Zero-trust : quatre étapes pour adapter le modèle à l’IoT
Le modèle zero-trust appliqué à l’IoT promet de renforcer l’identité des équipements et l’isolation des menaces à l’échelle, à condition de trouver un équilibre avec les périmètres de sécurité existants.
Le modèle de sécurité sans confiance (ou zero-trust), fondé sur l’idée de « ne jamais faire confiance, toujours vérifier », offre un cadre idéal pour l’internet des objets, car il exige des équipes de sécurité IT-OT qu’elles examinent, révisent et apportent des modifications en permanence, à mesure que le réseau évolue.
Les appareils IoT font aujourd’hui partie intégrante des entreprises et effectuent souvent des tâches critiques ou traitent des données sensibles.
Or le modèle de sécurité traditionnel ne répond généralement pas aux besoins des organisations modernes en matière de sécurité ou d’expérience utilisateur. L’IoT est un secteur dont la croissance est rapide. IDC prédit qu’il y a aura près de 42 milliards d’appareils connectés d’ici 2025. Et si les équipements deviennent de plus en plus critiques, leur déploiement en production réclame souvent aux équipes IT de contourner les défenses traditionnelles basées sur le périmètre.
Les pratiques de cybersécurité invitent à se concentrer sur les zones d’un parc IT sur lesquelles pèsent le plus de menaces. Dans le cas présent, cela signifie qu’il faut protéger les dispositifs IoT, car ils constituent des cibles tentantes pour les cybercriminels. Il suffit d’un objet connecté mal configuré pour pénétrer facilement dans un réseau entier et causer des ravages. Les organisations qui adoptent une approche de sécurité globale utilisant la méthode zero-trust, peuvent mieux s’adapter à la complexité changeante de leurs déploiements IoT et protéger leurs collaborateurs, leurs appareils, leurs applications et leurs données.
L’approche zero-trust appliquée à l’IoT
L’expression « modèle sans confiance » renvoie à un modèle de sécurité qui suggère qu’aucune personne, aucun appareil ou aucun service à l’intérieur ou à l’extérieur du réseau ne doit faire l’objet d’une confiance par défaut. « L’architecture zero-trust est une approche de bout en bout de la sécurité des ressources et des données de l’entreprise qui englobe l’identité (personnes et entités non humaines), les informations d’identification, la gestion des accès, les opérations, les terminaux, les environnements d’hébergement, et l’infrastructure d’interconnexion », résume le NIST (National Institute of Standards and Technology).
Pour les déploiements IoT, ce modèle se concentre sur la protection du réseau contre les violations par des dispositifs IoT, même si les organisations ajoutent davantage de capteurs à leurs déploiements. Les mesures de sécurité requièrent la vérification de l’identité et l’authentification des appareils sur l’ensemble du réseau et non plus seulement sur le périmètre, comme c’est le cas le plus souvent aujourd’hui. Grâce à la microsegmentation, le modèle limite l’accès aux segments du réseau aux seules personnes et machines qui en ont besoin et qui sont autorisées. Cela restreint le risque de brèches potentielles, car l’accès est borné à ce segment.
L’approche zero-trust est un modèle, et non un produit ou un élément technologique que les organisations peuvent acheter. Il s’agit plutôt d’un état souhaité qui peut être atteint de diverses manières.
Précision importante. L’approche zero-trust est un modèle, et non un produit ou un élément technologique que les organisations peuvent acheter. Il s’agit plutôt d’un état souhaité qui peut être atteint de diverses manières pour protéger les données de l’entreprise, réduire le risque de violation et le temps de détection, améliorer la visibilité du trafic réseau et accroître le contrôle dans les environnements cloud.
Quatre étapes nécessaires
Quels que soient le lieu de déploiement des appareils IoT et la manière dont ils sont utilisés, ils tombent sous le même bouclier de protection que le reste du réseau. Par conséquent, les menaces doivent être isolées avant qu’elles affectent l’ensemble du réseau.
Les administrateurs IT et les équipes de sécurité doivent adopter quelques mesures pour tenter de se rapprocher le plus possible de l’idéal zero-trust appliqué à l’IoT et être prêts à faire face aux futures menaces.
1. Créer une identité forte pour les appareils IoT
Les entreprises peuvent fournir des identités fortes pour les appareils en combinant une racine de confiance matérielle, une authentification sans mot de passe, telle que les certificats X.509, et des informations d’identification à durée de vie limitée. Les sociétés peuvent créer un registre des terminaux IoT pour s’assurer que seuls les appareils authentifiés peuvent se connecter de manière appropriée à leur utilisation.
2. Donner un accès le moins privilégié possible aux appareils
La sécurité sans confiance exige de donner l’accès le moins privilégié aux appareils, mais un accès suffisant pour qu’ils puissent tout de même exécuter leurs tâches. Les équipes IT doivent créer des identités distinctes pour segmenter l’accès aux équipements qui exécutent plusieurs charges de travail et autoriser l’accès conditionnel vers et depuis un appareil en fonction d’un ensemble de règles de sécurité définies. Par exemple, les connexions peuvent être limitées en fonction de l’emplacement de l’objet connecté, à l’aide d’une adresse IP ou d’un GPS, ou encore les réseaux n’autorisent certaines opérations que pendant les horaires de travail.
3. Surveillance proactive de la sécurité et réponse à incident
La surveillance proactive ajoute une couche de protection pour les appareils IoT, peu importe où ils se trouvent, ou comment ils sont connectés au réseau. Les équipes IT utilisent la supervision de la sécurité pour identifier rapidement les appareils non autorisés ou compromis et prendre les mesures appropriées.
Pour certaines organisations, la surveillance se limite à disposer d’une carte topologique de tous les appareils et à accéder aux indicateurs de santé de base tels que la puissance et l’utilisation. L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) recommande des mesures plus approfondies, notamment l’identification de tous les protocoles de communication utilisés par les appareils et le catalogage de toutes les connexions externes vers et depuis les appareils. L’identification des vulnérabilités des dispositifs IoT, avant qu’ils ne soient compromis, permettra aux équipes de sécurité informatique de disposer des stratégies d’atténuation nécessaires pour faire face aux problèmes éventuels.
4. Programmer des mises à jour régulières des appareils
Un solide processus de gestion de cycle de vie de l’IoT doit permettre à tous les appareils de fonctionner et d’être sécurisés. Cette démarche doit inclure une documentation sur toutes les procédures connexes, comme la mise en œuvre des mises à jour, et un système centralisé de gestion de la configuration pour suivre tous les équipements. Les équipes de sécurité IT peuvent utiliser des gestionnaires, soit des plateformes dédiées, soit des outils de type IaC, tels Ansible ou Chef, pour déployer à l’échelle les correctifs et la gestion des appareils sur l’ensemble du parc, notamment en poussant les mises à jour à distance (Over-the-Air ou OTA) vers les appareils.
Les limites du modèle zero-trust
Seulement, un tel programme s’exécute bien plus facilement dans le cadre d’un nouveau déploiement. Les trois premières étapes peuvent être appliquées dans une infrastructure existante. Par exemple, la norme X509 a fait ses preuves et les architectures PKI s’avèrent toujours pertinentes.
En revanche, la microsegmentation du réseau et la mise à jour régulière des équipements ne sont pas une mince affaire. L’approche zero-trust, n’étant pas standardisée, ces tâches sont plus difficiles. D’autant que les solutions des éditeurs s’appuient trop souvent sur des composants logiciels propriétaires, selon le NIST. En la matière, l’ANSSI recommande dans une note publiée le 15 avril 2021 une « transformation progressive et maîtrisée » qui ne peut se faire sans une analyse de risque avant tout déploiement.
« De nombreuses organisations disposent déjà d’éléments d’une architecture zero-trust dans leur infrastructure d’entreprise », confirme le NIST dans un dossier publié en août 2020. « Les organisations devraient chercher à mettre en œuvre graduellement les principes zero-trust, les changements de processus et les solutions technologiques qui protègent leurs actifs de données et leurs activités, en fonction des cas d’usage ».
Aussi, le modèle zero-trust ne doit pas éliminer les périmètres de sécurité traditionnels. « Le zero-trust, s’il est interprété de manière à rompre avec le modèle périmétrique traditionnel, est susceptible d’accroître les vulnérabilités », écrivent les spécialistes de l’ANSSI.
En ce sens, les principes de gestion et de maîtrise des risques « à l’état de l’art » demeurent essentiels. Donc l’approche zero-trust appliquée à l’IoT réclame non seulement une gestion des accès pour les équipements, mais aussi pour les humains qui les déploient sur le terrain, qui les surveillent au quotidien et qui les mettent à jour. Ce n’est qu’en maintenant un équilibre entre les nouvelles bonnes pratiques et celles déjà en place que ce modèle sans confiance « peut mieux protéger l’entreprise face aux menaces les plus communes et améliorer sa posture de sécurité », considère le NIST.
Pour approfondir sur Gestion d’identités (IGA, PAM, Bastion, PASM, PEDM)
