Pour les entreprises d’aujourd’hui, adopter une stratégie Zero Trust devient de plus en plus capital. D’après un rapport de Gartner d’avril 2024, 63 % des entreprises l’ont totalement ou partiellement implémenté en interne. Une stratégie Zero Trust repose sur une totale absence de confiance envers toutes les entités, qu’elles soient internes ou externes au réseau, humaines ou machines. Elle devient de plus en plus nécessaire à mesure que les services cloud, le travail à distance, et l’accès mobile étendent le périmètre traditionnel du réseau, car, tel un accroc qui gâche un vêtement, négliger la sécurité des identités machines génère des risques importants pour celle-ci et pour la protection qu’elle fournit aux entreprises des acteurs cherchant à lui nuire.
Néanmoins, les équipes de sécurité rencontrent encore des difficultés à gérer correctement les identités machines. En effet, elles appliquent les principes du Zero Trust aux identités humaines, mais ne se montrent pas aussi rigoureuses avec les machines, offrant aux acteurs malveillants un point d’entrée vers les données sensibles de leurs entreprises, un problème qui s’amplifie avec le temps.
L’omniprésence des identités machines face aux identités humaines
Une identité machine est un identifiant unique qui distingue le code logiciel, les applications, les machines virtuelles ou même les appareils IoT physiques des autres sur un réseau. Elle est utilisée pour authentifier et autoriser les machines à accéder aux ressources et aux services, à travers des secrets, des clés API, des clés d’accès au cloud, des certificats numériques et d’autres identifiants leur permettant de communiquer de façon sécurisée avec d’autres systèmes.
Aujourd’hui, la transformation numérique des entreprises s’accélère de jour en jour, et le nombre de machines augmente en conséquence – applications, conteneurs, scripts d’automatisation, machines virtuelles, Lambda et autres fonctions informatiques. D’après nos recherches, les identités machines sont 45 fois plus nombreuses que les identités humaines, et ce déséquilibre important laisse supposer que ces dernières détiennent un accès beaucoup plus important aux données sensibles que les premières. Or, sans application stricte de politiques de sécurité et fonctionnement efficace de l’automatisation des process, les identités machines et les secrets qu’elles protègent deviennent de plus en plus une cible pour les attaquants.
Une multiplication des identités machines et des secrets
Aujourd’hui, la plupart des entreprises utilisent des applications SaaS (Software as a Service) pour effectuer leurs missions, en stockant des données dans un ou plusieurs serveurs cloud et même en développant des applications logicielles pour répondre aux besoins de leurs clients. Les entreprises anticipent une forte augmentation du nombre d’applications SaaS déployées dans leur secteur d’activité, et une large majorité d’entre elles utiliseront trois fournisseurs de services cloud dans le futur. Cette transformation numérique continue entraîne la multiplication des machines virtuelles dans les réseaux et, de fait, la croissance parallèle de la quantité de secrets nécessaire à la sécurisation de l’accès aux ressources informatiques. Cette croissance devient telle que les acteurs humains ne peuvent plus suivre manuellement le nombre, l’objectif et l’emplacement des machines virtuelles et des secrets leur étant affectés. Cela explique pourquoi une majorité des entreprises ont pris des mesures pour protéger les identités machines au cours de l’année dernière ou prévoient de le faire sur l’année à venir.
En raison de la nature dynamique des environnements hybrides et multi-cloud, ainsi que des pratiques DevOps, les organisations doivent œuvrer pour la rotation automatique des secrets et l’émission, le renouvellement et la suppression des identités machines. Les processus manuels entraînent parfois des erreurs et ne peuvent suivre le rythme de changement des environnements informatiques modernes. Pour que les entreprises puissent protéger leurs ressources numériques dans leur ensemble, appliquer une stratégie Zero Trust forte semble nécessaire, avec un plan de sécurisation et de gestion des identités machines et de leurs secrets.
La gestion des identités machines, pilier de la stratégie Zero Trust
En élaborant leur feuille de route Zero Trust, les entreprises doivent s’assurer que les identités machines et la gestion des secrets figurent spécifiquement dans leurs politiques et leurs procédures liées à la gouvernance des identités. Ces deux parties représentent des composants essentiels d’une stratégie de sécurité Zero Trust, car elles fournissent un moyen d’authentification et de communication sécurisée entre les machines d’un réseau. En agissant ainsi, les entreprises disposent d’un moyen de s’assurer que seules les machines de confiance peuvent communiquer sur le réseau et que les tentatives d’accès non autorisé sont détectées et empêchées.
Les politiques de gestion des identités machines permettent de superviser la création, le renouvellement et la suppression de celles-ci. Additionnellement, les organisations doivent conduire des audits et contrôles réguliers afin d’identifier toute activité inhabituelle ou non autorisée.
En élaborant ses pratiques en matière d’identité numérique, les entreprises doivent se fixer quatre objectifs : fournir une visibilité accrue à leurs équipes, renforcer leur sécurité, réduire les risques liés à la transformation numérique, et améliorer l’efficacité de leurs opérations. Une politique exhaustive de gestion des secrets et des identités machines permet d’alléger et d’améliorer l’efficacité de leur sécurisation, ainsi que de surveiller et de suivre les secrets gérés et non gérés, ainsi que l’activité des machines. De plus, utiliser des fonctionnalités telles que la rotation centralisée des secrets aide à éviter les problèmes liés à des secrets aux chiffrements complexes et permettent aux entreprises d’auditer quelles applications et quelles machines utilisent chaque secret.
La visibilité ainsi fournie assure la capacité des entreprises à fournir des certificats à travers tous les domaines de l’infrastructure IT, y compris les environnements hybrides et multi-cloud. La volatilité de ceux-ci et des opérations DevOps nécessite également une gestion centralisée flexible pour les secrets et les identités machines. Par exemple, l’intégration automatique de la sécurité des identités dans les pipelines CI/CD garantit que les processus de développement prennent en compte l’intégrité des identités comme pilier central et non comme un détail additionnel. Les outils d’automatisation permettent de renforcer l’efficacité, et les intégrations natives via des outils DevOps ainsi que les services intégrés des fournisseurs de cloud permettent aux développeurs d’adopter facilement des pratiques de codage sécurisées, entraînant une augmentation de la productivité globale et une accélération du déploiement de nouveaux services.
L’amélioration de l’efficacité des opérations
En résumé, intégrer la gestion des identités machines et des secrets dans une stratégie Zero Trust peut aider une organisation à établir une architecture réseau plus solide et plus sûre et à réduire les coûts associés aux mesures de sécurité traditionnelles, tout en réduisant le temps nécessaire au déploiement de nouveaux services. Une politique approfondie de gestion des identités machines permet aux entreprises de sécuriser leurs réseaux et de se défendre contre les cybermenaces. En gérant de façon proactive les identités machines et les secrets, les entreprises s’assurent que seules les machines de confiance peuvent communiquer sur le réseau et que toute tentative d’accès non autorisé est rapidement détectée et neutralisée.
Au fur et à mesure que les entreprises adoptent des stratégies Zero Trust, elles doivent garder en tête le rôle central que jouent les identités machines dans les environnements numériques, notamment dans l’élaboration de leurs stratégies de sécurité globale. Les organisations qui investissent dans des outils et des processus permettant de gérer efficacement ces identités en verront les bénéfices, qui incluent une réduction des risques, et plus généralement un renforcement de la sécurité de l’entreprise face à un ensemble de menaces en perpétuelle mutation.
Dorénavant, les entreprises doivent nécessairement intégrer la gestion des identités machines et des secrets dans leurs stratégies Zero Trust, et analyser les menaces pour comprendre quand et où les failles risquent d’apparaître. L’emploi de multiples couches s’avère essentiel dans l’élaboration d’une cyberdéfense, surtout lorsque le moindre élément sous-protégé peut entraîner la chute de l’entièreté du système. Les identités machines et les secrets dépassent largement le statut de simples rouages : ils représentent les piliers qui soutiennent ensemble toute l’architecture de sécurité des entreprises numériques.
____________________________
Par Jérome Colleu, Ingénieur Avant-Ventes chez CyberArk
puis