La sécurité Zero Trust change la façon dont les organisations gèrent la sécurité en supprimant la confiance implicite tout en analysant et en validant en permanence les demandes d’accès. Contrairement à la sécurité basée sur le périmètre, les utilisateurs d’un environnement ne sont pas automatiquement approuvés lorsqu’ils y accèdent. La sécurité Zero Trust encourage une surveillance continue de chaque appareil et utilisateur, ce qui garantit une protection durable après une authentification réussie de l’utilisateur.
Pourquoi les entreprises adoptent la sécurité Zero Trust
Les entreprises adoptent la sécurité Zero Trust pour se protéger contre les cybermenaces complexes et de plus en plus sophistiquées. Cela répond aux limites des modèles de sécurité traditionnels basés sur le périmètre, qui n’incluent aucune sécurité du trafic est-ouest, la confiance implicite des initiés et le manque de visibilité adéquate.
 |
| Sécurité traditionnelle ou Zero Trust |
La sécurité Zero Trust améliore la posture de sécurité d’une organisation en offrant :
- Posture de sécurité amélioré: Les organisations peuvent améliorer leur posture de sécurité en collectant en permanence des données sur le trafic réseau, les demandes d’accès et les activités des utilisateurs/systèmes au sein de leur environnement.
- Protection contre les menaces internes: La sécurité Zero Trust garantit que chaque utilisateur dans le périmètre du réseau est authentifié avant de se voir accorder l’accès en adoptant le principe « ne jamais faire confiance, toujours vérifier ».
- Adaptation au travail à distance: La sécurité Zero Trust améliore la sécurité des organisations de travail à distance en donnant la priorité à la vérification de l’identité, à la sécurité et à la surveillance continue de chaque appareil/utilisateur.
- Conformité: Il aide les organisations à répondre aux exigences de conformité en appliquant un contrôle strict, une surveillance continue et une protection des données conformes aux normes réglementaires.
- Atténuation des violations: En mettant en œuvre des mécanismes de réponse automatisés, les organisations peuvent rapidement limiter les privilèges d’accès aux comptes et appareils compromis, contenant ainsi les dommages potentiels et réduisant l’impact global d’une violation.
Comment appliquer la sécurité Zero Trust
Voici les facteurs à prendre en compte lors de la mise en œuvre de la sécurité Zero Trust pour votre organisation :
- Surveillance continue: Cela garantit que toutes les activités du réseau et du système sont surveillées et analysées. Vous pouvez adopter une plateforme de gestion des informations et des événements de sécurité (SIEM). Un SIEM est une solution de sécurité qui offre une visibilité en temps réel, permettant aux organisations d’identifier et de résoudre les menaces et vulnérabilités de sécurité.
- Réponse aux incidents: Cela permet aux organisations de réagir rapidement aux incidents de sécurité. Les organisations utilisent des plateformes de détection et de réponse étendues (XDR) pour réagir rapidement aux failles de sécurité, minimisant ainsi les dommages et les temps d’arrêt.
- Prévention de l’accès initial: En surveillant en permanence l’exploitation des vulnérabilités, les comportements inhabituels des utilisateurs et les tentatives de connexion par force brute, les organisations peuvent détecter les menaces en temps réel avant que les attaquants n’établissent un point d’entrée.
- Moindre privilège: Cela encourage l’attribution de privilèges minimaux au sein du système, car les utilisateurs ne doivent bénéficier que de l’accès nécessaire. Cela peut être réalisé en utilisant des solutions de gestion des identités et des accès (IAM). Les solutions IAM utilisent le contrôle d’accès basé sur les rôles (RBAC) pour attribuer des autorisations spécifiques aux utilisateurs. Vous pouvez utiliser une plate-forme SIEM et XDR pour surveiller les configurations IAM à la recherche de modifications non autorisées.
- Contrôle d’accès aux appareils: Tous les appareils accédant au réseau doivent passer par un processus préalable d’authentification et de vérification. Ce processus implique la vérification de l’identité de l’appareil, de l’état de sécurité et de la conformité aux politiques de l’organisation. Même une fois l’accès initial accordé, l’appareil peut continuer à être surveillé pour détecter tout signe de compromission, garantissant ainsi une sécurité continue.
- Microsegmentation: Ce principe de sécurité Zero Trust encourage les organisations à diviser leur infrastructure réseau en parties plus petites et isolées. Chaque partie fonctionne de manière indépendante avec ses contrôles de sécurité, réduisant la surface d’attaque en minimisant les risques de mouvements latéraux.
- Authentification multifacteur: Cela ajoute une couche de sécurité supplémentaire en obligeant les utilisateurs à présenter plusieurs formulaires de vérification avant d’accéder aux systèmes, applications ou données. Cela réduit le risque d’accès non autorisé, même si un facteur, comme un mot de passe, est compromis.
La section suivante montre des exemples d’exploitation des fonctionnalités de Wazuh pour la sécurité Zero Trust.
Comment tirer parti de Wazuh pour votre sécurité Zero Trust
Wazuh est une plate-forme de sécurité open source gratuite qui offre des fonctionnalités XDR et SIEM unifiées pour toutes les charges de travail dans les environnements cloud et sur site. Vous pouvez utiliser la documentation Wazuh pour configurer cette solution pour votre organisation.
Les fonctionnalités de Wazuh aident les organisations à protéger leurs environnements informatiques contre diverses menaces de sécurité, ce qui en fait une solution adaptée à l’application de la sécurité Zero Trust. Grâce à une surveillance en temps réel, une réponse automatisée aux incidents et une visibilité étendue sur le comportement des utilisateurs et les configurations du système, Wazuh vous permet de détecter et de répondre aux violations potentielles avant qu’elles ne s’aggravent. Vous trouverez ci-dessous quelques cas d’utilisation de Wazuh pour la sécurité Zero Trust.
Détection des outils légitimes abusés
Les fonctionnalités de Wazuh, telles que la surveillance des appels système, l’évaluation de la configuration de sécurité (SCA) et l’analyse des données de journaux, peuvent être utilisées pour détecter les outils légitimes abusés.
La fonctionnalité de surveillance des appels système analyse l’accès aux fichiers, l’exécution des commandes et les appels système sur les points de terminaison Linux. Cela aide les chasseurs de menaces à identifier lorsque des outils fiables sont utilisés à des fins malveillantes, telles que l’élévation de privilèges ou l’exécution de scripts non autorisés.
La fonctionnalité Wazuh SCA évalue les configurations du système pour détecter les erreurs de configuration que les attaquants pourraient exploiter. En analysant les vulnérabilités telles que les services inutiles, les politiques de mot de passe faibles ou les configurations réseau non sécurisées, SCA réduit la surface d’attaque et empêche l’utilisation abusive d’outils légitimes.
Netcat est un outil largement utilisé par les acteurs malveillants pour établir des portes dérobées, effectuer une analyse des ports, transférer des fichiers et créer un shell inversé pour l’accès à distance. Wazuh peut surveiller et alerter en cas d’utilisation suspecte de commandes, comme décrit dans le guide surveillant l’exécution de commandes malveillantes. Ce guide présente un scénario dans lequel la fonctionnalité d’appels du système de surveillance peut enregistrer les activités Netcat et générer des alertes.
 |
| Wazuh audite la commande Netcat pour détecter les activités suspectes |
Comme indiqué ci-dessus, chaque fois que la commande nc est exécutée, Wazuh génère une alerte qui permet aux chasseurs de menaces d’avoir une visibilité sur la commande exécutée et son résultat.
Détection du premier accès
Wazuh utilise sa capacité de collecte de données de journaux pour regrouper les journaux provenant de différentes sources au sein d’un environnement informatique. Il collecte, analyse et stocke les journaux des points finaux, des périphériques réseau et des applications et effectue des analyses en temps réel.
Le billet de blog sur la détection de l’exploitation de la vulnérabilité XZ Utils (CVE-2024-3094) montre comment Wazuh exploite sa capacité de collecte de données de journaux. Le CVE-2024-3094 est une vulnérabilité critique dans les versions 5.6.0 et 5.6.1 de XZ Utils, un outil de compression de données largement utilisé. Cela découle d’une attaque de la chaîne d’approvisionnement qui a introduit une porte dérobée dans le logiciel, permettant un accès à distance non autorisé aux systèmes. Plus précisément, il exploite la bibliothèque liblzma, une dépendance d’OpenSSH, permettant aux attaquants d’exécuter des commandes arbitraires via SSH avant l’authentification. Cela pourrait conduire à l’exécution de code à distance (RCE), compromettant la sécurité du système.
Wazuh identifie et transmet les journaux sur les processus descendants sshd potentiellement malveillants via des décodeurs et des règles personnalisables. Cette approche permet de détecter rapidement les tentatives d’exploitation de cette vulnérabilité.
 |
| Wazuh audite le service sshd pour détecter CVE-2024-3094 |
Comme indiqué ci-dessus, après avoir analysé le service sshd, Wazuh détecte et signale des modèles d’activité anormaux.
Réponse aux incidents
La plateforme Wazuh améliore la réponse aux incidents pour les équipes de sécurité en offrant une visibilité en temps réel sur les événements de sécurité, en automatisant les actions de réponse et en réduisant la fatigue liée aux alertes.
En tirant parti de sa capacité Active Response, Wazuh permet aux équipes de gérer efficacement les incidents grâce à des scripts automatisés qui peuvent être déclenchés pour tout événement configuré. Cette automatisation est particulièrement bénéfique dans les environnements aux ressources limitées, car elle permet aux équipes de sécurité de se concentrer sur des tâches vitales pendant que le système gère les réponses de routine.
Le billet de blog sur la détection et la réponse aux fichiers malveillants à l’aide des listes CDB et de la réponse active montre comment les professionnels de la sécurité peuvent automatiser les actions de réponse en fonction d’événements spécifiques à l’aide des capacités de réponse active de Wazuh.
 |
| La fonctionnalité Wazuh Active Response supprime automatiquement les fichiers avec des valeurs de hachage dans la liste CDB. |
Ce blog montre comment les fichiers malveillants peuvent être détectés à l’aide de la fonctionnalité Wazuh File Integrity Monitoring (FIM). Il fonctionne avec une liste de bases de données constantes (CDB) de hachages MD5 malveillants connus. La fonctionnalité Wazuh Active Response supprime automatiquement les fichiers correspondant aux valeurs de hachage dans la liste CDB.
Conclusion
Les données et applications sensibles étant désormais réparties sur plusieurs serveurs et environnements, la surface d’attaque s’est élargie, rendant les organisations plus vulnérables aux violations de données, aux ransomwares et aux menaces émergentes. Les organisations qui adoptent l’approche de sécurité Zero Trust peuvent établir un mécanisme de cyberdéfense accru contre l’évolution des menaces.
La plate-forme unifiée XDR et SIEM de Wazuh peut mettre en œuvre certains aspects de cette approche, en utilisant, entre autres, ses capacités de collecte de données de journaux, de détection des vulnérabilités et de réponse automatisée aux incidents. Vous pouvez en savoir plus sur la façon dont la plateforme Wazuh peut aider votre organisation en visitant leur site Web.
