Connectivité et cloud : une chance pour la confiance zéro

Par Sergej Epp, directeur de la sécurité, EMEA

Bien que Zero Trust soit un terme souvent mal compris et mal utilisé, c'est une approche qui a une réelle valeur pour aider à réduire les cyber-risques systématiques et à améliorer la résilience. Les organisations de toutes tailles comprennent qu'elles ont besoin d'une stratégie de cybersécurité résiliente qui peut soutenir et activer l'entreprise même pendant une crise, mais lorsqu'il s'agit de Zero Trust, la plupart des organisations ont du mal à le comprendre et à trouver le bon endroit pour commencer. Passer au cloud offre une nouvelle chance aux architectures Zero Trust. Autrement dit, comment l'entreprise permet aux utilisateurs autorisés d'accéder aux ressources. Bien qu'il s'agisse d'un élément constitutif de Zero Trust, ce n'est qu'un élément de ce qui devrait être considéré comme une stratégie plus large qui prend en compte toutes les surfaces de risque dans lesquelles l'entreprise opère à travers l'identité, l'infrastructure, le produit, les processus et la chaîne d'approvisionnement.[19659005]Tous les professionnels de la sécurité vous diront que la confiance dans les architectures technologiques et les réseaux a toujours été une mauvaise idée. Un réseau de confiance connecté au réseau de votre centre de données peut être compromis, un terminal piraté, un utilisateur de confiance avec la clé de votre royaume tourné vers un initié, un processus de système d'exploitation de confiance piraté par un cheval de Troie, un fichier de confiance malveillant, etc.[19659005]Par conséquent, Zero Trust fournit une approche stratégique pour éliminer toute confiance implicite entre entités technologiques. En termes simples : cela oblige à déployer non seulement des videurs à l'entrée de votre club, mais également à l'intérieur du club et dans le garage et à embaucher des gardes du corps qui escortent vos clients à l'extérieur du club. Attendez, est-ce que Zero Trust est si simple ? Est-ce juste un appel à plus de sécurité ? Soyons honnêtes, la question clé pour les organisations n'a toujours pas été de savoir si elles devaient adopter Zero Trust, mais pourquoi cela fonctionnerait-il cette fois-ci, et par où devraient-elles commencer à considérer le coût élevé et la faible volonté de changement ?

Zero Trust for black cygnes

D'après mon expérience, les organisations qui ont adopté avec succès Zero Trust ont d'abord axé leurs programmes sur la gestion des risques. Travaillant pendant plus d'une décennie pour une grande organisation de services financiers, j'ai appris à connaître très bien la gestion des risques. Surtout le fait que parfois de petits événements peuvent causer des dommages à toute une organisation ou même à une industrie. De tels événements systématiques, appelés cygnes noirs, sont également devenus récemment très courants dans notre métaverse de la cybersécurité.

Les ransomwares et les incidents de la chaîne d'approvisionnement sont potentiellement les symptômes les plus visibles de ces risques que nous voyons tous les jours dans les actualités. Ces risques sont un bon objectif pour votre programme Zero Trust. En ce qui concerne la cause profonde de ces risques systématiques technologiques, ils se présentent sous plusieurs variétés différentes ou, dans le pire des cas, une combinaison de tous :

• Point de défaillance unique. Ceux-ci incluent des composants d'infrastructure de base qui collent ensemble votre pile technologique. Une infrastructure Active Directory, WebSSO ou DNS non sécurisée ou mal architecturée peut rapidement se transformer en cauchemar.
• Monocultures logicielles obsolètes. Systèmes d'exploitation, micrologiciels et logiciels avec des taux d'adoption organisationnels élevés qui ne sont pas corrigés régulièrement. Une seule vulnérabilité peut entraîner un rançongiciel catastrophique ou un risque de sabotage.
• Effet des réseaux plats. Une organisation sans segmentation ni contrôles de réseau appropriés dans l'informatique (pensez à tous vos appareils non gérés), OT et IoT. Jeu facile pour chaque intrus ou virus/ransomware.

Palo Alto Networks

Pyramide Zero Trust

Les entreprises traditionnelles qui héritent d'une combinaison de ces risques systématiques lancent généralement leur programme Zero Trust basé sur deux blocs de construction : harmoniser leur pile de gestion des identités et des accès et harmoniser leur paysage de connectivité. Cela crée une base pour des blocs de construction Zero Trust supplémentaires traitant d'autres risques systématiques, tels que les monocultures de micrologiciels, les applications, etc. avec le suivant : pour créer une organisation résiliente, nous devons faire de la sécurité un système et non un objectif de composant. Par exemple, ne vous concentrez pas entièrement sur le test de l'efficacité de votre contrôle sandbox. Au lieu de cela, donnez la priorité à la façon dont votre bac à sable est intégré aux autres contrôles de sécurité dans vos organisations. Ou ne dépensez pas des millions pour tester votre application la plus critique si cette application est connectée sur le même réseau à un appareil IoT d'un million de dollars et exécute des services exposés supplémentaires sur le serveur.

Dans un monde décentralisé et fragmenté, où les charges de travail et les identités vivent quelque part sur Internet, une perspective de cybersécurité aussi systématique devient très difficile sans harmoniser certaines capacités de base requises pour faire fonctionner votre sécurité :

• Une identité et une pile de politiques communes.
• Une compréhension commune des menaces exploitables.
• Un protocole/contrôle commun pour appliquer votre politique et les informations sur les menaces sur l'ensemble de votre système.

Une autre façon d'expliquer cela consiste à adopter l'approche de Phil Venables dans l'un de ses blogs récents. Il a écrit : « L'une des techniques les plus efficaces pour la sécurité d'entreprise dans de nombreuses organisations consiste à créer une base de référence universelle de contrôles qui s'appliquent partout, puis à augmenter économiquement cette base de référence en réduisant le coût unitaire des contrôles (existants et nouveaux) ». Dans son blog, il se réfère à l'industrie automobile comme exemple, suggérant que la banalisation des caractéristiques de sécurité des voitures de course vers la voiture familiale de tout le monde peut être reproduite dans la cybersécurité. En fait, la sécurité et la connectivité du réseau en sont un excellent exemple.

La façon dont la sécurité du réseau fonctionnait dans le passé était que tout ce qui se trouvait à l'intérieur de l'organisation était fiable et tout ce qui se trouvait à l'extérieur n'était pas fiable. La sécurité n'était appliquée qu'aux limites de l'organisation. . Ce modèle ne fonctionne plus avec les travailleurs distants, les exigences d'accès au cloud, à la périphérie et aux appareils mobiles. Tous ces environnements sont aujourd'hui directement connectés à Internet. Cependant, ils manquent tous des contrôles les plus élémentaires tels que la segmentation ou la détection des intrusions.

La raison en est que le test ou le déploiement de contrôles et de politiques individuels entraîne des coûts élevés, rendant la plupart des contrôles de cybersécurité inabordables pour les organisations. C'est pourquoi les plates-formes de cybersécurité deviennent la meilleure stratégie pour déployer des stratégies Zero Trust et un facteur de différenciation économique pour la plupart des programmes de cybersécurité au fil du temps. la connectivité héritée ou la pile de sécurité est un gros problème et nécessite – si elle n'est pas déclenchée par vos programmes de main-d'œuvre cloud et distante – parfois une poussée sévère (ransomware) pour y arriver, mais il y a une nouvelle chance pour votre programme Zero Trust, qui devrait ' ne pas être négligé et gaspillé ! Alors que les organisations déplacent de plus en plus les charges de travail, les applications et les utilisateurs vers le cloud et adoptent DevOps, le moment est venu de concevoir votre sécurité dès le début et non après la mort.

Une approche systématique dans ce contexte vous oblige à considérez, outre la sécurité de votre environnement de production, la sécurité de votre pipeline CI/CD et l'intégration des contrôles de sécurité le plus tôt possible dans le pipeline. Formulons quelques questions en langage Zero Trust, qui devraient figurer dans votre livre de travail si vous prenez au sérieux la sécurité dans les environnements DevOps et cloud :

• Avez-vous confiance que l'appareil de votre ingénieur logiciel ne soit pas compromis ?
• Avez-vous confiance votre référentiel de code n'est pas compromis ?
• Faites-vous confiance à l'intégrité du code tout au long du processus de développement et de déploiement ?
• Faites-vous confiance à votre infrastructure tierce en tant que modèle de code (IaC) ou conteneur Docker ? N'oubliez pas qu'en moyenne, la moitié d'entre eux sont associés à de mauvaises vulnérabilités.
• Qu'en est-il des autres dépendances d'applications logicielles utilisées dans vos projets ?
• Avez-vous confiance que vos identités soient attribuées aux droits de privilège appropriés ?
• Avez-vous croyez-vous que votre code est vérifié pour la sécurité ou les erreurs de configuration telles que les informations d'identification codées en dur, les paramètres réseau privilégiés, etc. ? mais le fait est que les risques systématiques augmentent dans les environnements DevOps dans les directions verticale et horizontale. Verticalement, il y a beaucoup plus de risques à prendre en compte par rapport aux environnements plus traditionnels. Horizontalement, l'impact d'un seul paquet empoisonné peut être massif, comme on le voit dans de nombreux cas tels que SolarWinds, etc. Ne perdez pas l'occasion de créer Zero Trust au début de votre parcours DevOps et cloud.

  

  Pour en savoir plus, rendez-nous visite ici.