Zero Trust : architecture et mise en œuvre

Le Zero Trust est un modèle d'architecture de sécurité fondé sur le principe explicite : aucune entité, interne ou externe au réseau, n'est considérée comme fiable par défaut. Zero Trust s'oppose au modèle périmétrique classique, où tout trafic interne bénéficiait d'une confiance implicite. Mise en œuvre concrètement, cette architecture repose sur trois piliers techniques : vérification continue de l'identité à chaque requête, application du moindre privilège sur chaque ressource, et microsegmentation du réseau pour limiter les mouvements latéraux. Chaque accès est conditionné à une évaluation dynamique du contexte : identité de l'utilisateur, état de conformité du terminal, localisation réseau, heure de la requête. Les standards associés incluent NIST SP 800-207, qui formalise les composants d'un plan de contrôle Zero Trust, et les architectures ZTNA (Zero Trust Network Access) qui remplacent les VPN traditionnels. En cybersécurité, ce modèle réduit structurellement la surface d'attaque exploitable après une compromission initiale, notamment en cloisonnant les ressources sensibles derrière des politiques d'accès explicites et révocables dynamiquement.

Côté Blue Team et SOC, la détection dans un environnement Zero Trust s'appuie sur la corrélation de journaux issus de plusieurs sources distinctes. Les Identity Providers (IdP) comme Azure AD ou Okta génèrent des événements d'authentification conditionnelle : surveiller les Event ID 50158 (accès bloqué par accès conditionnel) et 50076 (MFA requis) dans les journaux Azure AD SignInLogs. Les solutions NAC (Network Access Control) journalisent les tentatives d'accès de terminaux non conformes. Sur les endpoints, les événements Windows Security Log ID 4625 (échec d'authentification) et 4648 (connexion explicite avec credentials alternatifs) signalent des comportements anormaux à corréler avec la politique d'accès définie. Les proxys d'accès ZTNA (Zscaler Private Access, Cloudflare Access) produisent des logs d'accès refusé exploitables dans un SIEM. Les indicateurs de compromission clés incluent : tentatives répétées depuis des IP hors périmètre autorisé, escalades de privilèges après authentification réussie, et accès à des ressources hors scope du profil d'accès défini. Un UEBA (User and Entity Behavior Analytics) renforce la détection en établissant une baseline comportementale et en signalant les dérives.

Côté Red Team et pentest, l'objectif face à un environnement Zero Trust est d'identifier les failles dans l'implémentation de la vérification continue plutôt que dans le périmètre réseau. Les techniques courantes ciblent le vol de tokens d'accès valides (Pass-the-Token, Golden SAML) pour contourner l'authentification multifacteur et usurper une session déjà approuvée. Les attaques sur le plan de contrôle ZTNA visent les configurations permissives d'accès conditionnel : des règles mal calibrées peuvent autoriser l'accès depuis des terminaux non gérés. La persistance passe par la compromission de comptes de service disposant d'accès permanents non soumis à réévaluation contextuelle. Sur les contre-mesures, le durcissement passe par l'activation du Continuous Access Evaluation (CAE) dans Azure AD, qui révoque les tokens en temps réel lors d'un changement d'état. La microsegmentation doit être validée par des campagnes de scanning interne depuis chaque segment : outils comme Nmap ou Nessus permettent de cartographier les flux résiduels non bloqués. Les clés de registre HKLM/Software/Microsoft/Windows/CurrentVersion/Policies/System contrôlant UAC doivent être auditées. Enfin, les revues régulières des politiques d'accès conditionnel et des groupes d'accès dynamiques limitent l'accumulation de droits résiduels.