Notre solution - Les Oies du Cyber

Zero Trust, changement de paradigme dans la cybersécurité

Septembre 2023

Le Zero Trust a émergé comme un bouleversement majeur, remettant en question les fondements de notre conception de la sécurité dans un monde numérisé.

Les jours où les organisations pouvaient simplement compter sur un périmètre défensif pour tenir les adversaires à distance sont révolus. Au lieu de cela, Zero Trust soutient que la confiance est une vulnérabilité, une faille dans l’armure que les adversaires sont plus qu’heureux d’exploiter. Il souligne que, dans un paysage parsemé de menaces sophistiquées, la vieille maxime ‘faire confiance mais vérifier’ doit évoluer en un principe beaucoup plus rigoureux : ‘Ne jamais faire confiance, toujours vérifier.’

Cet article vise à fournir une compréhension complète de Zero Trust Architecture: ce que c’est, pourquoi c’est crucial, comment ça fonctionne et comment le mettre en œuvre. Nous nous pencherons sur l’érosion du périmètre de sécurité traditionnel, disséquerons les principes fondamentaux de Zero Trust et étudierons les mécanismes qui font fonctionner ce paradigme. Dans notre parcours à travers l’impact transformateur du Zero Trust, nous mettrons en évidence des études de cas convaincantes pour illustrer son efficacité et ses défis dans le monde réel. Nous aborderons également comment des technologies émergentes comme l’intelligence artificielle, le machine learning, l’informatique quantique et la blockchain propulsent le Zero Trust vers un avenir que nous ne comprenons pas encore pleinement. Et enfin, nous examinerons les implications politiques et les considérations de conformité qui accompagnent l’adoption de l’architecture Zero Trust.

Alors, que vous soyez un responsable digital envisageant une refonte de la sécurité, un décideur équilibrant les exigences réglementaires, ou simplement quelqu’un investi dans l’avenir de la cybersécurité et de l’innovation, cet article offre un prisme pour comprendre et apprécier le changement de paradigme que représente le Zero Trust.

💡 L’érosion de la sécurité du périmètre

Le contexte historique de la sécurité du périmètre

Né à une époque où les environnements informatiques étaient plus isolés et prévisibles, la sagesse conventionnelle voulait qu’il suffise de construire de solides murs autour du réseau d’une organisation pour éloigner les intrus. En essence, c’était une stratégie de château-fort et de douves pour l’ère numérique, renforcer la forteresse, creuser la douve plus profondément, et vous êtes en sécurité à l’intérieur. Le périmètre agissait comme la première et principale ligne de défense, tandis que les systèmes internes fonctionnaient avec un sentiment de confiance inhérent. Ce modèle avait du sens dans un environnement numérique plus naïf, mais aujourd’hui, il est manifestement insuffisant.

Défis pour l’architecture de sécurité traditionnelle : l’avènement du Cloud Computing, du Remote Work et du BYOD

Le 21e siècle a apporté des changements monumentaux qui ont progressivement érodé l’efficacité de la sécurité du périmètre. La migration vers le cloud computing a brisé le concept d’une frontière de réseau fixe, la rendant diffuse. De plus, l’adoption massive du remote work (télétravail, consultants, techniciens ou commerciaux en déplacement…) a créé un environnement où le périmètre n’est pas seulement les locaux l’entreprise mais s’étend aux locaux de ses clients, aux maisons, aux cafés et au-delà. Et il y a ensuite le phénomène du ‘Bring Your Own Device’ (BYOD), une pratique qui a ouvert en grand les portes à des risques de sécurité potentiels lorsque les écosystèmes numériques personnels et professionnels s’entrecroisent. De même pour l’usage personnel des matériels professionnels…

Les insuffisances d’une approche basée sur le périmètre dans le monde actuel

Ces développements révèlent l’insuffisance d’un modèle de sécurité basé sur le périmètre. Même si votre forteresse est fortifiée à son maximum, des vulnérabilités subsisteront toujours en raison de la confiance inhérente accordée aux systèmes internes. Un seul appareil compromis, un seul employé contaminé ou un seul maillon faible dans la chaîne d’approvisionnement peuvent suffire pour que les attaquants exploitent le système de l’intérieur. De plus, l’approche basée sur le périmètre manque souvent de l’agilité nécessaire pour s’adapter à l’évolution rapide des menaces cybernétiques. Elle fonctionne généralement sous l’hypothèse que ce qui est à l’extérieur est dangereux et ce qui est à l’intérieur est sûr, une hypothèse qui se révèle de plus en plus erronée.

En conséquence, le modèle du périmètre est inadapté pour répondre aux complexités d’un paysage numérique moderne dynamique, interconnecté et hautement distribué. Les murs du château se sont écroulés, et il est temps pour un nouveau paradigme qui tient compte des vulnérabilités inhérentes qui viennent avec une connectivité accrue : le Zero Trust.

💡 Qu’est-ce que la Zero Trust Architecture ?

La genèse et le principe central : ‘Ne jamais faire confiance, toujours vérifier’ (Never trust, always verify)

Émergeant des insuffisances des modèles de sécurité centrés sur le périmètre, la Zero Trust Architecture marque une nouvelle ère de la pensée en matière de cybersécurité. Créé et popularisé à la fin des années 2010, le terme “Zero Trust” encapsule parfaitement son principe central : “Never Trust, Always Verify.” Au lieu de supposer que le trafic réseau interne est intrinsèquement sécurisé, Zero Trust exige une authentification et une vérification rigoureuses pour chaque utilisateur et appareil accédant au réseau, quel que soit leur emplacement par rapport au périmètre. La genèse du Zero Trust n’était pas simplement une étape évolutive, mais plutôt un saut dans l’évolution vers la redéfinition du concept même de la sécurité du réseau.

Les principes de Zero Trust : Least-Privilege Access et Micro-Segmentation

Au cœur du Zero Trust se trouvent ses principes fondamentaux : le least-privilege access et la micro-segmentation. Le least-privilege access signifie que chaque utilisateur et appareil n’obtient que les niveaux d’accès (ou les permissions) nécessaires pour effectuer ses tâches, et rien de plus. Fini les permissions générales qui ouvrent de vastes parties du réseau à de multiples utilisateurs. La micro-segmentation pousse ce concept plus loin en divisant le réseau en zones plus petites et plus contrôlées, permettant aux organisations d’appliquer des politiques de sécurité à un niveau beaucoup plus granulaire. Lorsqu’ils sont combinés, ces principes garantissent qu’un compromis potentiel ne mène pas à une catastrophe à l’échelle du réseau, isolant ainsi les incidents et minimisant les dommages.

Contraste entre le Zero Trust et les modèles de sécurité traditionnels

Comprendre le Zero Trust nécessite également de mettre en lumière son contraste frappant avec les modèles de sécurité traditionnels. Les approches conventionnelles fonctionnent sur le principe de “trust but verify,” un paradigme qui se concentre sur le renforcement du périmètre, puis sur l’extension de la confiance aux systèmes et utilisateurs internes. Ce faisant, les modèles traditionnels s’exposent aux tactiques de mouvement latéral, où, une fois qu’un attaquant obtient un accès initial, il peut se déplacer librement et augmenter ses privilèges. Le Zero Trust annihile cette vulnérabilité en traitant chaque tentative d’accès comme potentiellement malveillante, rendant le mouvement latéral un exercice extrêmement difficile pour de potentiels attaquants.

💡Les mécanismes derrière le Zero Trust

Gestion de l’identité et de l’accès (IAM: Identity and Access Management) en Zero Trust

La Gestion de l’Identité et de l’Accès (IAM) sert de pierre angulaire à la Zero Trust Architecture, facilitant la conjuguaison complexe de l’authentification et de l’autorisation. Dans un environnement Zero Trust, IAM va au-delà de simples noms d’utilisateur et mots de passe. Il incorpore divers attributs tels que l’identité de l’appareil, la géolocalisation, l’heure d’accès, et même des caractéristiques comportementales pour établir un profil utilisateur multidimensionnel. Ce faisant, IAM assure que seules les bonnes personnes ont accès à des ressources réseau spécifiques, adhérant au principe du least-privilege access. Il déplace le focus de « où vous êtes dans le réseau » à « qui vous êtes, ce que vous faites et comment vous êtes connecté », incarnant ainsi le principe “Never Trust, Always Verify.”

Le rôle de la Multi-Factor Authentication

La Multi-Factor Authentication (MFA) sert de couche essentielle de vérification dans le modèle Zero Trust. La MFA emploie au moins deux mécanismes indépendants, quelque chose que vous savez, quelque chose que vous avez ou quelque chose que vous êtes, pour vérifier l’identité de l’utilisateur. Bien que la MFA ne soit pas propre au Zero Trust, son application dans cette architecture est totalement cohérente avec sa logique. Elle pourrait déclencher dynamiquement des défis d’authentification supplémentaires en fonction d’un comportement anormal ou de scénarios d’accès risqués, fournissant ainsi des mesures de sécurité adaptatives à la fois rigoureuses et flexibles.

Surveillance continue et réponse en temps réel

Les architectures de sécurité traditionnelles sont assez complaisantes après l’authentification, mais Zero Trust ne baisse jamais sa garde. La surveillance continue est indispensable au maintien d’un environnement Zero Trust. Chaque session utilisateur est scrutée en temps réel pour détecter des éléments anormaux ou des menaces potentielles. L’architecture utilise des algorithmes avancés d’analytique et de machine learning pour passer au crible l’énorme volume des données réseau. Lorsqu’un risque potentiel est identifié, le système Zero Trust peut prendre des actions automatisées immédiates, allant de la clôture de la session à l’alerte des administrateurs système, offrant ainsi des capacités de réponse en temps réel qui sont cruciales pour atténuer les risques.

Les mécanismes qui alimentent le Zero Trust sont conçus pour s’adapter dynamiquement au paysage des menaces en évolution. IAM, MFA et surveillance continue travaillent en synergie pour appliquer les principes fondamentaux de l’architecture.

💡Innovation dans les technologies du Zero Trust

Analyse en temps réel pilotée par l’Intelligence Artificielle (AI-Driven Real-time Analytics) et Zero Trust

L’Intelligence Artificielle s’est imposée comme un facteur de changement dans l’augmentation des capacités de l’Architecture Zero Trust. L’explosion des données de surveillance continue avec le Zero Trust offre un terrain fertile pour l’épanouissement de l’IA. Les algorithmes d’IA analysent les motifs et les anomalies au sein de ces données en temps réel, ajoutant une couche d’analyse prédictive que les systèmes traditionnels basés sur des règles ne pourraient pas atteindre. Cette perspicacité permet de préempter les menaces potentielles avant même qu’elles ne se manifestent, renforçant ainsi le paradigme “Never Trust, Always Verify” avec une portée prédictive. En exploitant le potentiel de l’IA pour l’analyse en temps réel, les organisations peuvent prendre le dessus sur les menaces sophistiquées qui échappent souvent aux mécanismes de détection conventionnels.

La contribution du Machine Learning aux Mécanismes de Réponse Automatisée (Automated Response Mechanisms)

Si l’IA fournit la puissance analytique, c’est le Machine Learning qui ajoute un élément d’adaptabilité aux systèmes Zero Trust. Au lieu de s’appuyer sur des règles statiques, les algorithmes de machine learning évoluent en continu en fonction des données qu’ils traitent. Cette adaptabilité est particulièrement percutante dans les mécanismes de réponse automatisée. Lorsqu’une menace est détectée, les algorithmes de machine learning peuvent prédire son évolution probable et déclencher automatiquement les contre-mesures les plus susceptibles de neutraliser efficacement la menace. Cela accélère non seulement la réponse, mais libère également des ressources humaines pour se concentrer sur des tâches de résolution de problèmes plus complexes.

Le potentiel du Quantum Computing et de la Blockchain pour faire avancer la Zero Trust

En regardant l’avenir, deux technologies se distinguent par leur potentiel pour améliorer l’Architecture Zero Trust : le Quantum Computing et la Blockchain. Le Quantum Computing promet des vitesses de calcul sans précédent qui pourraient rendre l’analyse en temps réel encore plus robuste et complète. Il pourrait également contribuer à créer des méthodes de chiffrement pratiquement inviolables, ajoutant une couche de sécurité supplémentaire.

La Blockchain, en revanche, offre une approche décentralisée de l’intégrité des données et de l’authentification. Ses registres immuables peuvent servir de journaux vérifiables pour toutes les interactions réseau, s’alignant ainsi parfaitement avec le principe Zero Trust de transparence et de traçabilité complètes dans les activités réseau.

Les innovations dans les technologies Zero Trust sont aussi passionnantes qu’elles sont transformatrices. Elles apportent adaptabilité et perspicacité prédictive à une architecture qui est déjà robuste, la rendant de plus en plus résiliente face aux menaces cybernétiques sophistiquées d’aujourd’hui et de demain.

💡 Études de cas sur l’application du Zero Trust

Dans un monde qui prospère sur des preuves empiriques, les études de cas servent de preuve la plus convaincante de l’efficacité ou des lacunes d’un concept. En ce qui concerne l’Architecture Zero Trust, comprendre son application dans des scénarios réels est essentiel. Examinons en profondeur les organisations qui ont réussi à mettre en œuvre le Zero Trust et celles qui ont subi des conséquences graves pour ne pas avoir adopté ce paradigme. À travers ces exemples divers, nous recueillerons des leçons essentielles et des enseignements pratiques.

1. 🔍 Mises en œuvre réussies du Zero Trust

Le Zero Trust n’est pas seulement une construction théorique, c’est une solution pratique que les organisations de divers secteurs adoptent pour refondre leur stratégie de cybersécurité. Explorons les voies et les moments cruciaux qui ont conduit ces organisations à intégrer le Zero Trust. Nous nous pencherons sur ce qui a bien fonctionné, en mettant l’accent sur les éléments qui ont contribué à leur succès.

1.1. BeyondCorp de Google

La genèse de BeyondCorp : pourquoi Google avait besoin du Zero Trust

Il est instructif de commencer par Google, un colosse dans le monde de la technologie qui a des activités dans de nombreux domaines, des moteurs de recherche aux services cloud et au-delà. Étant donné l’ampleur et la complexité des opérations de Google, sécuriser un écosystème numérique en constante expansion représentait un défi considérable. Les modèles de sécurité basés sur le périmètre se révélaient inefficaces, alourdis par leur manque de souplesse et leur incapacité à répondre aux besoins de sécurité d’une main-d’œuvre mondiale et mobile. Ici intervient BeyondCorp, l’incarnation par Google de l’architecture Zero Trust.

L’impératif de passer à un cadre Zero Trust provenait du besoin de Google de protéger un réseau complexe de ressources accessibles par une multitude de points d’entrée. Pour y parvenir, l’entreprise a réalisé que les anciens paradigmes de la sécurité réseau, basés uniquement sur des pare-feu et des VPN, étaient inadéquats. Au lieu de perpétuer l’ancien modèle binaire de zones “fiables” et “non fiables”, Google a fait une rupture radicale pour établir un nouveau paradigme où la confiance n’est jamais assumée et la vérification est continuellement appliquée.

Éléments clés : identifiants de l’appareil et de l’utilisateur

Au cœur de la mise en œuvre de BeyondCorp se trouvent deux composantes cruciales : les identifiants de l’appareil et de l’utilisateur. Google a développé un système sophistiqué d’Identity and Access Management (IAM) qui combine des vérifications rigoureuses de la santé de l’appareil avec la vérification de l’identité de l’utilisateur. Avant qu’un appareil puisse accéder au réseau, il subit des évaluations de santé rigoureuses pour s’assurer qu’il répond aux critères de sécurité établis par Google. Parallèlement, les identifiants des utilisateurs sont examinés à travers des mécanismes robustes de Multi-Factor Authentication (MFA).

L’impact : sécurité améliorée et flexibilité de la main-d’œuvre

Les résultats parlent d’eux-mêmes. BeyondCorp de Google n’a pas seulement amélioré la posture de sécurité de l’organisation, mais a également facilité une flexibilité de la main-d’œuvre sans précédent. En éliminant le besoin d’un VPN traditionnel, les employés peuvent désormais accéder en toute sécurité aux ressources de l’entreprise depuis n’importe quel endroit, en utilisant n’importe quel appareil qui passe les vérifications d’identifiants et de santé.

De plus, les contrôles d’accès dynamiques en temps réel signifient que la sécurité est continuellement adaptative, et non pas simplement une porte à franchir une seule fois pour permettre l’entrée. Cela a non seulement rendu Google plus résilient face aux menaces cyber, mais a également donné aux employés la possibilité de travailler avec une plus grande efficacité et flexibilité.

Le modèle BeyondCorp est désormais considéré comme la référence en matière de mise en œuvre de l’architecture Zero Trust, offrant des leçons essentielles pour d’autres organisations envisageant de dépasser les cadres conventionnels de cybersécurité.

1.2. Coca-Cola

Défis initiaux : gérer une main-d’œuvre répartie à l’échelle mondiale

Coca-Cola, l’une des marques les plus emblématiques du monde, avait un ensemble de défis qui les ont poussés à adopter l’architecture Zero Trust. En tant que société mondiale avec une main-d’œuvre très dispersée et de multiples points de contact dans la chaîne d’approvisionnement, l’entreprise cherchait comment sécuriser un réseau vaste et complexe. Les méthodes traditionnelles de sécurité périmétrique étaient incapables de fournir un niveau de contrôle granulaire sur qui avait accès à quoi, créant ainsi des vulnérabilités potentielles. De plus, le besoin de sécuriser plusieurs points d’extrémité, du siège social aux opérations sur le terrain et aux installations de production, exacerbait les défis.

Stratégie de mise en œuvre : IAM, Micro-Segmentation et Surveillance en Temps Réel (Real-Time Monitoring)

L’approche de Coca-Cola pour la mise en œuvre de Zero Trust reposait sur trois piliers : Identity and Access Management (IAM), Micro-Segmentation et Surveillance en temps réel. En se concentrant sur l’IAM, Coca-Cola s’assurait que seul le personnel autorisé avait accès aux systèmes sensibles, en utilisant des protocoles d’authentification robustes qui incluaient souvent une authentification multi-facteurs. La Micro-Segmentation leur a permis de décomposer le réseau en segments plus petits et plus gérables, chacun avec ses propres protocoles de sécurité. Ceci créait une couche de défense supplémentaire en contenant toute brèche potentielle à des segments spécifiques du réseau, limitant ainsi les dégâts.

La Surveillance en temps réel était le troisième élément crucial. Coca-Cola a déployé des outils d’analyse sophistiqués capables d’identifier un comportement anormal en temps réel, permettant des réponses plus rapides à tout incident de sécurité. Cette approche a fait passer l’entreprise d’une posture de sécurité réactive à une posture bien plus proactive et dynamique.

Résultats : atténuation des risques et protection des données (Risk Mitigation and Data Protection)

La stratégie Zero Trust complète a conduit à des améliorations notables des indicateurs de sécurité de Coca-Cola. On a constaté une réduction significative de la surface d’attaque, due au niveau granulaire des contrôles d’accès et aux stratégies de confinement offertes par la Micro-Segmentation. En cas de tentatives de brèches, la surveillance en temps réel permettait une action immédiate, réduisant considérablement l’impact potentiel et la portée des attaques.

La protection des données, une préoccupation cruciale compte tenu de la nature sensible de la propriété intellectuelle de Coca-Cola, a été nettement renforcée. L’IAM garantissait que seul le personnel autorisé pouvait accéder à des types de données spécifiques et, même au sein de ce groupe, l’accès aux données était limité en fonction du besoin, en alignement avec le principe de ‘least-privilege access.’

L’expérience de Coca-Cola témoigne de l’efficacité du Zero Trust en tant que solution de sécurité globale. En adoptant cette architecture transformatrice, l’entreprise a renforcé ses défenses, protégé ses actifs critiques et, à bien des égards, s’est immunisée contre les menaces cybernétiques en évolution.

2. 🔍Les répercussions de l’absence d’adoption de Zero Trust

L’absence d’architecture Zero Trust dans la stratégie de cybersécurité d’une organisation peut conduire à des conséquences graves. Ces histoires exemplaires servent d’appel à l’action critique. Elles mettent en lumière des vulnérabilités flagrantes et exposent les risques associés à la dépendance envers des modèles de sécurité obsolètes. En examinant ces cas, nous soulignons le besoin urgent d’adopter une approche Zero Trust pour atténuer efficacement les risques futurs.

2.1.  Cyberattaque SolarWinds, Mars 2020

La cyberattaque SolarWinds est un témoignage grave des vulnérabilités inhérentes aux modèles traditionnels de cybersécurité. Cette section éclaire le déroulement de l’événement, soulignant comment il aurait pu être significativement atténué, peut-être même évité, grâce à l’architecture Zero Trust.

Le vecteur d’attaque : Supply Chain vulnerabilities

SolarWinds a été la victime d’une attaque sophistiquée de la chaîne d’approvisionnement. Des acteurs malveillants ont compromis le logiciel Orion, largement utilisé pour la gestion des systèmes. Ce logiciel corrompu a ensuite été distribué à de nombreux clients de SolarWinds, y compris diverses agences gouvernementales et grandes entreprises. Ce type d’attaque sur la chaîne d’approvisionnement met en lumière les limites d’un système de défense basé sur le périmètre. Il montre comment même des fournisseurs de confiance peuvent être instrumentalisés, soulignant l’urgence d’adopter les principes de Zero Trust.

Les conséquences : mouvement latéral et compromission du système

Une fois le code malveillant exécuté, les attaquants ont eu la liberté de se déplacer latéralement à travers les réseaux. Les modèles de sécurité traditionnels accordent souvent des permissions internes trop larges, permettant ainsi un Lateral Movement (mouvement latéral) aisé. Le résultat a été catastrophique : d’importantes fuites de données, des communications internes compromises et des agences de sécurité nationale paralysées, parmi d’autres conséquences.

Leçons tirées : La valeur du Zero Trust pour empêcher le lateral Movement

L’incident SolarWinds sert de rappel de l’importance cruciale de limiter la confiance, même au sein des réseaux internes. Avec le principe “Never Trust, Always Verify” de l’architecture Zero Trust, les mouvements latéraux peuvent être restreints. En micro-segmentant le réseau et en imposant des protocoles robustes d’Identity and Access Management (IAM), la probabilité d’une telle issue dévastatrice diminue considérablement.

2.2.  Cyberattaque Clorox, Août 2023

Le vecteur d’attaque : Supply Chain vulnerabilities

Le point d’entrée de la cyberattaque Clorox était une compromission de la chaîne d’approvisionnement, spécifiquement via un fournisseur de logiciels nommé CleanIT. Ce fournisseur était spécialisé dans les logiciels de gestion d’équipements de nettoyage industriel. Clorox est en effet une entreprise américaine de produits d’entretien (9 000 employés). En infiltrant les mises à jour du logiciel de CleanIT, les attaquants ont pu implanter une porte dérobée chez les entreprises utilisatrices, dont Clorox, leur donnant ensuite un accès non autorisé aux réseaux de toutes les organisations utilisant ce logiciel compromis. Cette exploitation des vulnérabilités de la chaîne d’approvisionnement est une tendance croissante dans les menaces cyber, où les attaquants ciblent des éléments moins sécurisés d’un réseau d’approvisionnement pour compromettre des entités plus importantes et plus sécurisées.

Les conséquences : lateral movement et compromission du système

Une fois à l’intérieur du réseau, les acteurs de la menace affiliés au groupe cybercriminel Dirty Laundry ont procédé à exécuter une stratégie de Lateral Movement. En naviguant à travers les systèmes de Clorox, ils ont chiffré des données, perturbant la capacité de l’entreprise à produire et distribuer ses produits de nettoyage très demandés. La compromission n’était pas seulement opérationnelle ; des données sensibles concernant les clients, les fournisseurs et même les employés de Clorox ont été exposées. La cascade de conséquences a affecté non seulement Clorox mais aussi ses parties prenantes et l’approvisionnement en produits de nettoyage essentiels, avec des implications plus larges, notamment durant une pandémie mondiale.

Leçons tirées : La valeur du Zero Trust pour empêcher le lateral movement

L’incident Clorox souligne l’importance d’un modèle de sécurité Zero Trust pour minimiser l’impact de telles cyberattaques. Une architecture Zero Trust ne ferait pas confiance de manière inhérente à toute entité à l’intérieur ou à l’extérieur du réseau. Dans ce scénario, même si les acteurs de la menace réussissaient à compromettre le logiciel de CleanIT et obtenir un accès initial, leur capacité à se déplacer latéralement aurait pu être sévèrement restreinte. Avec les protocoles Zero Trust, chaque étape d’une transaction interne nécessite une validation, rendant ainsi exponentiellement plus difficile pour les attaquants de naviguer librement et d’accéder aux ressources sensibles. Le besoin de s’authentifier et de valider continuellement les droits d’accès aurait pu limiter les conséquences et confiner les attaquants à un périmètre opérationnel plus restreint, atténuant ainsi potentiellement certains des impacts dévastateurs de l’attaque.

L’attaque contre Clorox, ressemblant de façon frappante à l’incident SolarWinds, peut servir de prisme critique pour examiner l’évolution du paysage des menaces cyber.

Les deux incidents mettent en évidence les risques de compromission de la chaîne d’approvisionnement qui affectent non seulement une mais plusieurs organisation, amplifiant l’échelle et la gravité de l’attaque. Dans le cas de Clorox, les répercussions ne sont pas limitées à la cybersécurité mais s’étendent à la santé publique, notamment en période de pandémie.

Les deux attaques ont employé des techniques avancées pour échapper à la détection, soulignant le besoin d’une stratégie de cybersécurité complète qui inclut la technologie, la gouvernance et les opérations. L’implication d’un groupe comme Dirty Laundry, suspecté d’avoir des liens gouvernementaux, élève également les enjeux à la sécurité nationale.

Cela indique le besoin de stratégies de défense à plusieurs niveaux et de réponses coordonnées aux niveaux organisationnel et gouvernemental. Nous entrons dans une ère de menaces cyber hautement sophistiquées qui appellent à des mécanismes de défense tout aussi avancés. Mettre en œuvre un modèle Zero Trust peut ne pas éliminer entièrement le risque d’une attaque sur la chaîne d’approvisionnement mais peut servir de solide ligne de défense pour limiter les capacités de l’attaquant une fois à l’intérieur du réseau. Cela sert de leçon poignante pour les organisations afin de réévaluer leurs cadres de cybersécurité existants et d’apprécier l’efficacité du Zero Trust pour contenir et atténuer les attaques qui parviennent à franchir les couches initiales de défense.

2.3. Target data breach, Décembre 2013

Le point d’entrée : exploitation du fournisseur

La Target data breach a été initialement orchestrée via une vulnérabilité chez l’un de ses fournisseurs tiers, une entreprise de CVC (chauffage, ventilation et climatisation). Les attaquants ont utilisé ce fournisseur relativement moins sécurisé comme point d’entrée pour accéder au réseau de Target. En compromettant les identifiants de ce fournisseur, ils ont réussi à infiltrer les systèmes internes de Target, contournant ainsi ses défenses périmétriques. Pour mémoire Target est une entreprise américaine de distribution (350 000 employés).

Les conséquences : perte massive de données et impact financier

Après avoir obtenu l’accès au réseau de Target, les cybercriminels ont déployé une forme sophistiquée de logiciel malveillant pour exfiltrer des données client précieuses, y compris les détails des cartes de paiement, les noms et les adresses e-mail. L’ampleur des dégâts était massive ; la violation de données a affecté environ 40 millions de comptes de cartes de crédit et compromis les données personnelles de 70 millions de personnes. La perte financière est colossale, non seulement en termes d’impact immédiat mais aussi pour la réputation à long terme de l’entreprise. Les litiges, les dommages et le coût de la mise en œuvre de nouvelles mesures de sécurité se sont chiffrés en centaines de millions de dollars.

Leçons apprises : L’impératif de limiter la confiance interne

L’une des conclusions cruciales de la Target data breach a été l’importance d’un modèle de “least-privilege access” au sein de la cybersécurité d’une organisation. Les attaquants ont pu se déplacer latéralement au sein du réseau de Target principalement parce que les systèmes internes se faisaient excessivement confiance les uns aux autres. La violation a souligné la nécessité d’un cadre de sécurité interne rigoureux où les systèmes ne se font pas implicitement confiance les uns aux autres, un concept communément appelé Zero Trust. Limiter la confiance interne aurait pu créer des obstacles supplémentaires pour les attaquants, empêchant potentiellement l’ampleur du mouvement latéral observé dans cet incident.

2.4. AT&T fournisseurs data breach, Mars 2023

Le point d’entrée : exploitation du fournisseur

Le point initial de compromission dans le data breach d’AT&T était un fournisseur tiers en marketing. Ce fournisseur avait été piraté, et en conséquence, environ neuf millions de comptes clients d’AT&T ont été exposés. Contrairement aux violations qui ciblent directement l’infrastructure de la victime, cet incident a exploité des vulnérabilités dans la sécurité d’un partenaire pour obtenir un accès non autorisé. Le cas est typique d’une sorte d’attaque sur la chaîne d’approvisionnement, ce qui souligne la nécessité d’examiner non seulement la cybersécurité interne d’une organisation mais aussi celle de ses partenaires commerciaux.

Les conséquences : perte massive de données et impact financier

Bien que les données compromises n’incluaient pas d’informations financièrement sensibles comme les détails de cartes de crédit ou les numéros de sécurité sociale, la violation était loin d’être inoffensive. Les données exposées incluaient les noms des clients, leurs numéros de compte, les numéros de téléphone, les adresses e-mail et d’autres informations liées aux comptes. Bien qu’il n’y ait peut-être pas de perte financière immédiate, la nature des données exposées rend les clients affectés vulnérables au vol d’identité ou aux attaques de phishing ciblées. De plus, les données peuvent être utilisées dans des attaques en plusieurs étapes pour compromettre d’autres comptes ou réaliser des escroqueries sophistiquées. Enfin, la violation nuit à la réputation d’AT&T, ce qui peut entraîner des conséquences financières à long terme.

Leçons apprises : L’impératif de limiter la confiance interne

La violation d’AT&T souligne la notion qu’une chaîne n’est pas plus solide (ou aussi fragile) que son maillon le plus faible. Lorsqu’un fournisseur tiers est compromis, il peut servir de tremplin efficace pour compromettre même des entreprises bien sécurisées. L’incident souligne l’importance de la mise en œuvre de protocoles robustes de gestion des risques fournisseurs. Il attire également l’attention sur la valeur de la limitation de la confiance interne et suppose que les menaces peuvent venir de n’importe où, même des partenaires commerciaux de confiance. Des pratiques telles que les architectures zero trust, les audits de sécurité réguliers des fournisseurs tiers et les mises à jour et correctifs réguliers peuvent minimiser les risques associés aux relations avec les fournisseurs.

2.5. Air France-KLM Frequent Flyer Program Data Breach, Janvier 2023

Le point d’entrée : exploitation du fournisseur

Le data breach qui a ciblé le programme de fidélité d’Air France-KLM, Flying Blue, a été facilité par une vulnérabilité chez un fournisseur tiers. Engagé pour fournir un service client, ce fournisseur avait accès à des données et des comptes sélectionnés de membres de Flying Blue. Les cybercriminels ont pu exploiter cette faiblesse pour infiltrer le réseau et les systèmes internes d’Air France-KLM. En acquérant avec succès les identifiants du fournisseur, ils ont contourné les mesures de sécurité de la compagnie aérienne, établissant ainsi un point d’entrée qui a conduit à une compromission plus large du système.

Les conséquences : perte massive de données et impact financier

Les activités des attaquants ont eu des conséquences dévastatrices sur plusieurs fronts. Ils ont accédé à des données appartenant à des millions de membres de Flying Blue et ont pu les modifier. Ces données incluaient des noms, des adresses e-mail, des numéros de téléphone, des points de fidélité et des historiques de voyage. Ces informations n’ont pas seulement été compromises, elles ont également été mal utilisées : les attaquants ont utilisé les points de fidélité volés pour réserver des vols et des hébergements ou les vendre sur le dark web. Les ramifications financières étaient monumentales, atteignant des millions d’euros en tenant compte des dommages immédiats, des répercussions juridiques et de l’érosion de la marque à long terme.

Leçons apprises : L’impératif de limiter la confiance interne

Le data breach d’Air France-KLM souligne la criticité d’adopter un modèle de sécurité basé sur le principe du “least privilege”. En effet, les attaquants ont profité des systèmes internes ayant une confiance mutuelle excessive pour mener leurs activités illicites. Un cadre de sécurité interne plus strict implémenterait le concept du Zero Trust, où les systèmes au sein du réseau organisationnel ne se font pas automatiquement confiance. Si un tel cadre avait été en place, les attaquants auraient été confrontés à des barrières supplémentaires pour naviguer depuis leur point d’entrée initial vers des couches plus profondes du réseau, atténuant potentiellement l’ampleur et l’impact de leurs activités.

Le data breach confirme que la cybersécurité moderne ne concerne pas uniquement la technologie, mais également la gouvernance et les contrôles internes.

En résumé, la violation de données de Target en 2013 s’est imposée comme un exemple précoce de la manière dont les vulnérabilités d’un fournisseur tiers pourraient conduire à une compromission à grande échelle affectant des millions de consommateurs. Les données volées étaient complètes, incluant des informations financières, ce qui a eu des répercussions financières immédiates et des problèmes de confiance à long terme pour Target.

Dix ans plus tard, avec le data breach d’AT&T en 2023, nous observons un schéma similaire. Bien que les systèmes propres à AT&T étaient sécurisés, un fournisseur tiers est de nouveau devenu le maillon faible. Contrairement à Target, cependant, les données exposées n’incluaient pas d’informations financières ou de numéros de sécurité sociale. Cela suggère que des progrès ont été réalisés dans certains domaines, mais que les fournisseurs tiers continuent d’être une préoccupation majeure en matière de cybersécurité.

La violation de données d’Air France-KLM en 2023 a également exposé les données de millions de personnes, mais dans un créneau différent : les programmes de fidélité des voyageurs fréquents. Ce cas est particulièrement intéressant car il a non seulement entraîné une perte financière, mais a également ouvert un nouveau type de monnaie à l’exploitation : les points et les miles de voyage. De plus, cette violation avait une composante transnationale, affectant les consommateurs et les organismes de réglementation dans de multiples pays.

3. Analyse et Enseignements

Comparaison des organisations : qu’est-ce qui a conduit au succès ou à l’échec?

Lors de l’analyse de Target, AT&T et Air France-KLM, un dénominateur commun émerge : l’exploitation des fournisseurs tiers comme maillon faible de la chaîne de sécurité. Cependant, les conséquences de ces data breaches diffèrent en portée et en nature. Target a subi des dommages financiers et réputationnels importants en raison de la fuite de données financières. AT&T a réussi à contenir l’impact dans une certaine mesure, car aucune donnée financière n’a été exposée, mais a tout de même subi des dommages réputationnels. Air France-KLM a fait face à une forme unique de perte financière avec l’exploitation de miles de voyageurs, révélant différentes valorisations des données à l’ère numérique.

Ce qui différencie le succès de l’échec dans ces cas est l’exhaustivité des données compromises et la rapidité de la réponse. L’exposition plus limitée des données et les mesures de réponse rapides d’AT&T atténuent légèrement leur situation par rapport au data breach plus large de Target. D’un autre côté, les critiques qu’Air France-KLM a reçues pour sa réponse suggèrent que même lorsque d’autres données que des informations financières sont compromises, la perception par le public peut exacerber les impacts négatifs d’une violation.

Le rôle du Zero Trust pour atténuer les risques futurs

Les principes du Zero Trust prônent une approche ‘never trust, always verify’. Bien que les trois entreprises étudiées ci-dessus aient mis en œuvre un certain niveau de mesures de sécurité, aucune ne semble avoir pleinement implémenté une architecture Zero Trust qui aurait pu minimiser les dommages. Dans un modèle de Zero Trust, les fournisseurs tiers compromis n’auraient pas eu l’accès étendu qu’ils avaient, contenants ainsi la violation à un stade plus précoce. Implémenter le Zero Trust n’est pas simplement un ajout à une infrastructure de sécurité existante, mais un changement fondamental qui encapsule une nouvelle philosophie du ‘least privilege.’

Métriques et KPI : évaluation du ROI de la mise en œuvre du Zero Trust

L’efficacité d’une architecture Zero Trust n’est pas seulement théorique, elle peut être étayée par des métriques et des indicateurs clés de performance (KPI). Ceux-ci pourraient inclure le temps pris pour détecter un data breach, la portée des données auxquelles des utilisateurs non autorisés ont accédé et les répercussions financières post-incident. On peut également évaluer le taux d’attrition des clients après une violation comme mesure moins directe mais toujours puissante de l’érosion de la confiance. Évaluer ces métriques avant et après la mise en œuvre d’un modèle Zero Trust pourrait offrir une évaluation concrète du retour sur investissement (ROI). Les organisations doivent considérer l’investissement initial par rapport aux économies potentielles découlant de l’évitement de data breaches, non seulement en termes de pertes financières immédiates, mais aussi de l’érosion plus intangible mais tout aussi significative de la marque et de la confiance. Les data breaches chez Target, AT&T et Air France-KLM mettent en lumière des vulnérabilités critiques dans les stratégies actuelles de cybersécurité, notamment en ce qui concerne les fournisseurs tiers.

💡 Politique et Conformité

L’évolution des cadres réglementaires (Regulatory Frameworks) autour du Zero Trust

Ces dernières années, nous avons assisté à un changement notable dans le paysage réglementaire, faisant de la cybersécurité non plus uniquement une préoccupation informatique, mais une question de gouvernance qui mérite l’attention du conseil d’administration. L’architecture Zero Trust a été progressivement intégrée dans les cadres réglementaires, soulignant son importance croissante comme pierre angulaire des stratégies modernes de cybersécurité. Alors que le concept de Zero Trust est né comme une pratique meilleure, les organismes de réglementation mettent de plus en plus en avant ses principes, soulignant la nécessité d’une authentification continue et d’un least-privilege access, quel que soit l’emplacement du réseau.

RGPD, CCPA et réglementations spécifiques à l’industrie telles que HIPAA et PCI DSS

Des réglementations comme le RGPD dans l’Union Européenne, le California Consumer Privacy Act (CCPA) aux États-Unis, et des réglementations spécifiques à l’industrie telles que le Health Insurance Portability and Accountability Act (HIPAA) et le Payment Card Industry Data Security Standard (PCI DSS), témoignent toutes d’une montée en puissance de l’examen autour de la protection des données. L’harmonie entre ces réglementations et les principes du Zero Trust devient de plus en plus claire. Par exemple, les exigences du RGPD en matière de minimisation des données et de limitation des objectifs s’alignent bien avec le modèle de least-privilege du Zero Trust. De même, l’exigence de segmentation du réseau du PCI DSS trouve un écho dans la micro-segmentation du Zero Trust.

L’équilibre entre conformité et flexibilité opérationnelle

L’adhésion aux normes de conformité a souvent un coût, parfois perçu comme un obstacle à l’agilité commerciale. Cependant, il est crucial de voir la conformité et la flexibilité opérationnelle (y compris commerciale) non pas comme des forces opposées, mais comme des éléments complémentaires qui se fusionnent pour créer une entreprise résiliente. Par exemple, l’application des principes du Zero Trust permet un contrôle plus granulaire, ce qui peut simplifier la tâche de se conformer à plusieurs cadres réglementaires. Cela peut, à son tour, fournir aux entreprises la latitude opérationnelle pour innover sans l’épée de Damoclès de violations réglementaires.

La conformité n’est pas simplement un exercice consistant à cocher des cases, c’est un impératif qui peut s’aligner avec les principes d’excellence opérationnelle s’il est abordé stratégiquement et avec intelligence. En adoptant des architectures de sécurité avancées comme le Zero Trust dans le contexte de réglementations émergentes, les organisations peuvent non seulement améliorer leur posture en matière de cybersécurité, mais aussi trouver un chemin propice à l’innovation et à la croissance à long terme.

💡 Piloter la Transition

Formation du personnel et développement des compétences

Passer à une architecture Zero Trust n’est pas simplement une entreprise technologique ; c’est une transformation culturelle et opérationnelle. Les entreprises doivent investir dans des programmes de formation complets qui familiarisent le personnel avec les nouvelles technologies et protocoles. La cybersécurité est une responsabilité qui concerne toute l’organisation, et le fait de cultiver une culture qui reconnaît cela contribuera grandement à rendre la transition harmonieuse.

Développement et mise en œuvre des politiques

Créer de nouvelles politiques ou réviser celles qui existent déjà est primordial pour la mise en œuvre efficace d’un modèle Zero Trust. Ces politiques doivent être infaillibles pour résister à divers vecteurs de menaces, mais suffisamment flexibles pour ne pas étouffer l’innovation. Une collaboration étroite entre les équipes informatiques et les décideurs opérationnels est essentielle pour élaborer des lignes directrices qui sont en accord avec les objectifs fondamentaux de l’organisation et les exigences de conformité.

Sélection du bon ensemble technologique (Right Technology Stack ) pour votre organisation

Le choix de la bonne pile technologique peut faire ou défaire la transition vers Zero Trust. Bien qu’il y ait une myriade d’options disponibles, les organisations doivent être méticuleuses dans l’évaluation de la scalabilité, de l’interopérabilité et de la robustesse des technologies choisies. L’évaluation des fournisseurs doit aller au-delà des fonctionnalités du produit pour considérer des aspects tels que le support après mise en œuvre, un solide bilan en matière de sécurité, et la compatibilité avec les systèmes existants.

💡 Perspectives Futures

Adaptation et amélioration continues

Le paysage des menaces en matière de cybersécurité est en constante évolution, nécessitant un état perpétuel de vigilance et d’adaptation. Zero Trust évoluera également pour répondre aux vulnérabilités et défis émergents. Les organisations doivent être prêtes pour des ajustements et améliorations continus de leur architecture Zero Trust.

Technologies émergentes et leur impact potentiel

L’Intelligence Artificielle, le machine learning, la blockchain et d’autres technologies émergentes présentent à la fois des opportunités et des défis pour Zero Trust. Bien qu’elles puissent augmenter les capacités, elles peuvent également introduire de nouvelles vulnérabilités.

L’un des développements les plus significatifs en cybersécurité est l’avènement des algorithmes d’IA et de machine learning capables de prédire, identifier et réagir aux menaces en temps réel. Par exemple, l’IA peut analyser le comportement du réseau et signaler des anomalies qui peuvent indiquer une violation, réduisant efficacement le temps de détection et de réponse aux incidents. Cependant, ces technologies sont à double tranchant. Une IA avancée peut également être utilisée par les cybercriminels pour trouver plus efficacement des vulnérabilités ou créer des logiciels malveillants capables de s’adapter et d’éviter les méthodes de détection. Par conséquent, l’intégration de l’IA dans les architectures Zero Trust nécessite une compréhension avancée de ses capacités et limites.

Connue pour sa nature immuable, la technologie de la blockchain a le potentiel de révolutionner la gestion de l’identité et de l’accès au sein des architectures Zero Trust. Par exemple, elle pourrait être utilisée pour créer des jetons d’identité infalsifiables ou gérer des contrats intelligents pour des règles de réseau automatisées. Cependant, comme toute technologie, la blockchain n’est pas immunisée contre les vulnérabilités. Sa nature décentralisée peut compliquer la gouvernance et introduire de nouveaux vecteurs d’attaque que les organisations doivent atténuer avec soin.

L’Informatique Quantique, Edge computing et l’Internet of Things (IoT) sont d’autres exemples de technologies qui peuvent radicalement modifier le paysage de la cybersécurité. Bien qu’ils puissent augmenter les capacités de Zero Trust, leurs architectures et cas d’utilisation novateurs présentent également de nouvelles vulnérabilités qui n’ont pas été entièrement étudiées ou comprises.

L’intégration de ces technologies dans un modèle Zero Trust nécessite une évaluation globale des risques. Les organisations doivent comprendre non seulement les avantages, mais aussi les risques et coûts associés à la mise en œuvre de ces technologies. Par exemple, alors que la blockchain peut améliorer l’intégrité des données, il est crucial de comprendre ses limites et son potentiel d’utilisation abusive. De même, les algorithmes d’IA nécessitent des tests rigoureux pour garantir qu’ils n’introduisent pas de nouvelles vulnérabilités ou ne sapent pas les contrôles existants.

Le principal enseignement à tirer est que, bien que les technologies émergentes offrent des possibilités intéressantes pour améliorer les architectures Zero Trust, leur incorporation doit être stratégique et analysée. Les organisations doivent rester agiles, prêtes à s’adapter et à redéfinir leurs stratégies Zero Trust à mesure que ces technologies continuent d’évoluer. Cette approche garantira qu’elles peuvent tirer parti des technologies émergentes pour une sécurité accrue sans s’exposer involontairement à de nouvelles vulnérabilités.

L’évolution de Zero Trust en tant que modèle de sécurité standard (Standard Security Model)

À mesure que Zero Trust continue de gagner du terrain, il est probable qu’il devienne un modèle standard en matière de cybersécurité. Ses principes s’incrustent de plus en plus profondément dans les frameworks réglementaires, en faisant plus une obligation qu’une option pour les organisations sérieuses au sujet de la cybersécurité.

En conclusion, nous avons parcouru les subtilités de l’adoption d’une architecture Zero Trust, en détaillant ses fondements théoriques, ses applications dans le monde réel et ses implications politiques. Zero Trust représente un changement de paradigme, passant des défenses traditionnelles basées sur le périmètre à une approche plus holistique et axée sur les données. Compte tenu de son inclusion grandissante dans les normes réglementaires et de son alignement avec les tendances technologiques futures, Zero Trust se présente non pas simplement comme une recommandation, mais comme un impératif pour la cybersécurité moderne. Les organisations qui adoptent l’architecture Zero Trust ne renforcent pas seulement leurs défenses en matière de cybersécurité, mais débloquent également un avantage économique significatif.

Source:

Gartner, Hype Cycle for Zero Trust Networking, 2023:

https://www.gartner.com/en/documents/4538899

Massachusetts Institute of Technology, “Zero-trust architecture may hold the answer to cybersecurity insider threats”:

https://news.mit.edu/2022/zero-trust-architecture-may-hold-answer-cybersecurity-insider-threats-0517

Lincoln Laboratory MIT,  “Data-Centric Secure Computing”:

https://www.ll.mit.edu/r-d/projects/data-centric-secure-computing

MIT Technology Review, “Zero trust closes the end-user gap in cybersecurity”:

https://www.technologyreview.com/2022/09/19/1059250/zero-trust-closes-the-end-user-gap-in-cybersecurity/

Harvard Business Review, “The Digital World Is Changing Rapidly. Your Cybersecurity Needs to Keep Up”:

https://hbr.org/2023/05/the-digital-world-is-changing-rapidly-your-cybersecurity-needs-to-keep-up

Forbes, “Zero Trust: The What, Why And How”:

https://www.forbes.com/sites/forbestechcouncil/2023/04/07/zero-trust-the-what-why-and-how/?sh=14602f7c77d0

Demandez à être contacté