Qu'est-ce que le Zero Trust Network Access (ZTNA) ?

• Glossaire IAM
• Qu'est-ce que le Zero Trust Network Access (ZTNA) ?

Le Zero Trust Network Access (ZTNA), soit l'accès zero-trust au réseau, est un cadre de sécurité réseau qui se concentre sur le maintien de contrôles d'accès et de mécanismes d'authentification stricts, que les utilisateurs ou les appareils se trouvent à l'intérieur ou à l'extérieur du périmètre du réseau.

Fonctionnement du ZTNA

Il n'y a pas si longtemps, la plupart des employés travaillaient quasi exclusivement sur site, dans les locaux de leur entreprise, et la majorité du matériel informatique s'y trouvait également. Dans ces circonstances, les modèles de sécurité réseau s'appuyaient alors sur des mesures de sécurité basées sur le périmètre, qui supposaient que tout appareil ou utilisateur humain essayant de se connecter à l'intérieur du périmètre du réseau était digne de confiance.

Toutefois, avec l'adoption croissante des services cloud, des appareils mobiles et du télétravail, la notion de « périmètre » est devenue obsolète. Les utilisateurs et les appareils peuvent désormais accéder aux réseaux pratiquement sans aucune limite géographique.

Le ZTNA part du principe qu'aucun utilisateur ou appareil n'est intrinsèquement fiable, même lorsqu'il se trouve déjà à l'intérieur du réseau. Le fondement de l'accès ZTNA est « zéro confiance, vérification obligatoire ». Cette approche garantit que chaque demande d'accès est authentifiée et autorisée, quel que soit l'emplacement de l'utilisateur ou le réseau qu'il utilise. Le ZTNA ne se limite pas à la sécurisation du périmètre du réseau, mais se concentre sur la sécurisation des ressources et données individuelles.

En adoptant le ZTNA, les entreprises peuvent minimiser leur surface d'attaque, améliorer la visibilité et les contrôles d'accès et renforcer leur sécurité globale. De plus, le ZTNA fournit aux utilisateurs un accès à distance plus flexible et sécurisé, prend en charge l'adoption de services cloud et propose un modèle de sécurité plus efficace pour les environnements de données modernes basés sur le cloud.

Avantages du ZTNA

Le ZTNA est un cadre de sécurité moderne et robuste qui s'aligne sur les besoins contemporains d'un personnel et d'environnements de données hybrides, et offre une meilleure protection que les modèles d'accès désuets basés sur le périmètre.

Voici les principaux avantages de l'adoption du ZTNA :

Renforcement de la sécurité

Au lieu de vérifier la localisation de la demande de connexion d'un utilisateur, le ZTNA vérifie que cet utilisateur est bien celui qu'il prétend être. Cette approche réduit le risque d'accès non autorisé et aide à prévenir les déplacements latéraux au sein du réseau en cas de violation.

Réduction de la surface d'attaque

Avec le ZTNA, le périmètre du réseau devient un paramètre moins pertinent, car l'accent est mis sur la sécurisation des ressources et données individuelles. En mettant en œuvre des contrôles d'accès et une micro-segmentation, les entreprises peuvent limiter l'accès à des ressources spécifiques en fonction de l'identité de l'utilisateur, du contexte et d'autres facteurs. Cette méthode réduit la surface d'attaque et complique ainsi les déplacements latéraux des attaquants au sein du réseau.

Amélioration de la visibilité et du contrôle

Les solutions de ZTNA offrent une plus grande visibilité sur les activités des utilisateurs et le trafic réseau. Les contrôles d'accès et les politiques sont appliqués à un niveau granulaire. Les entreprises peuvent ainsi surveiller et pister plus efficacement le comportement des utilisateurs, afin de détecter et répondre aux potentielles menaces de sécurité en temps réel.

Simplification de la conformité

Les solutions de ZTNA proposent généralement des fonctionnalités telles que des journaux d'audit, l'authentification des utilisateurs et la validation des appareils, qui peuvent aider les entreprises à se conformer à des exigences réglementaires. En mettant en œuvre le ZTNA, les entreprises peuvent appliquer des contrôles d'accès, pister les activités des utilisateurs et démontrer plus facilement leur conformité.

Protection et flexibilisation de l'accès à distance

Le ZTNA fournit un accès à distance sécurisé aux ressources, quelle que soit la localisation de l'utilisateur. Les employés peuvent se connecter en toute sécurité au réseau et accéder aux ressources dont ils besoin où qu'ils se trouvent, sur divers appareils. Les solutions de ZTNA incluent souvent des courtiers d'accès sécurisés ou des passerelles qui fournissent des connexions chiffrées afin de garantir la confidentialité et l'intégrité des données transmises sur le réseau.

Simplification de la mise en œuvre des services cloud

Les entreprises adoptent de plus en plus de services cloud et le ZTNA peut leur fournir une solution sécurisée et évolutive. Cette approche permet aux entreprises d'authentifier et d'autoriser les utilisateurs à accéder aux ressources basées sur le cloud afin de garantir que seuls les utilisateurs autorisés peuvent accéder aux données et applications sensibles.

Amélioration de l'expérience utilisateur

Le ZTNA peut améliorer l'expérience utilisateur en fournissant un accès simple et transparent aux ressources. Avec le ZTNA, les utilisateurs peuvent accéder aux ressources dont ils ont besoin et maintenir un haut niveau de sécurité sans processus d'authentification longs et complexes.

Quelles sont les différences entre le ZTNA et un VPN ?

Le ZTNA et les réseaux privés virtuels (VPN) sont tous deux utilisés pour sécuriser les accès à distance, mais leur mise en œuvre et leurs cas d'utilisation diffèrent considérablement.

Voici les principales différences entre le ZTNA et un VPN :

Un cadre plutôt qu'un produit

Un VPN est un type de produit spécifique. Il s'agit généralement d'une application client installée sur l'appareil d'un utilisateur final qui crée un tunnel chiffré sécurisé entre l'appareil de l'utilisateur et le réseau de l'entreprise.

Le ZTNA se concentre sur la validation des identités des utilisateurs et des appareils, quel que soit leur localisation ou leur réseau. Le ZTNA applique des contrôles d'accès à un niveau granulaire pour sécuriser les ressources et les données individuelles, plutôt que de s'appuyer uniquement sur la sécurité au niveau du réseau.

Modèle de sécurité

Les VPN s'appuient sur le concept d'un périmètre de réseau fiable. Une fois connecté à un VPN, un utilisateur est traité comme s'il faisait partie de ce réseau de confiance.

Le ZTNA se concentre sur la validation des identités des utilisateurs et des appareils, quel que soit leur localisation ou leur réseau. Le ZTNA applique des contrôles d'accès à un niveau granulaire pour sécuriser les ressources et les données individuelles, plutôt que de s'appuyer uniquement sur la sécurité au niveau du réseau.

Contrôle d'accès

Un VPN accorde généralement aux utilisateurs un accès à l'ensemble du réseau une fois la connexion établie. Les utilisateurs peuvent accéder à toutes les ressources et à tous les services disponibles dans le périmètre du réseau fiable.

Le ZTNA applique des contrôles d'accès basés sur l'identité de l'utilisateur, la vérification de la sécurité de l'appareil et d'autres facteurs contextuels. Il fournit un contrôle d'accès plus granulaire pour que les entreprises puissent limiter l'accès à des ressources ou applications spécifiques et ainsi réduire la surface d'attaque et empêcher les déplacements latéraux au sein du réseau.

Expérience utilisateur

Avec un VPN, l'appareil de l'utilisateur est virtuellement connecté au réseau de l'entreprise, ce qui donne l'impression qu'il est physiquement présent sur le réseau. Théoriquement, cette approche est censée fournir une expérience utilisateur fluide. Toutefois, étant donné que le trafic est acheminé via le VPN, les connexions sont notoirement lentes.

Le ZTNA offre une expérience plus conviviale en permettant aux utilisateurs d'accéder directement à des ressources spécifiques, sans nécessiter une connexion à l'intégralité du réseau. Les solutions de ZTNA utilisent souvent un accès Just-In-Time (JIT), c'est-à-dire un accès temporaire et limité basé sur des exigences spécifiques, qui se traduit par une expérience utilisateur plus simple et performante.

Architecture réseau

Un VPN nécessite généralement que les administrateurs informatiques installent une application cliente directement sur l'appareil de l'utilisateur pour établir une connexion directe au réseau de l'entreprise. Si l'utilisateur se connecte sur plusieurs appareils, l'application doit être installée sur chacun d'eux, ce qui engendre davantage de travail pour les équipes informatiques. De plus, les utilisateurs finaux trouvent souvent les applications VPN sont imposantes et difficiles à utiliser.

Les solutions de ZTNA s'appuient généralement sur des courtiers d'accès sécurisé ou des passerelles qui jouent le rôle d'intermédiaires entre l'utilisateur et les ressources. Le ZTNA peut utiliser différents protocoles réseau et mécanismes de transport pour connecter en toute sécurité les utilisateurs à des ressources spécifiques, réduisant ainsi la dépendance à l'acheminement de tout le trafic via un réseau central. Les utilisateurs peuvent se connecter au réseau sur n'importe quel appareil et pratiquement n'importe quel système d'exploitation.

Compatibilité avec le cloud

Les VPN ont été initialement conçus pour sécuriser des connexions à relativement court terme entre des bureaux distants ou pour connecter des utilisateurs distants à un réseau central. Ils n'ont pas été conçus pour donner à un grand nombre d'utilisateurs un accès direct aux ressources et services basés sur le cloud. Ils ne sont pas non plus destinés à être utilisés tout au long de la journée de travail d'un utilisateur.

Le ZTNA, à l'inverse, est tout à fait adapté à l'ère du cloud. Le modèle est très évolutif et peut fournir à un grand nombre d'utilisateurs un accès sécurisé aux ressources et services cloud de l'entreprise. Le ZTNA permet aux entreprises d'authentifier et d'autoriser les utilisateurs à accéder aux applications basées sur le cloud afin de proposer une connectivité sécurisée et de protéger les données.

Mise en œuvre du ZTNA

Le ZTNA est un cadre et non un produit, sa mise en œuvre est donc légèrement différente pour chaque entreprise. Bien que les spécificités diffèrent en fonction des besoins particuliers d'une entreprise et de son environnement de données, voici un aperçu général du processus :

Évaluation de l'environnement

Commencez par effectuer une évaluation complète de votre infrastructure réseau existante, en analysant notamment la topologie du réseau, les applications, les ressources et les scénarios d'accès des utilisateurs. Identifiez les vulnérabilités potentielles et les éléments qui doivent être améliorés en termes de sécurité.

Définition des politiques d'accès

Définissez des politiques d'accès basées sur le principe du moindre privilège. Déterminez quels utilisateurs ou groupes doivent avoir accès à des ressources ou applications spécifiques et les conditions dans lesquelles l'accès est accordé. Tenez compte des facteurs tels que l'identité de l'utilisateur, la vérification de la sécurité de l'appareil, la localisation et les informations contextuelles.

Mise en place des solutions de gestion des identités et des accès (IAM)

Vous aurez besoin de solutions logicielles capables de gérer les processus IAM, notamment la gestion des mots de passe, l'authentification des utilisateurs et la MFA. Tenez compte des facteurs tels que la facilité de mise en œuvre, l'évolutivité, les capacités d'intégration, l'expérience utilisateur et la compatibilité avec votre infrastructure existante.

Mise en place des solutions d'accès à distance sécurisé

Les implémentations de ZTNA incluent généralement des courtiers d'accès sécurisé ou des passerelles de connexion à distance pour permettre au personnel informatique et DevOps de se connecter en toute sécurité aux machines et systèmes internes.

Micro-segmentation

Mettez en œuvre une micro-segmentation pour diviser votre réseau en plus petits segments et appliquez des contrôles d'accès à un niveau granulaire. Cette approche aide à contenir les potentielles failles de sécurité et limite les déplacements latéraux au sein du réseau. Segmentez les ressources en fonction de leur sensibilité et du principe du moindre privilège.

Surveillance et audits

Mettre en œuvre des mécanismes de surveillance et d'audit pour pister les activités des utilisateurs, les tentatives d'accès et les potentiels incidents de sécurité. Utilisez des journaux et analyses pour identifier les anomalies ou les comportements suspects. Examinez et adaptez régulièrement les politiques d'accès en fonction de l'évolution des exigences et des menaces.

Formation des utilisateurs

Formez les utilisateurs sur la mise en œuvre du ZTNA et ses avantages, ainsi que sur l'accès sécurisé aux ressources. Proposez une formation sur les bonnes pratiques de l'accès à distance sécurisé, de l'hygiène des mots de passe et de la reconnaissance des tentatives d'hameçonnage ou d'ingénierie sociale.

Améliorations en continu

Le ZTNA est un processus continu. Examinez et adaptez régulièrement vos politiques d'accès, gardez un œil sur les contrôles de sécurité et informez-vous sur les menaces et vulnérabilités émergentes.