Confiance Zéro: Nouvelle ? Frontière ? Pour La Sécurité Du Réseau

Dans les dix tendances en matière de sécurité de l'Internet industriel (2021) publiées récemment, le ? cadre de confiance zéro entre dans la période de déploiement des applications au sol ? a été classé comme l'une des dix tendances à l'avenir.Le rapport souligne que, parallèlement à l'évolution de la protection des réseaux de la notion traditionnelle de sécurité frontalière à la notion de confiance zéro, la confiance zéro deviendra l'architecture principale de l'ère de la sécurité numérique.

Ce qu'on appelle la ? confiance zéro ? est en fait un concept de sécurité proposé par les analystes de Forrester en 2010. Son idée de base est que, par défaut, personne, appareil ou système à l'intérieur et à l'extérieur du réseau ne doit faire confiance, et la base de confiance du contr?le d'accès doit être reconstruite en fonction de l'authentification et de l'autorisation.

En termes simples, la stratégie de ? confiance zéro ? consiste à ne faire confiance à personne.Le modèle traditionnel actuel d'authentification de l'accès n'a besoin que de conna?tre l'adresse IP ou l'information de l'h?te, mais dans le modèle de ? confiance zéro ?, des informations plus claires sont nécessaires. Les demandes qui ne connaissent pas l'identité de l'utilisateur ou la voie d'autorisation sont rejetées.

Bien que la sécurité de confiance zéro ait été proposée depuis longtemps, ce n'est qu'au cours des deux dernières années qu'elle a vu le jour dans le domaine de la sécurité des réseaux nationaux.En 2019, dans les lignes directrices sur la promotion du développement de l'industrie de la sécurité des réseaux (projet d'avis) publiées par le Ministère de l'industrie et des technologies de l'information, la sécurité de la confiance zéro a été incluse pour la première fois dans les technologies clés nécessitant une percée en matière de sécurité des réseaux; le livre blanc sur l'industrie de la sécurité des réseaux en Chine (2019) publié par l'Institut chinois de recherche sur l'information et les communications a également inclus pour la première fois la sécurité de la confiance zéro, la sécurité 5G et la sécurité en nuage comme sécurité des réseaux enTechnologie de segmentation complète.

En ce qui concerne le sujet de la ? sécurité de confiance zéro ?, les journalistes du 21e siècle ont interviewé de nombreux experts de l'industrie, qui ont tous déclaré que la sécurité de confiance zéro met l'accent sur la confiance éternelle et la vérification constante, est un concept de sécurité subversif, qui est devenu une tendance très s?re dans le domaine de la sécurité des réseaux. à l'avenir, de plus en plus d'entreprises adopteront progressivement le cadre de sécurité de confiance zéro.Construction.

Architecture de sécurité à l'ère du cloud

En juin 2020, sous la direction du Comité spécial des normes de l'Alliance chinoise pour le développement de l'Internet industriel, Tencent a créé conjointement le premier ? Groupe de travail sur les normes industrielles de confiance zéro ? en Chine, en collaboration avec 16 institutions et entreprises, dont le Centre national d'urgence Internet, l'Institut de conception du Groupe de communications mobiles de Chine et le troisième Institut de recherche du Ministère de la sécurité publique, afin de promouvoir l'exploration de la demande industrielle de confiance zéro, la recherche et le développement technologiques, la recherche et le développement de normes techniques.Promouvoir l'application, etc.

Cheng Wenjie, Directeur général de Tencent Security, a déclaré au rapport économique du 21ème siècle que Tencent avait introduit la sécurité de confiance zéro dans l'intranet de Tencent dès 2016. Le système de gestion de la sécurité de confiance zéro IOA de Tencent auto - recherche a été vérifié par la pratique de plus de 60 000 employés et 100 000 terminaux de bureau de service de Tencent.

De l'avis de Cheng Wenjie, la sécurité zéro confiance a été très populaire au cours des deux dernières années parce qu'avec les entreprises en nuage, les frontières traditionnelles du réseau disparaissent progressivement, en particulier en cas d'épidémie soudaine, ce qui oblige presque toutes les entreprises à travailler à distance. Par conséquent, dans le passé, De nombreuses entreprises peuvent encore avoir des préoccupations au sujet de la sécurité zéro confiance, mais lorsque les risques augmentent progressivement, elles commencent également à choisir d'accepterZero Trust security architecture.

Selon une étude publiée en 2020 par Guoxin Securities, l'essor du cloud et de l'Internet mobile a entra?né l'effondrement progressif des défenses frontalières traditionnelles.C'est parce que la philosophie traditionnelle de la sécurité prend l'isolement des frontières comme concept de base, à travers le pare - feu, IPS et d'autres équipements, construire largement "mur" pour protéger l'Intranet, par défaut l'intérieur est s?r et fiable.

Avec l'essor des applications en nuage, certaines des applications ? à l'intérieur de l'enceinte ? de l'entreprise d'origine ont été transférées dans le nuage. Parallèlement, avec la popularité du Bureau mobile, les employés qui travaillaient à l'intérieur de l'entreprise d'origine sont progressivement passés à l'extérieur de l'enceinte.Après la rupture de la sécurité des frontières, les pirates informatiques peuvent pénétrer dans l'équipement interne de l'entreprise par de nombreux moyens, de sorte qu'en construisant des murs à la frontière, ils deviennent de plus en plus impuissants, et de nouvelles méthodes de protection sont nécessaires d'urgence à l'ère sans frontières.

Dans une interview avec le 21ème siècle Economic Report, Wei xiaoqiang, Vice - Président de 360 Cloud Security Research Institute, a expliqué la différence entre la sécurité de confiance zéro et la sécurité traditionnelle en utilisant une métaphore d'image. Il a dit que le système de défense de sécurité précédemment fait avait des limites, le pare - feu est comme une rivière de protection de chateau, et tout le monde dehors veut entrer dans le chateau, doit passer l'inspection de porte, mais après l'entrée, il yaIl est par défaut fiable et peut se déplacer librement à l'intérieur du chateau.

? ce système a fonctionné dans le passé, mais il est devenu très complexe maintenant que les employés de l'entreprise peuvent travailler n'importe où, comme un a éroport, un cybercafé, etc.Wei Xiaoqiang a déclaré que, dans le cadre de la sécurité de confiance zéro, ni les gens à l'extérieur du Chateau ni ceux à l'intérieur du Chateau ne sont fiables et que leurs besoins en matière d'accès doivent être vérifiés.

En ce qui concerne le plus grand défi actuel en matière de sécurité des applications, 62% des répondants ont indiqué qu'ils assuraient la sécurité de l'accès aux applications privées réparties dans les centres de données et les environnements en nuage, selon le rapport 2019 Zero Trust Security Market popularisation Industry Report publié par cybersecurity Insiders et zscaler.

Et c'est le problème clé de la confiance zéro.Le rapport indique également que 78% des équipes de sécurité des TI veulent maintenant un accès au réseau de confiance zéro à l'avenir et que 15% d'entre elles ont déjà mis en oeuvre la confiance zéro.

L'identité comme pierre angulaire

En fait, au cours de la dernière décennie, le concept de sécurité sans confiance a évolué.Au début, le concept était axé sur le contr?le d'accès à grain fin du réseau par micro - isolement afin de limiter les mouvements latéraux des attaquants, puis sur la formation d'une architecture centrée sur l'identité, a déclaré LV shizhou, Vice - Président de netizu Technology, au 21ème siècle Economic Report.

Selon LV shizhou, la sécurité de confiance zéro a trois caractéristiques de sécurité principales: premièrement, ? le réseau est furtif, le rejet par défaut ?. Le système d'application d'affaires d'entreprise ferme tous les ports par défaut, refuse tout accès interne et externe, n'ouvre dynamiquement que les ports IP des clients légitimes, peut directement éviter tout balayage et attaque illégaux.

Deuxièmement, ? vérification continue, autorisation sur demande ?.Zero Trust Security validera continuellement le comportement d'accès des utilisateurs d'accès légal et ajustera dynamiquement et à la demande les droits d'accès des utilisateurs.

Enfin, ? micro - isolement, minimisation de l'autorisation d'accès ?.La sécurité de confiance zéro suit le principe de l'autorisation minimale et de la micro - isolement, réduit efficacement la surface d'attaque de l'attaque horizontale et évite l'infection d'attaque dans la plus grande mesure.

à cet égard, Wei Xiaoqiang a également déclaré que la sécurité de confiance zéro consiste en fait à retirer la sécurité du réseau, à ne plus dépendre du réseau, mais à construire une architecture centrée sur l'identité.Il a ajouté que ? toute sécurité n'est pas parfaite et que les vulnérabilités ne seront jamais complètement éliminées, mais la confiance zéro suit le principe de l'autorisation minimale, qui limite l'accès minimal, de sorte que même si le système de défense de sécurité de confiance zéro est brisé, ses pertes seront réduites au minimum, plut?t qu'une fois que le réseau de sécurité traditionnel sera brisé, il pourrait être un nid d'extrémités ?.

Bien s?r, comme l'a dit Wei xiaoqiang, la sécurité de confiance zéro n'est pas parfaite, elle a aussi quelques inconvénients.? par exemple, l'authentification et l'autorisation de la sécurité de confiance zéro sont séparées, et l'authentification est un processus décisionnel qui peut s'effondrer si le processus décisionnel est attaqué.Dit Wei Xiaoqiang.

Selon Cheng Wenjie, les inconvénients de la sécurité de confiance Zéro comprennent l'augmentation des co?ts et l'impact de la reconstruction de l'architecture de sécurité sur certaines habitudes d'utilisation des utilisateurs.? par exemple, certaines applications financières sont maintenant utilisées pour vérifier les empreintes digitales chaque fois qu'elles sont ouvertes. Tout le monde est habitué à cela, mais si toutes les applications doivent être vérifiées strictement, cela affectera grandement l'acceptation des utilisateurs.Il est donc recommandé que les entreprises suivent les meilleures pratiques lors de l'importation de la sécurité de confiance zéro, procèdent à une évaluation complète et à un jugement plus intelligent de chaque accès et comportement des utilisateurs, et évitent autant que possible d'affecter l'expérience d'accès des utilisateurs tout en réduisant les risques pour la sécurité.

Mais dans l'ensemble, les avantages de la sécurité sans confiance l'emportent sur les inconvénients.Selon Cheng Wenjie, de la pratique actuelle de Tencent en matière de sécurité et de la rétroaction des clients, la sécurité de confiance zéro peut grandement améliorer la capacité des entreprises à résister aux risques de sécurité dans le processus de transformation numérique, et le nombre d'incidents de sécurité a également diminué de fa?on exponentielle.

M. Lu a déclaré aux journalistes que l'architecture informatique de l'entreprise était en train de passer d'une ? frontière ? à une ? frontière ?.Sur la base d’une large couverture, le réseau de sécurité de confiance zéro peut mieux répondre à la demande d’accès à la sécurité n’importe quand, n’importe où, et remplacer le VPN traditionnel par le mode de mise en réseau, ce qui simplifie le déploiement des TI de l’entreprise et s’adapte mieux à la demande d’accès à la sécurité de l’entreprise causée par la diversification des modes de bureau à l’avenir.

à l’échelle mondiale, les entreprises Internet sont actuellement les plus actives dans l’introduction de la sécurité de confiance zéro. En plus du cas de Tencent mentionné ci - dessus, Google a également mis en ?uvre l’architecture Beyond Corp pour l’accès sécurisé aux applications internes, qui permet aux employés d’accéder aux applications de l’entreprise n’importe quand, n’importe où et n’a plus besoin de VPN.

Mais il faut souligner que, bien que la sécurité de confiance zéro soit la tendance future de la sécurité des réseaux, elle est plus comme un objectif ultime.? il n'est pas non plus réaliste que toutes les entreprises abandonnent l'architecture de sécurité traditionnelle et la remplacent par un système de sécurité à confiance zéro, y compris au sein d'une même entreprise, et que différentes entreprises s'adaptent différemment à la sécurité à confiance zéro, de sorte que la sécurité à confiance zéro et la sécurité traditionnelle coexisteront pendant longtemps à l'avenir.Dit Wei Xiaoqiang.

?