Repensez votre stratégie d'accès, pensez BeyondCorp

Il y a quelques années, Forrester a déclaré mort le vieux mantra de sécurité « faire confiance mais vérifier » et a inventé le terme « confiance zéro ». L’argument était que nous faisions confiance à tout sur la base d’une authentification initiale réussie, mais que nous n’avions jamais vraiment vérifié par la suite. Comme d’habitude, les mots à la mode comme celui-ci passent par leur cycle de battage médiatique, commençant par beaucoup d’enthousiasme et n’entraînant souvent pas beaucoup d’action à court terme. Le Zero Trust et ses dérivés (l’application est le nouveau périmètre, etc.) gagnent désormais du terrain dans les architectures et les implémentations du monde réel. Google, un grand partisan de cette stratégie de sécurité, a fait de grands progrès dans sa mise en œuvre et a même eu la gentillesse de publier son processus de mise en œuvre. Ils l'ont baptisé BeyondCorp.

Google a récemment publié un article de blog pour vanter son quatrième article de recherche sur le sujet, qui décrit comment ils ont maintenu leur productivité tout en traversant le long processus de migration. Pour résumer l’architecture BeyondCorp, il n’y a plus de différenciation entre l’accès sur site et l’accès à distance… c’est juste un accès. Toutes les demandes d'authentification et d'accès suivent le même chemin via une passerelle d'accès centralisée, quel que soit l'emplacement ou l'appareil de l'utilisateur. Cependant, les défis d’authentification et les décisions d’accès peuvent différer en fonction d’un certain nombre de facteurs de risque. La passerelle fournit des invites d’authentification, mais permet également un contrôle d’accès précis et basé sur les attributs en fonction d’un profil de risque. Cela offre cohérence et simplicité aux utilisateurs, ce qui est extrêmement précieux pour réduire la probabilité d'attaques réussies (comme je l'ai décrit dans des écrits précédents).

À titre d’exemple, si un utilisateur tente de se connecter à l’application Web de son entreprise qui ne contient que des annonces de l’entreprise qui peuvent tout aussi bien être publiques (faible risque), et tente de se connecter depuis son bureau ou depuis son ordinateur portable fourni par l’entreprise (faible risque), alors peut-être qu’en tant qu’administrateur de sécurité, je choisis de n’exiger que le nom d’utilisateur et le mot de passe pour l’accès. Mais supposons que l’utilisateur tente de se connecter à une application liée à la finance (risque élevé), depuis un endroit en Russie (risque élevé) et depuis un appareil inconnu (risque élevé). En tant qu'administrateur de sécurité, je peux avoir une politique sur ma passerelle d'accès qui considère cela comme trop risqué et refuse l'accès, ou à tout le moins, demande à l'utilisateur un 2e ou même un 3e facteur pour vérifier l'identité. De plus, avec un contrôle d’accès précis basé sur les attributs, je peux décider d’accorder aux demandes d’accès qui correspondent à ce niveau de risque une forme d’accès réduite… peut-être en lecture seule au lieu de lecture/écriture.

Est-ce que quelque chose de tout cela vous semble familier ? Si vous utilisez un service IDaaS tel que ceux des partenaires F5 Microsoft Azure AD, Ping ou Okta , vous le faites déjà dans une certaine mesure. D’autres composants composent le modèle BeyondCorp, mais la passerelle d’accès est certainement le cœur de toute l’architecture. Google propose désormais son « proxy sensible à l'identité » (IAP) à d'autres entreprises, mais il n'est pas sans limites. Outre le fait de ne pouvoir l'utiliser qu'avec des applications sur Google Compute Platform (GCP), certains clients ont noté des problèmes de granularité et de flexibilité dans le contrôle de l'accès, souhaitant une durée de session configurable, des politiques par application plutôt que par GCP, et la possibilité d'effectuer une authentification flexible à 2 facteurs.

Ce n’est pas une coïncidence si F5 propose une solution d’accès qui offre ces capacités, et bien plus encore. Et cela fonctionne pour TOUS vos environnements plutôt que uniquement pour les applications résidant dans GCP. Qu'il soit entièrement dans le cloud ou de manière hybride, F5 offre une solution d'accès sécurisée, centralisée et évolutive qui s'adapte à n'importe quelle architecture. Pour en savoir plus, visitez f5.com/apm .