Zero trust: identité, posture et micro-segmentation
Définition
Le modèle implicit trust place un périmètre fort, le pare-feu, et suppose que tout ce qui est à l'intérieur est digne de confiance: le poste du comptable a accès au serveur de paye parce qu'il est "dedans". Le zero trust inverse: aucune confiance liée à la localisation, chaque demande d'accès est vérifiée contre l'identité de l'utilisateur, la posture du device et le contexte (heure, lieu, sensibilité de la ressource), et la microsegmentation enferme la propagation même si un hôte est compromis. C'est l'architecture que l'examen oppose au modèle castle-and-moat.
Contexte
Le blueprint v1.0 du 200-301 listait "Describe network security concepts" (VPN, firewall, segmentation, ACL, 802.1X); la v1.1 répartit le sujet sur le thème 5.1 (concepts et techniques de mitigation), le 5.6 (ACL), le 5.8 (AAA) et croise le 6.3 (architecture logicielle centralisée, SDA). Les questions typiques: reconnaître une architecture castle-and-moat dans un scénario de lateral movement, choisir le bon outil de segmentation (VLAN, ACL, firewall est-ouest, SGT), ou comprendre ce qu'apporte la posture device avant d'autoriser l'accès.
Les deux modèles face à face
| Critère | Implicit trust | Zero trust |
|---|---|---|
| Fondement | Confiance par position réseau (inside vs outside) | Vérification à chaque demande, jamais héritée |
| Périmètre | Un, au bord du réseau | Autour de chaque ressource |
| Décision | IP source, port, VLAN | Identité + posture du device + contexte |
| Ouest-est | Libre une fois à l'intérieur | Filtré, segment fin |
| Mouvement latéral | Possible d'un bout à l'autre du LAN | Confiné au segment de l'hôte compromis |
| Autorité | Le pare-feu périmétrique | Un plan de contrôle centralisé: identité, contexte, accès |
Le terme vient de John Kindervag chez Forrester en 2010; la référence formelle est NIST SP 800-207 (août 2020), qui décrit le zero trust comme un ensemble de principes, pas un produit. Une mise en œuvre passe par trois briques: une source d'identité forte (annuaire + MFA, thème AAA et 802.1X), un signal de posture (agent EDR ou de conformité: chiffrement actif, patch à jour, antivirus vivant) et un point d'application (firewall, NAC, ACL).
Où vivent la segmentation et la microsegmentation
Segmenter veut dire découper le réseau en zones où le trafic est attendu: VLANs distincts par fonction (users, serveurs, invités, IoT), pare-feu est-ouest entre datacenter et LAN, ACL qui ne laissent passer que les flux métier. La segmentation classique s'arrête au niveau du sous-réseau; la microsegmentation descend au niveau de la charge ou du groupe: chaque serveur web, chaque groupe d'imprimantes devient son propre périmètre, et un poste compromis ne peut joindre que ce que sa politique autorise nommément. Version IOS autonome, sans controller:
access-list 110 permit ip 10.10.20.0 0.0.0.255 host 10.10.99.5
access-list 110 permit tcp 10.10.20.0 0.0.0.255 host 10.10.99.6 eq 443
!
vlan access-map USER-SRV-OUT 10
match ip address 110
action forward
vlan access-map USER-SRV-OUT 20
action drop
vlan filter USER-SRV-OUT vlan-list 20
Ce VLAN access-map IOS applique une politique est-ouest entre le VLAN utilisateurs 20 et le VLAN serveurs: seuls le flux vers le serveur de fichiers 10.10.99.5 et le HTTPS vers 10.10.99.6 sortent du VLAN, tout le reste tombe, y compris un scan latéral depuis un poste infecté. L'équivalent centralisé est Cisco SDA (Software-Defined Access): le switch ou le routeur classe l'hôte en Security Group Tag (SGT, champ de 12 bits, 4096 valeurs possibles) après 802.1X et posture via ISE, puis le trafic se propage dans le fabric VXLAN avec le SGT dans l'en-tête. La politique devient group-based: contrat entre groupe source et groupe destination (par exemple GROUP_USERS vers GROUP_PAYROLL en permit, le reste en deny), portée et calculée par le plan de contrôle ISE, pas recopiée ligne par ligne sur 200 switches.
Rôle de l'ACL et du firewall dans le passage au zero trust
Le zero trust n'enterre pas les outils classiques: l'ACL et le firewall restent les points d'application. Ce qui change est la référence de la règle. Une ACL de confiance par position dit permit ip 10.10.10.0 0.0.0.255 host 10.10.30.7 (ce VLAN vers ce serveur). Une logique zero trust dit: cet utilisateur (groupe), depuis ce device (posture validée), vers cette application, avec vérification continue; le SGT porte justement l'identité du groupe au lieu de la seule IP. Les passerelles d'accès zero trust (proxy d'accès, ZTNA) remplacent le VPN réseau complet par un accès publié application par application, ce qui réduit l'exposition: un client AnyConnect full tunnel met l'attaquant qui vole le poste directement "dedans", là où un accès ZTNA ne donne que les applications autorisées à l'identité.
Exemple concret
Un hôpital de 800 postes: réseau avant, trois VLANs (users, serveurs, médical) sans filtrage entre postes, et l'imagerie médicale joignable depuis n'importe quel PC du LAN. Après migration: 8 groupes SDA (users-cliniques, users-admin, imagerie, labo, IoT badges, pompes, invités, serveurs), contrats group-based entre eux, poste compromis testé par l'équipe rouge en novembre: depuis un PC admin infecté, la jointure vers le serveur PACS a échoué en 0.4 s (deny du contrat), alors que l'ancien réseau laissait passer tout le /24; le scan de 254 adresses a produit 100 pour cent de flux coupés par les drop implicites. Le coût mesuré: 6 semaines de cartographie des flux métier avant de passer les contrats en enforcement, car la phase d'audit a révélé 40 flux légitimes inconnus, dont 12 imprimantes sans supplicant admises par MAB.