Changes

[[en:Technology_Trends/Zero_Trust_Network]]

[[en:Technology_Trends/Zero_Trust_Network]]

<div class="mw-collapsible mw-collapsed" data-expandtext="Afficher la Vue Détaillée" data-collapsetext="Cacher la Vue Détaillée">

<div class="mw-collapsible" data-expandtext="Afficher la Vue Détaillée" data-collapsetext="Cacher la Vue Détaillée">

   <div class="sidetable">

   <div class="sidetable">

     <table class="wikitable">

     <table class="wikitable">

       </tr>

       </tr>

       <tr>

       <tr>

         <th>Version original</th>

         <th>Version originale</th>

         <td>4 juillet 2019</td>

         <td>4 juillet 2019</td>

       </tr>

       </tr>

       <tr>

       <tr>

         <th>Mise à jour</th>

         <th>Mise à jour</th>

         <td>4 juillet 2019</td>

         <td>12 février 2020</td>

       </tr>

       </tr>

       <tr>

       <tr>

         <th>Publication officiel</th>

         <th>Publication officielle</th>

         <td>[[Media:FR_-_Tendances_Technologiques_-_Réseaux_Zéro_Confiance.pdf|Réseaux Zéro Confiance.pdf]]</td>

         <td>[[Media:FR_-_Tendances_Technologiques_-_Réseaux_Zéro_Confiance.pdf|Réseaux Zéro Confiance.pdf]]</td>

       </tr>

       </tr>

   </div>

   </div>

   <br><p><b></b></p>

   <br><p>Un <b>Réseau Zéro Confiance</b> est une approche holistique de la sécurité des réseaux qui présume de ne faire confiance à personne par défaut. Ce niveau de sécurité additionnel nécessite une vérification stricte de l’identité d’une personne ou d’un dispositif, qu’ils se trouvent à l’intérieur ou à l’extérieur du périmètre du réseau avant qu’il accède des ressources vulnérables. Ce modèle de sécurité informatique a pour objectif de prévenir l’exfiltration de données sensibles et d’améliorer la capacité de toute entreprise de se défendre contre les cybermenaces modernes.</p>

   <div class="mw-collapsible-toggle btn" style="float: left; display: block;">

   <div class="mw-collapsible-toggle btn" style="float: left; display: block;">

     <div class="toggle mw-collapsible-toggle-collapsed" role="button" tabindex="0"><span class="mw-collapsible-text"></span></div>

     <div class="toggle mw-collapsible-toggle-collapsed" role="button" tabindex="0"><span class="mw-collapsible-text">Cacher la Vue Détaillée</span></div>

   </div><br><br>

   </div><br><br>

   <h2>Sommaire opérationnel</h2>

   <h2>Sommaire opérationnel</h2>

   <p>Les réseaux zéro confiance (ou « Zero Trust Networking [ZTN] ») désignent un modèle d’architecture de réseaux de données, proposé à l’origine par John Kindervag de la firme Forrester en 2010 et dont bien des éléments sont utilisés depuis plusieurs années. Le coût total de la cybercriminalité (des répercussions directes, mais aussi des mesures d’atténuation) devrait passer de 3 billions de dollars américains en 2015 à 5 billions de dollars américains d’ici 2020. Les solutions les plus courantes en matière de sécurité des données, de l’information et des réseaux s’articulent autour du concept de la défense du périmètre, aussi connu comme étant un modèle de château et de douve. Selon ce modèle, le périmètre extérieur de l’organisation est défendu (comme dans le cas de la douve d’un château), et les données peuvent entrer et sortir au moyen d’un ensemble de points d’accès très restreint (le pont levis du château) qui sont mis en place comme pare feu d’entrée et de sortie. L’hypothèse (autrefois valide) est que les auteurs de menace sont à l’extérieur, alors les intervenants situés à l’intérieur du périmètre sont fiables. </p>

   <p>Les réseaux zéro confiance (ou « Zero Trust Networking [ZTN] ») désignent un modèle d’architecture de réseaux de données, proposé à l’origine par John Kindervag de la firme Forrester en 2010 et dont bien des éléments sont utilisés depuis plusieurs années. Le coût total de la cybercriminalité (des répercussions directes, mais aussi des mesures d’atténuation) devrait passer de 3 billions de dollars américains en 2015 à 5 billions de dollars américains d’ici 2020. Les solutions les plus courantes en matière de sécurité des données, de l’information et des réseaux s’articulent autour du concept de la défense du périmètre, aussi connu comme étant un modèle de château et de douve. Selon ce modèle, le périmètre extérieur de l’organisation est défendu (comme dans le cas de la douve d’un château), et les données peuvent entrer et sortir au moyen d’un ensemble de points d’accès très restreint (le pont levis du château) qui sont mis en place comme pare feu d’entrée et de sortie. L’hypothèse (autrefois valide) est que les auteurs de menace sont à l’extérieur, alors les intervenants situés à l’intérieur du périmètre sont fiables. </p>

   <p>Heureusement, les réseaux zéro confiance sont très dépendants des technologies existantes, ce qui signifie que les risques techniques et les coûts sont bien compris. Ces technologies et approches architecturales sont les suivantes :</p>

   <p>Heureusement, les réseaux zéro confiance sont très dépendants des technologies existantes, ce qui signifie que les risques techniques et les coûts sont bien compris. Ces technologies et approches architecturales sont les suivantes :</p>

   <ul>

   <ul>

     <li>Gestion de l’identité et de l’accès. Une gestion adéquate de l’identité est évidemment cruciale pour veiller à ce que toutes les tentatives d’accès aux ressources soient authentifiées et autorisées. Ces ressources peuvent être des données, mais aussi des services informatiques, des appareils, etc. Les systèmes d’information sont déjà conçus pour intégrer la notion d’identité des utilisateurs humains, mais la gestion de l’identité et de l’accès pour les réseaux zéro confiance nécessite que tous les utilisateurs potentiels d’une ressource soient également identifiés et autorisés. Cette gestion de l’identité et de l’accès doit s’appliquer aux processus, par exemple un composant de logiciel qui en utilise un autre, ou des appareils Internet des objets (IdO) qui s’alimentent dans un lac de données. Ces scénarios d’utilisation font en sorte d’augmenter considérablement le nombre d’identités à gérer, jusqu’à plusieurs milliards lorsque l’IdO est inclus. En règle générale, cette identification non humaine (et parfois humaine) est fondée sur les serveurs mandataires d’identité comme l’adresse IP, laquelle est de toute évidence vulnérable aux attaques étant donné qu’elle peut être faussée. Les solutions modernes de gestion de l’identité et de l’accès utilisent des certificats, des signatures et une authentification à facteurs multiples aux fins d’assurance de la fiabilité. La capacité de traitement n’était pas suffisamment abordable pour justifier l’utilisation de ces solutions à grande échelle jusqu’à tout récemment. Ces techniques sont toutes mises en place à Services partagés Canada (SPC), bien que principalement à l’intention des employés, et elles auront peut être besoin d’une mise à niveau au cours des années à venir pour minimiser les menaces associées à l’informatique quantique.</li>

     <li><b>Gestion de l’identité et de l’accès :</b> Une gestion adéquate de l’identité est évidemment cruciale pour veiller à ce que toutes les tentatives d’accès aux ressources soient authentifiées et autorisées. Ces ressources peuvent être des données, mais aussi des services informatiques, des appareils, etc. Les systèmes d’information sont déjà conçus pour intégrer la notion d’identité des utilisateurs humains, mais la gestion de l’identité et de l’accès pour les réseaux zéro confiance nécessite que tous les utilisateurs potentiels d’une ressource soient également identifiés et autorisés. Cette gestion de l’identité et de l’accès doit s’appliquer aux processus, par exemple un composant de logiciel qui en utilise un autre, ou des appareils Internet des objets (IdO) qui s’alimentent dans un lac de données. Ces scénarios d’utilisation font en sorte d’augmenter considérablement le nombre d’identités à gérer, jusqu’à plusieurs milliards lorsque l’IdO est inclus. En règle générale, cette identification non humaine (et parfois humaine) est fondée sur les serveurs mandataires d’identité comme l’adresse IP, laquelle est de toute évidence vulnérable aux attaques étant donné qu’elle peut être faussée. Les solutions modernes de gestion de l’identité et de l’accès utilisent des certificats, des signatures et une authentification à facteurs multiples aux fins d’assurance de la fiabilité. La capacité de traitement n’était pas suffisamment abordable pour justifier l’utilisation de ces solutions à grande échelle jusqu’à tout récemment. Ces techniques sont toutes mises en place à Services partagés Canada (SPC), bien que principalement à l’intention des employés, et elles auront peut être besoin d’une mise à niveau au cours des années à venir pour minimiser les menaces associées à l’informatique quantique.</li>

     <li>Micro segmentation des réseaux. La segmentation des réseaux est une technique bien connue pour séparer les sous réseaux, à l’origine pour des raisons de performance, puis de sécurité. Lorsque la sécurité devient une motivation, la séparation entre deux segments de réseau peut être faite de façon efficace à l’aide d’un pare feu qui inspecte le trafic réseau entre les segments, consigne le trafic problématique et autorise peut être uniquement le trafic provenant de certaines adresses IP ou se conforme à des protocoles précis. Dans le cas des réseaux zéro confiance, il s’avère nécessaire d’utiliser une granularité fine –chaque machine (ou tout au plus un petit nombre de machines de même fonctionnalité) est essentiellement dans son propre micro segment. De plus, le pare feu entre les segments doit limiter le trafic à l’ensemble minimal de protocoles (types de trafic) requis. Si la machine qui offre un service n’utilise pas de fonction d’authentification, ce pare feu interne effectue également la gestion de l’identité et de l’accès requise. Une adresse IP n’est en aucun cas suffisante pour l’authentification. Ces pare feu internes exigent une capacité importante de journalisation et de génération de rapports plus centralisée (voir ci dessous). Comme on peut s’y attendre, le placement de chaque machine dans un micro segment entraîne une prolifération de pare feu internes, bien que la capacité de traitement ait atteint le point où elle peut être mise en œuvre dans un logiciel par opposition au matériel monté sur châssis dans un centre de données. Dans le cas d’une infrastructure virtualisée ou infonuagique, le pare feu et la micro segmentation font partie du réseau défini par le logiciel (SDN), ce qui réduit encore plus le coût de mise en œuvre. Les mises en œuvre de type SDN comportent une mise en garde importante : elles nécessitent des hyperviseurs de virtualisation hautement sécurisés. Une violation d’un hyperviseur non sécurisé paralyserait les réseaux zéro confiance et donnerait accès à toutes les données et au trafic sur au moins cette machine physique spécifique.</li>

     <li><b>Micro segmentation des réseaux :</b> La segmentation des réseaux est une technique bien connue pour séparer les sous réseaux, à l’origine pour des raisons de performance, puis de sécurité. Lorsque la sécurité devient une motivation, la séparation entre deux segments de réseau peut être faite de façon efficace à l’aide d’un pare feu qui inspecte le trafic réseau entre les segments, consigne le trafic problématique et autorise peut être uniquement le trafic provenant de certaines adresses IP ou se conforme à des protocoles précis. Dans le cas des réseaux zéro confiance, il s’avère nécessaire d’utiliser une granularité fine –chaque machine (ou tout au plus un petit nombre de machines de même fonctionnalité) est essentiellement dans son propre micro segment. De plus, le pare feu entre les segments doit limiter le trafic à l’ensemble minimal de protocoles (types de trafic) requis. Si la machine qui offre un service n’utilise pas de fonction d’authentification, ce pare feu interne effectue également la gestion de l’identité et de l’accès requise. Une adresse IP n’est en aucun cas suffisante pour l’authentification. Ces pare feu internes exigent une capacité importante de journalisation et de génération de rapports plus centralisée (voir ci dessous). Comme on peut s’y attendre, le placement de chaque machine dans un micro segment entraîne une prolifération de pare feu internes, bien que la capacité de traitement ait atteint le point où elle peut être mise en œuvre dans un logiciel par opposition au matériel monté sur châssis dans un centre de données. Dans le cas d’une infrastructure virtualisée ou infonuagique, le pare feu et la micro segmentation font partie du réseau défini par le logiciel (SDN), ce qui réduit encore plus le coût de mise en œuvre. Les mises en œuvre de type SDN comportent une mise en garde importante : elles nécessitent des hyperviseurs de virtualisation hautement sécurisés. Une violation d’un hyperviseur non sécurisé paralyserait les réseaux zéro confiance et donnerait accès à toutes les données et au trafic sur au moins cette machine physique spécifique.</li>

     <li>Chiffrement omniprésent. Étant donné que les auteurs de menace se trouvent effectivement à l’intérieur du « périmètre » de l’organisation et peuvent espionner le trafic réseau, toutes les interactions sur le réseau doivent être chiffrées. De plus, les données inactives doivent être chiffrées pour atténuer les risques associés aux intrusions dans une base de données ou un serveur de fichiers en particulier. Les algorithmes, les unités centrales et les accélérateurs modernes ont rendu le chiffrement à grande échelle particulièrement rapide.</li>

     <li><b>Chiffrement omniprésent :</b> Étant donné que les auteurs de menace se trouvent effectivement à l’intérieur du « périmètre » de l’organisation et peuvent espionner le trafic réseau, toutes les interactions sur le réseau doivent être chiffrées. De plus, les données inactives doivent être chiffrées pour atténuer les risques associés aux intrusions dans une base de données ou un serveur de fichiers en particulier. Les algorithmes, les unités centrales et les accélérateurs modernes ont rendu le chiffrement à grande échelle particulièrement rapide.</li>

     <li>Politiques dynamiques et conditionnelles. Le principe du « droit d’accès minimal » est une pierre angulaire des réseaux zéro confiance. Au cours de la période d’emploi d’une personne en particulier ou de la période active d’un processus, les privilèges et les accès requis varient selon la tâche, et ces privilèges devraient être maintenus au niveau le plus restreint qui permet encore d’exécuter le travail . Dans la plupart des organisations, la pratique actuelle consiste à augmenter le niveau de privilège au besoin (peut être même à le fixer au niveau « élevé » dès le départ) et à ne pratiquement jamais le diminuer. Les réseaux zéro confiance changent cette pratique en étant beaucoup plus dynamiques, et veillent à abaisser le niveau de privilège une fois que la tâche spécifique a été accomplie. Lorsque de telles politiques sont appliquées à des processus ou des dispositifs (et non à des personnes), elles peuvent être mises en œuvre au moyen d’architectures et d’interfaces de programmation d’applications pour les micro services. Le fait qu’elles ne prennent en charge qu’un seul service signifie qu’elles peuvent exécuter des processus avec le moins de privilèges possible.</li>

     <li><b>Politiques dynamiques et conditionnelles :</b> Le principe du « droit d’accès minimal » est une pierre angulaire des réseaux zéro confiance. Au cours de la période d’emploi d’une personne en particulier ou de la période active d’un processus, les privilèges et les accès requis varient selon la tâche, et ces privilèges devraient être maintenus au niveau le plus restreint qui permet encore d’exécuter le travail . Dans la plupart des organisations, la pratique actuelle consiste à augmenter le niveau de privilège au besoin (peut être même à le fixer au niveau « élevé » dès le départ) et à ne pratiquement jamais le diminuer. Les réseaux zéro confiance changent cette pratique en étant beaucoup plus dynamiques, et veillent à abaisser le niveau de privilège une fois que la tâche spécifique a été accomplie. Lorsque de telles politiques sont appliquées à des processus ou des dispositifs (et non à des personnes), elles peuvent être mises en œuvre au moyen d’architectures et d’interfaces de programmation d’applications pour les micro services. Le fait qu’elles ne prennent en charge qu’un seul service signifie qu’elles peuvent exécuter des processus avec le moins de privilèges possible.</li>

     <li>Journalisation, inspection et analytique. Il faut toujours être au fait de la présence d’auteurs de menace, même dans les réseaux zéro confiance. La meilleure façon d’y parvenir est de procéder à une inspection approfondie du trafic (à l’aide des micro segments) et de consigner les données connexes dans des fichiers journaux. Plutôt que de faire l’objet d’une inspection manuelle, les fichiers journaux sont généralement traités par des algorithmes de science et d’analytique des données (pour des raisons de sécurité) et d’apprentissage machine pour relever les anomalies qui indiquent des tentatives d’attaque. Les analyses qui en résultent sont utilisées pour générer des rapports et des visualisations nécessaires à la gouvernance des réseaux zéro confiance.</li>

     <li><b>Journalisation, inspection et analytique :</b> Il faut toujours être au fait de la présence d’auteurs de menace, même dans les réseaux zéro confiance. La meilleure façon d’y parvenir est de procéder à une inspection approfondie du trafic (à l’aide des micro segments) et de consigner les données connexes dans des fichiers journaux. Plutôt que de faire l’objet d’une inspection manuelle, les fichiers journaux sont généralement traités par des algorithmes de science et d’analytique des données (pour des raisons de sécurité) et d’apprentissage machine pour relever les anomalies qui indiquent des tentatives d’attaque. Les analyses qui en résultent sont utilisées pour générer des rapports et des visualisations nécessaires à la gouvernance des réseaux zéro confiance.</li>

   </ul>

   </ul>

   <h2>Répercussions pour les agences gouvernementales</h2>

   <h2>Répercussions pour les agences gouvernementales</h2>

   <h3>Services partagés Canada (SPC)</h3>

   <h3>Services partagés Canada (SPC)</h3>

   <p>Enfin, il faut envisager d’élargir la portée de l’infrastructure actuelle de gestion des identités (gestion des justificatifs internes et externes) afin que les dispositifs et les processus deviennent des intervenants identifiés au sens large au sein de SPC, et que les autorisations, les accès et les activités qui y sont associés soient correctement gérés et consignés.</p>

   <p>Enfin, il faut envisager d’élargir la portée de l’infrastructure actuelle de gestion des identités (gestion des justificatifs internes et externes) afin que les dispositifs et les processus deviennent des intervenants identifiés au sens large au sein de SPC, et que les autorisations, les accès et les activités qui y sont associés soient correctement gérés et consignés.</p>

</div>

 

  <h2>References</h2>

  <ol>

    <li>Balaouras, S., Shey, H., Laura, K., Cser, A., Madeline, C., & Dostie, P. (4 juin 2019).<i> [https://reprints.forrester.com/#/assets/2/716/RES61555/reports Defend Your Digital Business From Advanced Cyberattacks Using Forrester's Zero Trust Model].</i> Récupéré de reprints.forrester.com</li>

<ol>

    <li>Barth, D., & Gilman, E. (June 19, 2017).<i> Zero Trust Networks</i> (1 edition ed.). O'Reilly Media.</li>

  <li>Diedrich, H. (2016). <i>Ethereum: Blockchains, Digital Assets, Smart Contracts, Decentralized Autonomous Organizations.</i> Scotts Valley: CreateSpace Independent Publishing Platform.</li>

    <li>MacDonald, N. (10 décembre 2018).<i>[https://www.gartner.com/document/3895267?ref=TypeAheadSearch&qid=f1793ea982e57ac9aadaab897 Zero Trust Is an Initial Step on the Roadmap to CARTA].</i> Récupéré de gartner.com</li>

  <li>Furlonger, D., & Kandaswamy, R. (25 juillet 2018). <i>[https://www.gartner.com/document/3883991 Hype Cycle for Blockchain Technologies].</i> Récupéré le 23 mai 2019</li>

    <li>Pratt, M. K. (16 janvier 2018).<i>[https://www.csoonline.com/article/3247848/what-is-zero-trust-a-model-for-more-effective-security.html What is Zero Trust? A model for more effective security].</i> Récupéré de csoonline.com</li>

  <li>Gilder, G. (2018). Life After Google: <i>The Fall of Big Data and the Rise of the Blockchain Economy.</i> New Jersey: Gateway Editions.</li>

  </ol>

  <li>Gupta, V. (28 février 2017). <i>[https://hbr.org/2017/02/a-brief-history-of-blockchain A Brief History of Blockchain].</i> Récupéré le 23 mai 2019</li>

  <li>Orcutt, M. (19 février 2019). <i>[https://www.technologyreview.com/s/612974/once-hailed-as-unhackable-blockchains-are-now-getting-hacked/ Once hailed as unhackable, blockchains are now getting hacked].</i> Récupéré le 23 mai 2019</li>

  <li>Secretariat, T. B. (29 mars 2019). <i>[https://www.canada.ca/en/government/system/digital-government/digital-operations-strategic-plan-2018-2022.html Digital Operations Strategic Plan: 2018-2022].</i> Récupéré le 23 mai 2019</li>

  <li>Vallée, J.-C. L. (avril 2018). <i>[https://www.conferenceboard.ca/temp/7dc77c07-7e5a-4be6-ad6d-7d1070f9ac20/9591_Cautious%20Optimism_BR.pdf Adopting Blockchain to Improve Canadian Government Digital Services].</i> Récupéré le 23 mai 2019</li>

</ol>

-->

</div>

{{#css:

{{#css:

   #firstHeading::after{

   #firstHeading::after{

   content:"Drones";

   content:"Réseaux Zéro Confiance";

   }

   }

   .breadcrumb-table{  margin: auto; }

   .breadcrumb-table{  margin: auto; }

   .expand{  background-color: rgba(255, 255, 0, 0.3); }

   .highlighted{  background-color: rgba(242, 109, 33, 0.2); }

   .mw-collapsible-text{ text-align:left;  }

   .mw-collapsible-text{ text-align:left;  }

   .inline{  display: inline; }

   .inline{  display: inline; }

     width: 230px;

     width: 230px;

     color: #fff;

     color: rgba(242, 109, 33, 1);

   background-color: #337ab7;

   background-color: rgba(242, 109, 33, 0.1);

   border-color: #2e6da4;

   border-color: rgba(242, 109, 33, 1);

     text-decoration: none;

     text-decoration: none;

   }

   }

   .btn:hover {

   .btn:hover {

   color: #fff;

   color: rgba(255, 255, 255, 1);

   background-color: #286090;

   background-color: rgba(242, 109, 33, 1);

     text-decoration: none;

     text-decoration: none;

   }

   }