La notion traditionnelle de « périmètre de sécurité » est désormais dépassée. Avec le passage vers un modèle de travail hybride, intégrant des environnements variés comme les domiciles, cafés et espaces de coworking, les anciennes méthodes de défense des réseaux ne sont plus pertinentes. Les entreprises ne peuvent plus faire l’hypothèse que tout ce qui se trouve à l’intérieur de leur réseau est sécurisé, tandis que tout ce qui se trouve à l’extérieur est une menace.
L’adoption du Zero Trust représente une évolution nécessaire dans l’architecture de la sécurité. Cependant, de nombreuses entreprises constatent que leurs mises en œuvre actuelles omettent un élément crucial : le lien entre l’identification d’un utilisateur et l’autorisation de sa session.
Qu’est-ce que le Zero Trust ?
Au cœur du Zero Trust se trouve un cadre de sécurité fondé sur le principe : « Ne jamais faire confiance, toujours vérifier ». Ce modèle part du principe qu’une brèche est soit imminente, soit déjà survenue. Ainsi, aucun utilisateur, appareil ou application ne bénéficie d’une confiance implicite en fonction de sa localisation physique ou réseau.
Contrairement aux modèles anciens, qui fonctionnent comme un fossé autour d’un château où, une fois la barrière franchie, l’accès était libre, le Zero Trust se comporte comme un établissement de haute sécurité où chaque accès nécessite une vérification minutieuse, telle qu’un badge et un scan biométrique. Ce niveau de vérification détaillée est essentiel pour se défendre contre les menaces cybernétiques sophistiquées d’aujourd’hui, qui se spécialisent dans les mouvements latéraux au sein des réseaux.
Les limites des modèles d’authentification traditionnels
La majorité des entreprises ont renforcé leur sécurité d’identité par l’adoption de méthodes comme l’authentification multifacteur (MFA) et les politiques d’accès conditionnel. Pourtant, ces mesures à elles seules ne suffisent plus.
En dépit des efforts, les atteintes à la sécurité impliquant des identifiants valides continuent d’augmenter. Ce constat révèle une mécompréhension fondamentale du rôle de la MFA. Bien que l’authentification vérifie l’identité d’un utilisateur, elle ne détermine pas si son accès doit être approuvé à ce moment précis.
Le rapport sur les violations de données de Verizon a révélé que les identifiants volés sont impliqués dans 44,7 % des infractions.
Le fossé entre identité et appareil
Les aspects « où » et « comment » d’un accès sont aujourd’hui tout aussi importants que le « qui ». Prenons quelques scénarios courants :
- Un employé à distance se connectant depuis un ordinateur personnel non mis à jour.
- Un sous-traitant utilisant un point d’accès dépourvu de logiciel antivirus à jour.
- Un utilisateur se connectant via un réseau Wi-Fi public non géré sans utiliser de VPN.
Dans ces situations, l’utilisateur peut parfaitement passer un prompt MFA. Il est lui-même, mais si cet appareil est infecté par un malware, la session « authentifiée » constitue alors une porte d’entrée directe pour un attaquant.
Vol de jetons et détournement de sessions, des menaces invisibles
Les attaquants exploitent les failles de la MFA. Ils utilisent des logiciels d’infostealers, vol de jetons et détournement de sessions pour subtiliser le cookie ou le jeton généré après une authentification réussie. En chargeant ce jeton dans leur propre navigateur, ils peuvent contourner les vérifications d’identité.
Ils n’ont pas besoin de pénétrer le système car il les considère déjà comme un utilisateur légitime. Si la politique de sécurité ne vérifie l’identité qu’à la connexion, et ne prend pas en compte la santé de l’appareil, les attaquants peuvent plus facilement étendre leur accès aux données sensibles.
L’importance de la confiance accordée aux appareils
La confiance accordée aux appareils est désormais essentielle pour sécuriser l’ensemble du parcours d’accès. Lorsque les décisions d’accès dépendent à la fois de l’identité et de la santé de l’appareil, l’authentification devient contextuelle plutôt que statique. Un prompt MFA réussi ne constitue plus la fin de la conversation sécuritaire mais un simple signal parmi d’autres.
Des solutions comme Specops Device Trust intègrent des vérifications de posture directement dans le flux d’authentification, permettant à l’accès de refléter l’état actuel de l’appareil, et non uniquement les identifiants de l’utilisateur. Si l’appareil devient non conforme, l’accès peut être restreint ou réévalué sans avoir à s’en remettre à un autre outil de sécurité pour détecter le problème ultérieurement.
Pour les entreprises mettant en œuvre le Zero Trust, cet ajustement remédie à une lacune structurelle. L’identité confirme qui se connecte, tandis que la confiance accordée aux appareils aide à déterminer si cette connexion peut se poursuivre. Sans l’interaction de ces deux éléments, le Zero Trust demeure incomplet.
La nécessité d’une surveillance continue
Le Zero Trust est un effort continu. La surveillance en temps réel et l’analytique permettent aux équipes de sécurité de repérer des activités inhabituelles et de réagir rapidement aux menaces. Avec des outils qui révèlent la santé et la conformité des appareils, les organisations peuvent maintenir de fortes protections, même lorsque les conditions changent.
Par exemple, si l’ordinateur portable d’un utilisateur devient compromis en pleine session ou si une fonctionnalité de sécurité est désactivée pour contourner une restriction locale, le système doit être capable de reconnaître instantanément ce changement.
L’automatisation de la validation de la posture des appareils permet aux équipes de sécurité de s’assurer que la vérification au cœur du principe « ne jamais faire confiance, toujours vérifier » s’effectue en temps réel. Ce niveau de surveillance est crucial pour contrer la rapidité et l’agilité des techniques d’attaque contemporaines.
Vers un véritable Zero Trust
Assurer la sécurité d’une main-d’œuvre hybride nécessite de lier identités et appareils vérifiés tout en validant cette confiance de manière continue durant chaque session.
La solution d’accès Zero Trust de Specops repose sur ce principe. Elle utilise la liaison d’identité pour garantir que l’accès est lié non seulement à un compte utilisateur, mais aussi à un appareil spécifique vérifié. Elle évalue la posture des appareils en temps réel et peut faire évoluer les politiques dynamiquement si le risque change pendant une session.
Lorsqu’un problème est détecté, une remédiation instantanée permet aux utilisateurs de corriger les écarts de conformité sans surcharger les équipes IT. Des périodes de grâce et des vérifications automatisées réduisent la friction tout en maintenant les règles, garantissant ainsi que la sécurité ne compromette pas la productivité.
En combinant une authentification résistante à la phishing avec une validation continue des appareils, les organisations peuvent prendre des décisions d’accès en fonction tant de l’identité de l’utilisateur que de l’état actuel de l’appareil utilisé.
Le Zero Trust n’est pas atteint par davantage de prompts d’authentification. Il est atteint lorsque l’identité et la confiance accordée aux appareils travaillent ensemble pour garantir un accès sécurisé.