Soumettre l’hôte malveillant au Zero Trust

« Que se passe-t-il si un hôte malveillant est installé dans mon environnement de cloud public, que ce soit par accident ou par un hacker malveillant ? Et ensuite, que se passe-t-il si cet hôte malveillant est utilisé comme rampe de lancement pour infliger davantage de dégâts à mon environnement ou pour voler des données ? »

Plusieurs clients ont décrit ce même scénario impliquant des machines virtuelles (VM) non autorisées ou des instances malveillantes, dont la probabilité a été renforcée par les capacités de provisionnement automatisées et simplifiées offertes par les fournisseurs de services de cloud public. Un développeur peut instancier involontairement un hôte qui n’est pas correctement configuré ou sécurisé et cet hôte peut être récupéré par un acteur malveillant. Ou bien l’acteur, s’il dispose des bons privilèges, pourrait mettre en place un hôte malveillant. Une bonne approche de la sécurité doit protéger l’environnement, quelle qu’en soit la nature. Poursuivez votre lecture pour découvrir comment une approche Zero Trust peut réduire les risques.

Une approche multicouche est essentielle pour sécuriser l’environnement. L’approche doit répondre aux exigences suivantes :

1. Éliminer la surface d’attaque externe. Les applications exposées à Internet présentent une surface d’attaque. Les applications ne doivent pas pouvoir être découvertes.
2. Empêcher la compromission initiale. Pour lancer une attaque, les hackers doivent pouvoir prendre pied dans l’environnement. Les techniques d’attaque peuvent inclure le phishing, l’exploitation de vulnérabilités de type « zero day » ou d’autres moyens d’accès non autorisé. Les appareils et l’accès des utilisateurs finaux doivent être sécurisés.
3. Arrêter le déplacement latéral des menaces. Après s’être introduits sur le réseau, les hackers se déplacent latéralement vers leurs cibles finales. Il est primordial d’empêcher la propagation des menaces sur le réseau pour limiter les préjudices. Dans ce cas, il est essentiel d’adopter une approche Zero Trust pour sécuriser les communications.
4. Empêcher l’exfiltration des données. La sécurisation des communications des charges de travail sortantes des environnements cloud et des data centers constitue une étape finale critique. Les communications externes doivent être autorisées et inspectées pour éviter la perte de données.

Les lecteurs perspicaces reconnaîtront dans les étapes ci-dessus une version simplifiée d’une chaîne de frappe. La rupture de n’importe quel maillon de la chaîne peut arrêter une attaque, mais la mise en place de contrôles à chaque étape permet de réduire au maximum les risques. La suite de ce blog se concentre sur la troisième approche : la prévention des déplacements latéraux.

Arrêter le déplacement latéral des menaces avec le Zero Trust

Le terme « Zero Trust » est à présent largement utilisé et risque de perdre de sa valeur. Affiner le terme sous la forme « mise en réseau Zero Trust » est utile et réalisable. En termes simples, avec une mise en réseau Zero Trust, nous supposons que le réseau est hostile et peu fiable ; et sur ce réseau non fiable, l’identité de toute entité communicante (par exemple des applications ou des charges de travail) doit être vérifiée et chaque flux de communication doit être autorisé. De plus, les politiques doivent être automatisées pour garantir l’absence de failles dans la couverture, en particulier dans les environnements dynamiques. La question est la suivante : quel est le rapport entre le Zero Trust et la neutralisation des déplacements latéraux et des hôtes malveillants ?

Si un hacker instancie un hôte malveillant ou même compromet un hôte légitime, il ne s’agit que de la deuxième étape de la compromission initiale dans la chaîne de frappe de l’attaque décrite précédemment. Pour causer des dommages plus importants, les hackers doivent se connecter à d’autres systèmes, puis se déplacer latéralement sur le réseau vers les actifs les plus précieux de l’environnement. Pour ce faire, ils installent des malwares susceptibles de se propager dans l’environnement ou exploitent des outils d’administration à double usage tels que PowerShell pour se propager sur le réseau, qui est souvent plat, c’est-à-dire non segmenté.

Les approches traditionnelles destinées à arrêter les déplacements latéraux impliquent l’utilisation de pare-feu pour segmenter les environnements. Les hackers peuvent toutefois s’appuyer sur les règles de pare-feu approuvées. Les pare-feu qui inspectent les adresses IP, les ports et les protocoles n’ont aucune connaissance du logiciel qui se cache derrière l’adresse. S’agit-il d’un bon ou d’un mauvais logiciel ? C’est pourquoi nous devons appliquer les concepts de mise en réseau Zero Trust ; aller au-delà des approches de sécurité basées sur l’adresse des pare-feu et plutôt vérifier l’identité du logiciel et de l’hôte qui communiquent.

Dans un réseau Zero Trust, même si un hôte malveillant est instancié, il n’a pas la possibilité de communiquer avec quoi que ce soit d’autre dans l’environnement, que la communication ait lieu au sein d’un VPC ou entre des VPC. Si un hôte malveillant tente de communiquer, tous les autres hôtes refuseront la connexion car elle ne respecte pas la politique. L’identité de l’hôte et du logiciel doit être vérifiée ; il ne suffit pas que l’hôte malveillant se trouve sur le même réseau ou utilise des ports ou des protocoles approuvés. La mise en réseau Zero Trust permet un contrôle encore plus précis. Si un hôte a été compromis, tous les logiciels vérifiés sur l’hôte compromis seront toujours autorisés à communiquer, tandis que le malware n’y sera pas autorisé. Cette approche garantit la continuité des activités de manière sécurisée, même en cas de compromission. Bien entendu, l’administrateur doit être alerté des tentatives de communications suspectes ou malveillantes. Un environnement Zero Trust, avec un accès basé sur le moindre privilège, constitue un endroit isolé pour un hôte malveillant.

Pour découvrir comment Zscaler peut aider à sécuriser les communications des charges de travail et à segmenter les environnements cloud et de data center, nous vous invitons à consulter notre solution sécurisée de connectivité cloud et vous inscrire à notre webinaire : Pourquoi les entreprises ont besoin d’une nouvelle approche pour sécuriser les charges de travail cloud.