Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

21/10/2021

Cybersecurity Insights

Software-Defined Perimeter et les approches ZTNA

Dans ce second article sur le Zero Trust Network Access (ZTNA), nous allons voir le fonctionnement de l’architecture Software-Defined Perimeter (SDP) et donner une définition d’une solution ZTNA.

Précédemment, nous avons vu le modèle Zero Trust, ses principes, les composants d’une architecture Zero Trust et le Single-Packet Authorization (SPA) utilisé par le SDP. Nous allons donc commencer par voir le SDP pour mieux appréhender les approches choisies par les éditeurs ZTNA.

Software-Defined Perimeter

L’architecture proposée par la Cloud Security Alliance en 2014 conserve les principes de l’architecture Zero Trust définie par le NIST avec la séparation du Control Plane et du Data Plane. Cette architecture utilise quatre composants logiques :

  • SDP Controller : appareil ou processus sécurisant l’accès au service isolé en s’assurant que les utilisateurs sont authentifiés et autorisés à accéder au service avec un terminal validé. Il force aussi l’application de politiques supplémentaires pour que les communications établies soient sécurisées.
  • Initiating Host (IH) : il représente le client où l’agent SDP est installé.
    Accepting Host (AH) : accepte les connexions sécurisées depuis les IHs, il représente un ensemble de services protégés par le SDP.
  • SDP Gateway : elle donne l’accès aux utilisateurs et terminaux autorisés aux processus et services protégés. Elle permet le monitoring, le logging et le reporting sur ces connexions.

Architecture Software-Defined Perimeter

Le fonctionnement de l’architecture SDP suit les étapes suivantes :

  1. Le ou les SDP Controller(s) sont activés pour commencer à construire une architecture SDP. Le SDP Controller possède l’ensemble des informations concernant les accès autorisés aux différents éléments de l’architecture SDP.
  2. Les Accepting SDP Hosts (AH) s’ajoutent auprès du SDP Controller. Souvent, les Accepting SDP Hosts (AH) sont derrière une SDP Gateway qui s’occupe d’établir la connexion et de communiquer avec le SDP Controller.
  3. Les Initiating SDP Hosts (IH) s’ajoutent auprès du SDP Controller avec l’envoi du Single-Packet Authorization. Le SDP Controller a les clés utilisées par le Initiating SDP Hots pour authentifier le paquet.
  4. Après connexion des différents composants auprès du SDP Controller, le SDP Controller contrôle la liste des Accepting SDP Hosts avec lesquels l’Initiating SDP Host a un accès autorisé.
  5. Le SDP Controller prévient les Accepting SDP Hosts concernés que l’Initiating SDP Host en question est autorisé à communiquer avec eux.
  6. Le SDP Controller envoie ensuite une liste des adresses IP des Accepting SDP Hosts autorisés à l’Initiating SDP Host.
  7. L’Initiating SDP Host communique avec les Accepting SDP Hosts après établissement d’une communication bidirectionnelle chiffrée (utilisation du mutual TLS).

L’architecture SDP réutilise des principes déjà connus pour proposer une architecture Zero Trust.

Différences entre l’architecture BeyondCorp et l’architecture Software-Defined Perimeter

SOFTWARE-DEFINED PERIMETER
BEYONDCORP
Authentification
Envoi du SPA
Connexion depuis l’Access Proxy + RADIUS ou SSO
Autorisation
Règles du SDP Controller
Décision de l’Access Control Engine
Présence d’un agent
Oui
Non
Protocoles supportés
TCP/UDP
WEB et SSH
Exposition des ressources
Ports fermés(default-drop)
Derrière l’Identity Aware Proxy

Une solution ZTNA

Une solution ZTNA suit les principes du modèle Zero Trust en ayant les fonctionnalités suivantes :

  • Authentification multi-facteurs de l’utilisateur
  • Vérification de conformité du terminal utilisé : PC, tablette, smartphone
  • Interconnexions avec les fournisseurs d’identité et les solutions EDR
  • Application de politiques d’accès selon le contexte
  • Protection des services utilisant TCP et UDP
  • Interconnexions avec les solutions SIEM pour l’envoi des logs

Deux approches sont adoptées par les éditeurs pour leurs solutions ZTNA. Ces approches identifiées par le Gartner, s’inspirent des modèles d’architecture Zero Trust de 2014 .

L’approche Service-Initiated ZTNA

Cette approche s’inspire du modèle BeyondCorp de Google. L’utilisateur s’authentifie depuis son navigateur web au portail hébergé sur le ZTNA Broker/Proxy. Après authentification et vérification, les ZTNA Connectors autorisés sont accessibles pour l’utilisateur.

L’avantage de ce modèle est de ne pas avoir besoin d’agent pour qu’un service soit accessible à un utilisateur. Le fait de ne pas avoir d’agent apporte aussi moins d’informations sur la conformité du terminal. Certaines ressources sont protégées par ce modèle comme les ressources Web, les accès en SSH et en RDP mais la prise en charge d’autres services est rare.

Service-Initiated ZTNA, Market Guide for Zero Trust Network Access, Gartner (2020)

Le type Endpoint-Initiated ZTNA

Ce modèle s’inspire du Software-Defined Perimeter où le ZTNA Controller correspond au SDP Controller. Dans un premier temps, l’utilisateur va s’authentifier auprès du ZTNA Controller qui va vérifier son identité et celle du terminal utilisé. Le ZTNA Controller renvoie ensuite la liste des applications auxquelles l’utilisateur est autorisé à accéder. Il prévient ensuite la ZTNA Gateway que cette paire utilisateur-terminal est autorisée à accéder à la ressource.

Les avantages du modèle sont similaires à ceux du Software-Defined Perimeter et présentent aussi les mêmes inconvénients. La nécessité d’avoir un agent bloque les terminaux non gérés par l’entreprise. Ce modèle propose néanmoins un niveau de vérification précis en s’appuyant sur des données récupérées par l’agent. Toutes les applications utilisant TCP ou UDP peuvent être protégées et sont accessibles.

Endpoint-Initiated ZTNA, Market Guide for Zero Trust Network Access, Gartner (2020)

Que ce soit une ZTNA Gateway ou un ZTNA Connector, le composant est déployé au plus près des ressources et n’accepte pas les flux entrants. Les ressources ne sont jamais exposées directement sur Internet.

Dans ce second article, nous avons vu que le Software-Defined Perimeter est une solution ZTNA mais qu’une solution ZTNA n’était pas forcément une solution SDP. Le ZTNA a deux approches correspondant aux deux modèles d’architecture Zero Trust. Nous avons aussi défini les caractéristiques d’une solution ZTNA. Dans le prochain et dernier article sur le ZTNA, nous allons voir dans quelles mesures le ZTNA peut remplacer les solutions VPN SSL historiques.

Jérémy LANOË

Consultant Infrastructure Security

Voir les derniers Cybersecurity Insights

26 mai 2023
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
4 mai 2023
Après quelques rappels de la Directive NIS 1, l'article présentera les évolutions attendues avec l'adoption de la Directive NIS 2 et sa date d'entrée en vigueur.
4 mai 2023
Cet article a pour objet de présenter les enjeux liés à la protection des données personnelles auxquels les régies publicitaires sont confrontées, et de présenter un processus de mise en conformité pour répondre à ces enjeux.
3 mai 2023
L'objet de cette fiche vise à vous aider à réaliser la transition vers un outil de mesure d'audience conforme au RGPD.
28 avril 2023
Le terme APT, Advanced Persistant Threat, désigne un type d’attaque perpétré par des groupes professionnels, opérant dans des structures banalisées, pilotées et financées par des États.
24 avril 2023
Cet article vise à présenter l’état du droit actuel de l’encadrement de l’intelligence artificielle par l’IA ACT. Comment les droits et les libertés des personnes physiques sont-ils garantis ?
18 avril 2023
Alors que la loi d’orientation et de programmation du ministère de l’Intérieur (ou LOPMI), a été adoptée le 24 janvier 2023, les débats parlementaires qui l’ont animée ont fortement relancé la question de l’assurabilité des rançongiciels, mais aussi de leurs paiements toujours plus nombreux en France.
14 avril 2023
Les applications de l’intelligence Artificielle ne cessent de se multiplier, il est aujourd’hui de plus en plus difficile d’y échapper au quotidien. C’est également vrai pour les entreprises qui pour éviter de se laisser dépasser doivent apprendre à définir leur propre cadre éthique et pour cela il est important d’avoir les bons réflexes.
11 avril 2023
Chaque personne et chaque organisation doit se préparer à surmonter et à réagir aux incidents de cybersécurité. retrouvez les fiches pratiques à télécharger.
10 avril 2023
Dans un arrêt du 8 mars 2023 (21-12.492), la chambre sociale de la Cour de cassation a fait primer le droit à la preuve sur le droit à la protection des données à caractère personnel, dans le cadre d’un litige prud’homal.