Qu’est-ce que l’accès réseau Zero Trust (ZTNA) ? Guide ultime

L’accès réseau Zero Trust (ZTNA) est une approche de la sécurité informatique des entreprises qui fournit un accès distant sécurisé aux données, applications, réseaux et services d’une entreprise, selon des politiques de contrôle d’accès définies.

Le ZTNA établit plusieurs niveaux de protection en partant du principe que toute connexion peut être malveillante, et en plaçant donc divers mécanismes de sécurité entre l’utilisateur et les ressources de l’organisation. Par conséquent, l’authentification intervient à chaque niveau, et pas seulement une fois à un point centralisé.

Comment fonctionne l’accès réseau Zero Trust ?

Le concept fondamental du ZTNA consiste à isoler les ressources critiques d’un réseau en n’accordant pas sa confiance aux appareils terminaux. En d’autres termes, lorsqu’il accède à une ressource, l’appareil de l’utilisateur final doit s’authentifier avant d’être autorisé à accéder à cette ressource ou à une partie du réseau.

Un réseau Zero Trust part du principe que tout appareil peut potentiellement être compromis ; il restreint donc l’accès aux ressources en fonction de la localisation de l’utilisateur, de son niveau d’authentification et de l’évaluation des risques liés au terminal qui accède à la ressource. Par exemple, avec le ZTNA, l’accès à un service donné est accordé une fois l’authentification réussie.

Le ZTNA repose sur le principe « ne faire confiance à personne, toujours vérifier ». Une approche Zero Trust exige que tous les utilisateurs, appareils, systèmes, réseaux et ressources soient traités comme des tiers non fiables. Elle préconise que l’informatique abandonne le modèle monolithique dans lequel tous les appareils disposent d’un accès illimité à toutes les applications ; la notion de « toujours vérifier » signifie qu’il n’existe aucun acteur interne ni système externe implicitement fiable. Toute identité est considérée comme risquée jusqu’à ce qu’une authentification provenant d’une source acceptable, au niveau approprié, prouve le contraire.

Contrairement aux réseaux privés virtuels (VPN), les technologies Zero Trust appliquent une politique de « refus par défaut » et n’autorisent l’accès qu’aux services auxquels l’utilisateur a obtenu l’autorisation d’accéder. Ainsi, si une zone est compromise, les attaquants n’obtiennent pas automatiquement un accès complet aux autres zones de l’organisation.

Lors de la mise en œuvre du ZTNA, les organisations doivent adopter une approche de sécurité en couches, avec plusieurs contrôles entre le monde extérieur et leurs données ou infrastructures sensibles. Les différentes couches font office d’obstacles, compliquant l’accès des attaquants à leur cible.

Quelles sont les différences entre un VPN et le ZTNA ?

La principale différence entre les VPN et le ZTNA concerne leurs niveaux d’accès, l’évaluation de la posture des terminaux et la visibilité qu’ils offrent sur l’activité des utilisateurs.

Accès au niveau du réseau ou au niveau de l’application

Les VPN donnent accès à l’ensemble du réseau ainsi qu’à toutes les applications et tous les services qui y sont hébergés, tandis que le ZTNA n’autorise l’accès qu’à des applications ou services précis. Ainsi, avant de pouvoir accéder aux applications ou services de leur réseau, les utilisateurs doivent suivre un processus d’authentification. Celui-ci peut combiner l’identité de l’utilisateur, la localisation de l’utilisateur ou du service, l’heure de la journée, le type de service et la posture de sécurité de l’appareil.

Évaluation de la posture du terminal

Qu’il s’agisse d’autoriser l’accès d’un appareil aux applications du réseau d’entreprise via un VPN ou le ZTNA, il est important d’évaluer sa posture. La posture d’un terminal désigne son niveau de conformité aux exigences de sécurité des politiques de l’entreprise. Cela inclut :

• Logiciel antivirus
• Logiciel anti-espion
• Exigences de complexité des mots de passe
• Paramètres de fréquence des mises à jour logicielles

Alors que les VPN ne tiennent pas compte des risques posés par les appareils et applications des utilisateurs finaux après leur avoir accordé l’accès, le ZTNA le fait. Le ZTNA surveille en continu tous les terminaux après leur connexion au réseau d’entreprise, en validant leur posture de sécurité.

Visibilité sur l’activité des utilisateurs

Le ZTNA offre une visibilité granulaire sur les activités des utilisateurs dans les applications et services, ce qui facilite la détection des comportements inhabituels et des intentions malveillantes. Lorsqu’un employé effectue des actions en dehors des applications ou services approuvés, il est plus probable que le service informatique s’en aperçoive, car le ZTNA opère au niveau de chaque application ou service.

Comme les VPN n’offrent pas de contrôle au niveau des applications, ils ne permettent pas de bénéficier d’une telle visibilité sur les actions des utilisateurs une fois ceux-ci à l’intérieur du réseau privé.

5 avantages de la mise en œuvre du ZTNA

Le ZTNA offre d’immenses avantages aux organisations, notamment une meilleure conformité, une posture de sécurité et une agilité renforcées, ainsi qu’une microsegmentation des applications.

Amélioration de la conformité

Comme il exige des utilisateurs qu’ils s’authentifient chaque fois qu’ils souhaitent accéder aux données d’une application donnée, le ZTNA permet à une organisation de respecter plus facilement les exigences réglementaires telles que PCI DSS, le RGPD, HIPAA/HITECH et NIST SP 800-53A. Il garantit que les employés ne contournent pas volontairement ou involontairement les règles de conformité et ne compromettent pas la protection des données.

Sécurisation de l’accès aux applications existantes

En permettant des connexions chiffrées et en offrant le même niveau d’avantages en matière de sécurité que les applications web, le ZTNA peut renforcer la sécurité des applications existantes exécutées dans des centres de données privés ou sur des serveurs sur site.

Microsegmentation des applications

Avec le ZTNA, les entreprises peuvent créer un périmètre défini par logiciel (SDP) qui utilise les technologies de gestion des identités et des accès (IAM) pour segmenter leurs environnements applicatifs. Cette technique permet aux entreprises de diviser leur réseau en plusieurs microsegments afin d’empêcher les menaces de se déplacer latéralement et de réduire la surface d’attaque en compartimentant les ressources critiques pour l’activité.

Une posture de sécurité agile

La posture de sécurité agile offerte par le ZTNA permet aux entreprises d’adapter rapidement leurs tactiques de défense à l’évolution du paysage des cybermenaces.

Rendre les applications invisibles

Le ZTNA crée un darknet virtuel qui interdit la disponibilité des applications sur l’Internet public. En outre, le ZTNA surveille les schémas d’accès aux données de toutes les applications, ce qui contribue à réduire les risques et à protéger les entreprises contre les attaques par déni de service distribué (DDoS), les fuites de données et autres cyberattaques.

Quels sont les principaux défis du ZTNA ?

Bien que le ZTNA offre de nombreux avantages, il présente aussi des inconvénients et des difficultés qu’il convient de connaître afin de les anticiper. Ceux-ci comprennent la complexité de la mise en œuvre, l’adoption et la formation, la baisse de productivité et les répercussions sur les performances.

• Complexité de la mise en œuvre : La mise en œuvre d’une solution ZTNA peut être complexe, en particulier pour les organisations qui disposent déjà de systèmes anciens et d’architectures réseau complexes.
• Adoption et formation : La transition vers un modèle ZTNA peut nécessiter des changements importants dans les pratiques de sécurité et les comportements des utilisateurs d’une organisation. Former les employés aux nouvelles méthodes d’accès et gérer la résistance au changement peut s’avérer difficile.
• Baisse de la productivité : De même, les exigences d’authentification supplémentaires obligent les employés à consacrer davantage de temps à leur connexion et à la demande d’accès aux applications critiques de l’entreprise, et peuvent même les en empêcher occasionnellement en raison de faux positifs.
• Mises à jour et maintenance continues : Le ZTNA exige une surveillance, des mises à jour et une maintenance constantes pour rester efficace face à l’évolution des menaces de sécurité. Les organisations doivent gérer et mettre à niveau de manière proactive leur infrastructure ZTNA afin d’en garantir l’efficacité.
• Répercussions sur les performances : Le ZTNA implique généralement de faire transiter le trafic par des intermédiaires, ce qui peut introduire une latence supplémentaire. Cette incidence sur les performances peut être acceptable pour certaines applications ou certains utilisateurs, mais elle peut poser problème aux applications sensibles à la latence ou gourmandes en bande passante.

Principaux cas d’usage de l’accès réseau Zero Trust

Le ZTNA peut être utilisé efficacement dans tous les domaines, de l’authentification et du contrôle d’accès à la visibilité et à l’analyse, en passant par la prévention des pertes de données (DLP) et l’application des politiques.

Authentification et accès

Plutôt que d’utiliser un identifiant unique ou un point d’accès unique, les utilisateurs d’un réseau Zero Trust doivent s’authentifier à chaque session de connexion pour accéder à des ressources de données précises sur un système donné. Ils peuvent ainsi, par exemple, ne voir que certains fichiers stockés sur un serveur au lieu d’avoir accès à tous les fichiers.

Gestion des comptes utilisateurs

Le ZTNA modifie la gestion des comptes utilisateurs en créant des politiques de contrôle et d’accès différentes pour chaque type d’utilisateur, notamment les prestataires, fournisseurs, vendeurs, clients et partenaires, avec des niveaux d’accès variables aux informations sensibles du réseau de l’organisation.

Visibilité et analyse

Une approche Zero Trust permet de suivre les activités autorisées et non autorisées sur les différents actifs de l’entreprise (systèmes et bases de données). Les organisations peuvent ainsi détecter les comportements anormaux et se protéger contre les menaces avant qu’un dommage ne survienne.

L’intégration du ZTNA dans une solution Secure Access Service Edge (SASE) aide les organisations à tirer le meilleur parti de leur investissement dans cette technologie. Lorsqu’elles sont correctement mises en œuvre, les solutions SASE offrent une visibilité granulaire et automatisent les actions selon des règles préconfigurées liées aux risques et aux vulnérabilités. Les équipes de sécurité peuvent ainsi gérer les risques de manière proactive grâce à l’automatisation, plutôt que réactive au moyen d’interventions manuelles.

Inspection et application en temps réel des politiques de prévention des pertes de données (DLP)

Le ZTNA offre aux organisations des capacités d’inspection DLP en temps réel. La surveillance continue permet de détecter et d’atténuer les menaces internes sans nécessiter une analyse permanente qui pourrait surcharger l’infrastructure informatique.

Les organisations peuvent déterminer avec davantage de précision qui accède à quel contenu, à quel moment il a été consulté et d’où provenait l’accès, ce qui leur permet de prendre de meilleures décisions concernant les éléments à partager en interne et en externe.

Accès distant depuis n’importe quel appareil, y compris les appareils BYOD non gérés

Les employés mobiles, les télétravailleurs et les visiteurs peuvent être amenés à accéder à distance aux réseaux de l’entreprise via Internet ou un VPN. La mise en réseau Zero Trust peut répondre à ce besoin en mettant en œuvre une authentification multifacteur (MFA) pour les connexions distantes et en chiffrant le trafic afin de protéger la propriété intellectuelle.

Grâce à une authentification forte, les entreprises peuvent respecter des exigences strictes de conformité et les lois sur la confidentialité des données, tout en empêchant les attaques malveillantes et en bloquant les logiciels malveillants sur leurs réseaux.

ZTNA 1.0 ou ZTNA 2.0 

Le géant de la cybersécurité Palo Alto Networks a introduit le ZTNA 2.0 au début de l’année 2022 afin de remédier aux faiblesses de l’application du principe du moindre privilège dans le ZTNA 1.0.

Lorsque l’accès est accordé dans le ZTNA 1.0 traditionnel, le modèle ne voit pas ce que fait l’utilisateur ou l’application au sein du système global de l’entreprise.

Le ZTNA 2.0 adopte un principe beaucoup plus strict : « ne jamais faire confiance, toujours vérifier ». Il élimine entièrement la notion de confiance, limite les déplacements latéraux et réduit la surface d’attaque en vérifiant continuellement la confiance en fonction des changements de posture de l’appareil, du comportement de l’utilisateur et du comportement de l’application.

Les analystes sont quelque peu divisés quant à savoir si le ZTNA 2.0 est un mot à la mode du marketing ou une évolution véritablement révolutionnaire de la technologie. Bien que le ZTNA 2.0 remédie indéniablement aux lacunes de l’application initiale des principes Zero Trust, il convient de noter que la plupart des autres organisations Zero Trust ont mis en œuvre bon nombre des mêmes améliorations que le ZTNA 2.0, sous d’autres appellations.

Votre organisation doit-elle utiliser le ZTNA ?

La mise en œuvre d’une approche ZTNA dans votre organisation dépend de vos besoins et de votre posture de sécurité actuels. Vous devriez envisager le ZTNA si :

• Vous avez des employés à distance.
• Vous avez des exigences de conformité.
• Votre organisation est confrontée à des cybermenaces importantes.
• Votre réseau est complexe et s’étend au-delà des réseaux locaux (LAN) pour inclure les réseaux de partenaires, les environnements cloud et le personnel distant.

Pour maintenir une attitude progressiste en matière de sécurité, si votre organisation considère la cybersécurité comme une priorité absolue, vous pouvez utiliser le ZTNA pour protéger ses actifs contre les menaces.

Comment mettre en œuvre le ZTNA

Afin de construire un réseau Zero Trust, les entreprises doivent suivre le principe du ZTNA pour identifier, classer et authentifier les utilisateurs qui accèdent à leurs réseaux. 

Le ZTNA peut être déployé comme solution autonome ou sous forme de service. Dans le premier cas, les organisations doivent construire leur infrastructure ZTNA et configurer de manière autonome un système de gestion des identités, puis déployer des équipements de contrôle d’accès au réseau (NAC).

La seconde option offre quant à elle un moyen rapide de déployer le ZTNA par l’intermédiaire de fournisseurs tiers. Avec cette approche, les organisations doivent acheter une licence logicielle auprès de ces fournisseurs et l’installer sur leurs serveurs afin d’assurer la gestion centralisée de tous les terminaux du réseau de l’organisation.

En résumé : protéger vos données avec le ZTNA

La décision de mettre en œuvre le ZTNA dans le cadre de la stratégie de sécurité de votre organisation dépend de vos besoins et circonstances spécifiques. Toutefois, cette démarche renforcera en définitive votre infrastructure et permettra de gérer les accès des utilisateurs et des applications à votre réseau.

Même si vous disposez déjà d’autres systèmes de sécurité, il n’est pas possible d’être trop protégé, car chaque type de mesure de sécurité offre des capacités uniques. Ajouter le ZTNA à votre stratégie de sécurité ne permettra pas seulement de contrôler l’accès aux données sensibles : cela réduira aussi la surface d’attaque et simplifiera vos opérations informatiques.

Si vous envisagez de mettre en œuvre le Zero Trust dans votre organisation, commencez par consulter notre guide des meilleures solutions ZTNA disponibles aujourd’hui.