Qu'est-ce que la défense en profondeur ?

Les professionnels de la cybersécurité ont emprunté le concept de DiD à l'armée, qui a toujours créé plusieurs périmètres physiques autour d'une cible. Un château médiéval, par exemple, était doté de douves, de hauts murs de pierre, de fenêtres spéciales conçues pour tirer des flèches et de passerelles au sommet des murs d'où les défenseurs pouvaient verser de l'eau bouillante sur quiconque escaladait les murs. Les douves, les murs, les flèches… chacun de ces éléments faisait partie d'une stratégie de défense en profondeur. Pris isolément, ils n'étaient peut-être pas très efficaces, mais ensemble, ils formaient une solide barrière défensive.

Il en va de même pour la cybersécurité. Une cible d'attaque, comme une base de données, dispose d'une défense en profondeur qui comprend des barrières physiques contre la manipulation du matériel, des contrôles d'accès au réseau, des mots de passe et des systèmes de détection des menaces. Ces éléments sont l'équivalent des périmètres concentriques d'une armée. Ces contre-mesures offrent une meilleure sécurité que si elles sont utilisées séparément. C'est ce qu'on appelle la DiD.

Il n'existe pas de méthode unique et standardisée pour mettre en œuvre la DiD. Elle est dynamique et évolue à mesure que de nouvelles méthodes apparaissent et que les exigences en matière de charge de travail évoluent. Les différentes charges de travail et les priorités de sécurité de l'organisation dicteront la manière dont une équipe de sécurité mettra en place son architecture DiD. En général, cependant, la DiD fonctionne grâce à une combinaison des types de contrôles suivants :

• Physique — À l'ère du Cloud Computing, il est facile d'oublier que le matériel, notamment les serveurs, les baies de stockage, les commutateurs réseau et autres, est vulnérable aux interférences physiques. Avec un accès physique à un serveur, par exemple, un pirate pourrait installer un rootkit sur place et détourner la machine. Pour éviter cela, les centres de données utilisent des contrôles physiques tels que des scanners biométriques, des alarmes, des systèmes de vidéosurveillance, etc.
• Technique — Il s'agit de contrôles logiciels et matériels qui atténuent les menaces provenant du réseau, telles que les attaques par déni de service distribué (DDoS), les logiciels malveillants, l'hameçonnage et les ransomwares. Des technologies telles que les pare-feux, les passerelles Web sécurisées (SWG) et les solutions de détection et de réponse étendues (XDR) contribuent à fournir les contrôles techniques permettant d'atténuer les menaces provenant du réseau.
• Administratif — Il s'agit du domaine de la règle de sécurité et du contrôle d'accès des utilisateurs. Les contrôles administratifs comprennent la gestion des identités et des accès (IAM), les rôles des utilisateurs et les politiques en matière de mots de passe. Si vous déployez des charges de travail sur Akamai Cloud, vous êtes responsable de la mise en œuvre et de la gestion de ces contrôles conformément à votre règle de sécurité.

La DiD prend forme lorsque les responsables de la sécurité appliquent les contrôles décrits ci-dessus, conformément aux principes dominants de la cybersécurité. Voici les éléments fondamentaux de la DiD :

• Accès de moindre privilège — La mise en place d'une règle selon laquelle un utilisateur ne doit disposer que du minimum de privilèges nécessaires est un moyen de mettre en œuvre une stratégie de défense en profondeur. Ainsi, si un acteur malveillant accède au réseau, sa capacité à compromettre des données sensibles ou à perturber les opérations sera limitée.
• Développement et chaîne logistique sécurisés — Les logiciels doivent être soumis à des contrôles de sécurité tout au long de leur cycle de vie, du développement aux tests, en passant par la production. Cette pratique garantit que les nouveaux logiciels n'introduiront pas de vulnérabilités. La chaîne d'approvisionnement des logiciels doit également être sécurisée de la même manière. Bloquer le chemin d'un attaquant à travers les logiciels ajoute un niveau de défense supplémentaire dans une architecture DiD.
• Segmentation du réseau — Séparer les applications et les données sensibles sur différents segments du réseau est un moyen efficace d'empêcher les acteurs malveillants de se déplacer latéralement sur un réseau. Cette pratique agit comme les murs d'un château. Si un attaquant franchit les douves, il doit encore escalader le mur.
• Surveillance et analyse comportementales — Même avec plusieurs niveaux de contre-mesures, les attaquants peuvent passer. Les initiés constituent également une menace. Pour atténuer ce risque, il est nécessaire de surveiller et d'analyser en permanence le comportement des utilisateurs et du système. Ce processus permet d'identifier les événements anormaux qui pourraient indiquer qu'une attaque est en cours.
• Zero Trust — Avec sa règle fondamentale « ne jamais faire confiance, toujours vérifier », le réseau Zero Trust empêche de nombreux accès non autorisés. Cela renforce l'efficacité d'une architecture DiD.
• Résilience — La capacité à restaurer les opérations informatiques est un autre niveau de DiD. Grâce à de solides fonctions de sauvegarde et de restauration, une organisation peut se remettre même d'un grave incident de cybersécurité, tel qu'une attaque par ransomware.

Certaines personnes décrivent la DiD comme une « sécurité multicouche », mais si chaque domaine de protection DiD peut être qualifié de couche, le terme « sécurité multicouche » a une signification différente dans le domaine de la cybersécurité. La sécurité multicouche fait référence au déploiement de plusieurs outils de sécurité pour traiter un seul domaine de sécurité. Par exemple, un pare-feu et un système de prévention des intrusions (IPS) bloquent tous les deux les accès indésirables, mais ils atteignent cet objectif de différentes manières. Chacun constitue une couche de sécurité qui protège contre les intrusions dans le réseau.