Le décret présidentiel de Joe Biden sur la cybersécurité est on ne peut plus clair… Une architecture « Zero Trust » et une infrastructure modernisée sont indispensables pour protéger les données nationales face à un paysage de menaces qui ne cesse de s’étendre. Nous avons pu constater de nos propres yeux les effets dévastateurs d’une attaque par ransomware qui a perturbé la distribution d’essence, provoquant des pénuries et une hausse des prix à travers les États-Unis. Il s’agit d’un problème mondial dont l’ampleur, statistiquement, ne cesse de croître mois après mois depuis l’année dernière. https://www.blackfog.com/the-state-of-ransomware-in-2021/
Dans cet article de blog, je vais vous expliquer pourquoi le « Zero Trust » est important, en quoi il consiste et comment renforcer votre infrastructure en adoptant les principes du « Zero Trust » à l’aide de Commvault et Metallic.
Qu’est-ce que le « Zero Trust » ?
Le « Zero Trust » n’est ni une technologie ni une fonctionnalité en soi. Il s’agit d’un ensemble de principes de conception destinés aux infrastructures informatiques, qui impose une approche de l’accès aux données fondée sur le principe « ne faire confiance à personne ; toujours vérifier la légitimité ».
Pour bien comprendre le concept d’architecture « Zero Trust », on peut s’inspirer de la sécurité d’une maison. Tout autour de votre maison, vous disposez de caméras, de serrures, de détecteurs de fenêtre et d’une clôture. En principe, tous vos biens sont en sécurité à l’intérieur de ce périmètre. Cependant, si vous recevez des amis ou des connaissances pour prendre un café, vous leur autorisez l’accès à votre domicile ; à ce moment-là, vos effets personnels sont à leur portée et exposés au risque de vol.
L’exemple ci-dessus illustre parfaitement une approche traditionnelle de la sécurité, dans laquelle les pare-feu assurent la sécurité périmétrique (en empêchant les pirates d’entrer) et les autorisations des utilisateurs contrôlent les accès. Une fois qu’un pirate parvient à s’introduire et à mettre la main sur des identifiants privilégiés (ce qui arrive souvent), il évolue généralement sans encombre dans l’environnement, causant des dégâts au fur et à mesure de ses déplacements latéraux.
Avec une approche « Zero Trust », les accès privilégiés sont constamment remis en question, ce qui limite la capacité des acteurs malveillants à se déplacer et à agir efficacement. Pour reprendre l’exemple de la maison, ce n’est pas parce que je suis autorisé à entrer dans la maison que je peux pour autant me déplacer librement : les coffres-forts à combinaison, les serrures des portes intérieures et les caméras de surveillance offrent plusieurs niveaux de contrôle et de validation. Ainsi, même si j’ai le droit d’entrer dans la maison, je dois continuer à prouver mon identité en fournissant la combinaison du coffre-fort ou les clés des portes des chambres si je souhaite me déplacer à l’intérieur de la maison.
Principes clés du modèle « Zero Trust »
La norme SP 800-207 de l’Institut national des normes et des technologies (NIST) constitue le guide de référence incontournable en matière d’architecture « Zero Trust » (ZTA). Bon nombre des principes énoncés dans la publication du NIST ont été mis en œuvre sous forme de fonctionnalités et de bonnes pratiques, permettant ainsi le déploiement complet de la plateforme Commvault dans une architecture « Zero Trust ». De plus, Metallic™ Data Management as a Service (DMaaS) est entièrement conçu dans le cloud en s’appuyant dès le départ sur les principes du « Zero Trust ». Parmi les principes clés énoncés par le NIST figurent l’accès avec le moindre privilège, l’authentification multifactorielle et la microsegmentation. Approfondissons ce sujet.
Accès selon le principe du privilège minimal – NIST SP 800-207, section 2.1
Le principe du « droit d’accès minimal » consiste à n’accorder aux utilisateurs et/ou aux comptes que les capacités strictement nécessaires à l’exercice de leurs fonctions, sans plus. Cela permet de minimiser les risques en cas de compromission d’un compte, tout en limitant les fuites d’accès aux données. Commvault peut verrouiller les données de sauvegarde à l’aide de contrôles d’accès basés sur les rôles et de verrous spéciaux de confidentialité des données. Il est facile de limiter les utilisateurs à des fonctionnalités spécifiques, telles que la restauration ou la consultation uniquement. Vous pouvez en outre restreindre l’accès à la navigation et à la restauration aux seuls propriétaires des données, ces droits prévalant uniquement sur les droits d’administration globaux. Une intégration supplémentaire avec des plateformes de gestion des accès privilégiés (PAM) telles que CyberArk® renforce encore davantage la sécurité grâce à une gestion des comptes basée sur des politiques, à la rotation des identifiants et à la gestion des sessions privilégiées.
Authentification multifactorielle – NIST SP 800-207, section 2.1
L’authentification multifactorielle (MFA) est un autre concept clé du modèle « Zero Trust ». La confiance devant être validée en permanence, la MFA ajoute une couche de validation supplémentaire à chaque demande d’authentification, ce qui complique la tâche des acteurs malveillants cherchant à accéder aux données. Commvault et Metallic BaaS prennent en charge les implémentations modernes de la MFA grâce à leur infrastructure d’authentification basée sur SAML. À l’aide d’Azure AD, d’ADFS, d’Okta ou d’autres fournisseurs d’identité (IDP), Commvault permet à ses clients de déployer des outils d’authentification multifactorielle par code PIN et des outils d’authentification matérielle afin de contrôler l’accès aux données de sauvegarde.
Les déploiements sur site utilisant Active Directory (AD) ou des comptes locaux intègrent l’authentification à deux facteurs (2FA), ce qui permet aux organisations d’utiliser n’importe quelle application de génération de codes à usage unique basée sur l’algorithme TOTP (Time-based One-Time Password) défini dans la spécification RFC 6238, telle que Google Authenticator, Microsoft Authentication ou bien d’autres encore.
Selon les directives du NIST relatives à l’identité numérique (NIST 800-63), auxquelles fait référence leur publication sur la ZTA, les technologies d’authentification matérielles offrent l’une des normes les plus élevées en matière d’authentification multifactorielle (MFA), avec un niveau d’assurance de l’authentificateur (Authenticator Assurance Level) de 3. Cela inclut les technologies d’authentification multifactorielle (MFA) utilisant des spécifications modernes telles que FIDO/FIDO2. Commvault est entièrement intégré aux dispositifs d’authentification multifactorielle (MFA) FIDO/FIDO2, tels que ceux proposés par Yubico via sa YubiKey, ainsi qu’aux cartes d’accès communes (Common Access Cards) basées sur l’infrastructure à clé publique (PKI). Cela optimise pleinement le niveau de protection contre les tentatives d’authentification non autorisées et garantit la pérennité de votre environnement de protection des données.
Une fois l’authentification effectuée dans l’interface d’administration, le cadre d’autorisation des commandes valide les actions effectuées au sein de cette interface. Quel que soit le rôle de l’utilisateur, toute demande de suppression, de restauration ou de configuration nécessite l’autorisation d’une instance décisionnaire. Ce dispositif offre une protection contre les menaces internes, qu’elles soient malveillantes ou accidentelles, et préserve les données contre toute action destructrice.
Microsegmentation – NIST SP 800-207, section 3.1.2
La microsegmentation est un autre principe clé du modèle « Zero Trust ». Elle consiste à séparer les ressources tant sur le plan logique que physique afin de rendre l’accès très restrictif et contrôlé.
Les installations sur site peuvent recourir à des techniques de segmentation du réseau pour isoler les cibles de stockage et les placer en « air gap » au sein du réseau. Une fois l’architecture réseau segmentée, appliquez les topologies réseau Commvault pour bloquer les connexions entrantes vers la cible de stockage et automatisez les politiques d’accès par liste blanche, en n’autorisant que les connexions sortantes authentifiées afin d’extraire les données vers le coffre-fort de données sécurisé. Bon nombre de nos clients choisissent également de segmenter les données dans le cloud, en tirant parti des contrôles de stockage WORM proposés par le fournisseur de services cloud.
Le service de stockage dans le cloud Metallic (MCSS) propose une approche « air gap » encore plus simple, ne nécessitant aucune modification de l’infrastructure. MCSS est une solution de stockage dans le cloud gérée par Metallic, offrant des capacités de protection des données hors site et sécurisées par « air gap » pour la plateforme Commvault. Les données protégées dans MCSS sont immuables et ne peuvent être ni consultées ni exposées sur le compte cloud en arrière-plan. Les données sont protégées dans l’environnement de Metallic, conçu selon une architecture « zero trust ». Cela offre un moyen simple de segmenter et de séparer les données d’un environnement sur site.
Outre la segmentation physique, la gestion des données peut également faire l’objet d’une segmentation logique. Grâce à des contrôles multi-locataires, l’accès aux données est segmenté et compartimenté, ce qui réduit les risques d’exposition des données.
La gestion des clés de chiffrement peut également être répartie entre plusieurs systèmes KMS, tels qu’AWS Key Management Service, Azure KeyVault, ainsi que l’un des nombreux fournisseurs KMIP certifiés, ce qui offre un niveau de protection accru contre l’accès aux données.
Architecture DMaaS de Metallic
Pour une plateforme gérée entièrement basée sur le modèle « zero trust », ne cherchez pas plus loin que Metallic. Metallic est une plateforme SaaS multi-locataires dotée d’une ségrégation intégrée entre les locataires. Les données des clients sont totalement isolées et stockées dans des emplacements distincts, créant ainsi une barrière virtuelle entre les environnements sources et les copies de sauvegarde des données. Une sécurité renforcée et des contrôles d’accès « zero trust », comprenant notamment l’authentification multifactorielle, l’accès basé sur les rôles, le chiffrement avancé des données et les verrous de confidentialité, empêchent tout accès non autorisé aux données ainsi que leur propagation latérale. Metallic répond également aux normes de sécurité les plus strictes du secteur et garantit la conformité aux normes HIPAA, ISO 27001, RGPD et SOC 2. Il s’agit en outre de la seule solution SaaS de protection des données à avoir obtenu la certification FedRAMP « High In Process – In PMO Review ».
Conclusion
Comme vous pouvez le constater, que vous déployiez une solution Commvault sur site, que vous utilisiez Metallic DMaaS ou que vous optiez pour une combinaison de ces différentes options, la plateforme Commvault est sécurisée selon les principes de l’architecture « Zero Trust ».
Pour en savoir plus, participez au prochain webinaire de Commvault intitulé « Going beyond Zero Trust », qui aura lieu le 23 mars.
