécanisme traditionnel de contrôle d'accès, et consiste essentiellement en un contrôle d'accès de confiance adaptatif basé sur l'identité.