零信任安全如何拯救您的网络

Laurent Bouchoucha

décembre 06, 2021

适用于企业和组织, le zero trust est votre meilleur atout pour garantir la sécurité de votre matériel informatique et des appareils connectés, 员工保护.

零信任不是一个新概念. Cependant, la pandémie et la transformation vers une société plus numérique mettent en lumière des questions qui n'étaient pas encore sur le radar, 使零信任安全成为一个热门话题.

Aujourd'hui, les appareils connectés de l'Internet des objets (IoT) sont plus nombreux que jamais. 这些设备旨在提供单一的服务, et malheureusement, 安全不是第一要务. L'absence de sécurité intégrée rend les appareils IoT vulnérables aux attaques et crée une voie d'accès potentielle à l'ensemble du réseau d'une entreprise.

随着企业走上数字转型之路, 他们的网络基础设施必须是安全的. La segmentation du réseau, principe de la sécurité zero trust, permet de prévenir les attaques. 一旦报告漏洞, le potentiel d'une attaque peut être réduit et les mouvements latéraux sur le réseau peuvent être limités, 为了不影响其他连接的系统.

Zero trust en un coup d'œil

在IT和企业环境中, 根据现有的信任程度，网络分割有两种方法. Traditionnellement, 信任的边界是有形的和隐含的, 使计算机网络有防火墙保护. 简单地说，这意味着内部的东西不受外部的保护。. Toutefois, cette approche a dû évoluer au fur et à mesure que les risques de menace ont augmenté.

Dans le monde zero trust, 信任是动态的、适应性强的，而不是假定的, même au sein du réseau. 指导原则是“永远不要相信，永远要检查”。, 也就是说，表现得好像攻击者已经在系统中了。. Avec ce principe en tête, 第一步是网络访问控制(NAC)。, 对象识别和登录用户身份验证. Sur la base de ces facteurs, une macro-segmentation est mise en place à l'aide de pare-feu pour filtrer le trafic entre différentes classes d'objets et d'utilisateurs. Par exemple, vous pouvez isoler les caméras de surveillance et les capteurs de gestion des bâtiments. Ensuite, sur la base de l'identification, un deuxième niveau de filtrage au sein d'un segment permet d'affiner et de réaliser une micro-segmentation. Dans cette deuxième étape, l'objectif est d'empêcher les caméras de surveillance de communiquer entre elles au sein d'un même segment de réseau.

为什么零信任在今天如此重要

Au cours des 18 derniers mois, les cyberattaques se sont multipliées et les coûts pour les entreprises ont été importants. En outre, les pirates informatiques exécutent des attaques de plus en plus sophistiquées et malveillantes. Le zero trust exigeant l'identification et l'authentification de chaque appareil et utilisateur avant d'autoriser l'accès au réseau, il est possible de contenir, voire d'éviter les attaques. Cela est dû à la segmentation du réseau qui restreint la portée de l'accès et réduit la propagation de l'attaque. 

宏观和微观细分的智能结合, l'approche de zero trust fournit un périmètre de sécurité restreint et mobile autour de chaque utilisateur et objet. 组织管理网络访问控制, définissent les autorisations (par exemple l'accès par profile métier) et sont en mesure de sécuriser et de contenir les menaces, 不适当或可疑行为的持续调查网络.

新的网络功能允许零信任, ce qui augmente proportionnellement le niveau de défense contre les cyberattaques étendues et sophistiquées.

实现零信任网络的五个步骤

1. Surveiller :识别所有设备, périphériques, 连接的设备，并对所有访问网络的人进行身份验证. 自动创建和输入对象清单.

2. Valider : contrôler tous les appareils connectés et invalider ceux qui ne sont pas justifiés pour l'activité, 因为它们增加了攻击的可能性. Appliquer le principe du moindre privilège qui accorde les autorisations minimales requises pour effectuer une tâche. 如果网络检测到不符合规定的设备, 有必要实施一项恢复或修复计划。.

3. Planifier :了解用户的所有设备, ainsi que leur flux de travail et le trafic généré pour transformer ces données en une politique de sécurité qui combine intelligemment macro-segmentation (contrôle des entrées/sorties) et micro-segmentation (règles de sécurité à grain fin).

4. Simuler :并行应用身份识别, l'authentification et la politique de sécurité en mode "fail open" : Tous les équipements seront autorisés et le comportement du réseau sera enregistré et indexé, afin de mettre en place des schémas d'autorisation et une politique de sécurité du réseau adaptée. Cette étape critique permettra d'affiner la politique de sécurité tout en veillant à ce que l'activité normale ne soit pas impactée.

5. Appliquer : Dans la dernière étape, le "fail open" devient "fail close" :  Les échecs d'authentification ne sont plus tolérés, 所有未被引用的用户或设备将被拒绝, 阻止所有非法流动. La surveillance du réseau est immédiate pour vérifier que tous les dispositifs sont identifiés, que les utilisateurs sont authentifiés pour être autorisés sur le réseau ou éventuellement mis en quarantaine pendant que les contrôles de sécurité ont lieu.

En résumé

零信任识别流量, 自动将对象存储在库存中, de créer des règles planifiées pour le réseau et de partager les profils des utilisateurs et des IoT en fonction des règles. 它还允许确定来自中心IDS或交换机的DoS攻击。, et éventuellement d'appliquer une quarantaine pour les flux suspects dans un périmètre restreint et dynamique. 

La confiance zéro fournit une stratégie d'authentification et une politique de sécurité cohérente à travers votre infrastructure réseau, 根据用户需求和相关技术实现. 宏观分割和微观分割的明智结合, 在违反安全规定的情况下进行隔离, 为您的网络基础设施提供最高级别的安全性. 日益动荡的世界, incertain, complexe et ambigu, l'approche de la confiance zéro est votre meilleur atout pour assurer la sécurité de votre réseau et de vos actifs commerciaux.