Le Zero Trust est un modèle de sécurité qui part du principe qu’aucun utilisateur, aucune machine ou aucun réseau n’est digne de confiance par défaut, même à l’intérieur du périmètre de l’entreprise. Chaque requête est authentifiée, autorisée et chiffrée avant d’être traitée.
📜 Les 7 principes du Zero Trust
1. Vérifier explicitement
Toujours authentifier et autoriser chaque accès en fonction de tous les points de données disponibles (identité, localisation, état de l’appareil, service demandé).
2. Utiliser le moindre privilège (Least Privilege)
Limiter l’accès des utilisateurs avec des privilèges juste-à-temps (JIT) et juste-assez (JEA). Pas d’accès permanent, pas d’accès large.
3. Supposer la compromission (Assume Breach)
Concevoir l’architecture comme si un attaquant était déjà présent. Segmenter, surveiller, chiffrer, auditer en continu.
4. Micro-segmentation
Découper le réseau en petites zones isolées. Les flux entre segments sont strictement contrôlés (pas de confiance implicite).
5. Chiffrement de bout en bout
Toutes les communications (interne et externe) doivent être chiffrées, y compris entre services internes.
6. Surveillance continue
Collecter et analyser les logs, détecter les anomalies en temps réel. Aucune confiance statique.
7. Automatisation des politiques
Les politiques de sécurité doivent être définies comme du code, appliquées automatiquement, révocables à tout moment.
☁️ Mise en œuvre Zero Trust par cloud
AWS
- AWS IAM (moindre privilège)
- AWS Organizations (SCP)
- VPC + Security Groups (micro-segmentation)
- AWS WAF / Shield
- AWS Network Firewall
- AWS Verified Access (ZTNA)
- AWS CloudTrail + GuardDuty
Azure
- Entra ID (ex Azure AD)
- Conditional Access
- PIM (Privileged Identity Management)
- Azure Firewall + NSG
- Azure Bastion
- Microsoft Sentinel
- Azure Policy
GCP
- Cloud IAM + Conditions
- BeyondCorp Enterprise (ZTNA natif)
- VPC Firewall Rules
- Cloud Armor
- Identity-Aware Proxy (IAP)
- Security Command Center
- Access Transparency
🏗️ Architecture Zero Trust cible
Composants clés
- IAM / Identity Provider : Source de vérité (Entra ID, Google IAM, AWS IAM Identity Center)
- Policy Engine : Décide si une requête est autorisée (Contextual Access)
- Policy Enforcement Point : Applique la décision (Proxy, Gateway, Agent)
- Network Segmentation : Micro-segmentation (NSG, Security Groups, Cloud Firewall)
- Logging & Analytics : CloudTrail, Sentinel, Security Command Center
🌐 BeyondCorp et ZTNA
BeyondCorp (Google)
Modèle Zero Trust inventé par Google. L’accès aux applications ne dépend plus du réseau, mais de l’identité et de l’état du dispositif. GCP propose BeyondCorp Enterprise natif.
ZTNA (Zero Trust Network Access)
Approche standardisée (SASE) qui remplace les VPNs. Solutions : Zscaler, Cloudflare Zero Trust, Twingate, AppGate.
✅ Checklist déploiement Zero Trust
- ☑️ Identifier les ressources critiques (data, applications, API)
- ☑️ Cartographier les flux de données (qui accède à quoi ?)
- ☑️ Mettre en place une IAM forte (MFA, accès conditionnel, JIT)
- ☑️ Segmenter le réseau (micro-segmentation)
- ☑️ Chiffrer tous les flux (mTLS, HTTPS, VPN chiffré)
- ☑️ Centraliser les logs et alertes
- ☑️ Automatiser les politiques (Terraform, Policy as Code)
- ☑️ Tester régulièrement (red team, audits)