Qu'est-ce que le ZTNA ?

L'accès réseau « Zero Trust » (ZTNA) est un cadre de sécurité qui n'accorde l'accès à des applications spécifiques qu'après avoir vérifié en permanence l'identité de l'utilisateur, l'état de l'appareil et le contexte – plutôt que d'accorder un accès réseau étendu en fonction de l'origine de la connexion, comme le fait un VPN traditionnel. Le ZTNA constitue le pilier de l'accès aux applications privées au sein de l'SASE e et de la SSE.

Points clés à retenir

• Le ZTNA accorde un accès au cas par cas, par application, plutôt qu'un accès réseau général comme le ferait un VPN.
• Les décisions d'accès reposent sur l'identité, l'état de l'appareil et le contexte, qui font l'objet d'une vérification en continu.
• Le ZTNA remplace la confiance implicite liée à l'emplacement réseau par une vérification explicite.
• Il s'agit du pilier « accès privé » des architectures « SASE » et « Security Service Edge ».
• Versa fournit une solution ZTNA via Secure Private Access (VSPA), gérée dans Concerto.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · ZTNA et Versa · FAQ

Pourquoi le ZTNA est-il important ?

Les VPN traditionnels connectent l'utilisateur directement au réseau de l'entreprise, en autorisant toute personne disposant d'identifiants valides à accéder à de larges pans de l'infrastructure interne. Ce modèle convenait à un monde où les employés et les applications se trouvaient tous derrière un même périmètre. Il perd toute efficacité dès lors que les applications migrent vers le cloud et que les utilisateurs se connectent depuis n'importe où, car un seul identifiant ou appareil compromis peut se propager latéralement à travers un réseau plat – ce qui est à l'origine de nombreuses violations de sécurité.

Le ZTNA est important car il élimine ce « rayon d’action ». Au lieu de connecter un utilisateur au réseau, il le relie directement à une seule application autorisée à la fois, après avoir vérifié son identité, son appareil et le contexte. Les applications restent invisibles pour toute personne non explicitement autorisée à y accéder, ce qui réduit la surface d’attaque et bloque les activités de reconnaissance et les mouvements latéraux rendus possibles par un accès VPN classique. La confiance est également évaluée en continu ; elle n’est pas accordée une seule fois lors de la connexion, puis présumée valable pour le reste de la session.

Qu'est-ce que le ZTNA ?

Le ZTNA achemine chaque requête d’application via un point de décision basé sur des règles, plutôt que d’acheminer le trafic vers un réseau partagé. Lorsqu’un utilisateur demande une application privée, le courtier évalue l’identité (via LDAP, SAML ou un autre fournisseur d’identité), l’état de l’appareil (niveau de correctifs, statut du terminal géré, logiciels de sécurité) et le contexte (emplacement, heure, type de réseau) avant de créer une connexion directe, chiffrée et spécifique à l’application. L'adresse réseau de l'application n'est jamais divulguée au terminal, et aucune autre application n'est accessible via cette session.

Cette évaluation est continue et ne constitue pas un contrôle ponctuel : si l'état d'un appareil change en cours de session – par exemple, si un agent de sécurité cesse de transmettre des informations –, l'accès peut être révoqué immédiatement. Les implémentations ZTNA s'articulent généralement autour de deux modèles de connexion : le modèle « avec agent », dans lequel un logiciel client installé sur le terminal initie la connexion, et le modèle « sans client », dans lequel l'application est accessible via un proxy inverse à partir d'un navigateur.

Types de ZTNA

Les déploiements ZTNA se distinguent selon la manière dont la connexion est initiée. Le ZTNA initié par le terminal (basé sur un agent) utilise un client léger qui s’authentifie et établit un tunnel sortant, spécifique à chaque application, vers le courtier ; il prend en charge la plus large gamme de types d’applications, y compris les protocoles non Web, et peut signaler directement l’état de sécurité du terminal. Le ZTNA initié par le service (sans client) achemine l’accès via un navigateur, un connecteur côté application établissant le chemin sortant – ce qui est utile pour les prestataires externes ou les appareils non gérés, bien que cette solution soit généralement limitée aux applications Web.

Un troisième modèle, le ZTNA sur site, étend ces mêmes règles basées sur l'identité et le contexte aux utilisateurs physiquement présents sur un campus ou un réseau de succursale, en appliquant un accès par application selon le principe du « privilège minimal », même lorsque l'appareil est connecté au réseau local de l'entreprise.

ZTNA & Versa

Versa fournit le ZTNA via Secure Private Access (VSPA) d’Versa , le composant d’accès à distance de la solution SSE d’ Versa au sein de la plateforme Unified SASE d’ Versa . VSPA connecte les utilisateurs aux applications privées hébergées sur site ou dans le cloud public en appliquant un accès basé sur l’identité, au lieu des listes d’accès statiques utilisées par un concentrateur VPN, et prend en charge à la fois le client Versa SASE et la connectivité sans client. Les sessions passent par trois étapes : l’enregistrement (authentification via LDAP, SAML, RADIUS ou le répertoire Versa , avec authentification multifactorielle), la connexion (sélection de la passerelle et détection du réseau de confiance) et l’application des politiques (ZTNA et filtrage de type SWG), comme détaillé dans la configuration de bout en bout de Concerto SASE .

Les entreprises qui souhaitent abandonner leurs VPN traditionnels peuvent suivre le guide de migration « Du VPN vers le ZTNA » disponible sur Versa. Ce guide aborde notamment l’inventaire des cas d’utilisation des VPN, la migration groupe d’utilisateurs par groupe d’utilisateurs et le déploiement à grande échelle en environnement de production. Versa propose également une extension du ZTNA sur site via Versa Zero Trust – Premises, avec des conseils de configuration réguliers dans de nouveaux articles à mesure que l’ensemble des fonctionnalités du VSPA s’enrichit.

Questions fréquentes

Quelle est la différence entre le ZTNA et un VPN ?

Un VPN intègre un appareil connecté au réseau d'entreprise global, lui accordant ainsi un accès implicite à tout ce qui y est accessible. Le ZTNA, quant à lui, établit une connexion directe, spécifique à chaque application, après avoir vérifié l'identité, l'état de sécurité de l'appareil et le contexte ; l'application reste invisible pour tous les autres utilisateurs, ce qui limite considérablement les mouvements latéraux.

Ai-je besoin d'un logiciel client pour utiliser le ZTNA ?

Cela dépend du modèle de déploiement. Le ZTNA basé sur un agent installe un client léger qui gère l’authentification et la mise en tunnel par application, prenant ainsi en charge la plus large gamme de types d’applications. Le ZTNA sans client achemine quant à lui l’accès via un navigateur, ce qui convient aux appareils non gérés ou BYOD, mais ne couvre généralement que les applications web.

Comment le ZTNA vérifie-t-il la fiabilité en continu ?

Plutôt que d'accorder l'accès une seule fois lors de la connexion, le ZTNA réévalue en continu, tout au long de la connexion, des indicateurs tels que l'état de sécurité du terminal, le comportement de la session et le contexte. Si un indicateur change – par exemple, si l'agent de sécurité d'un terminal cesse d'envoyer des rapports –, le courtier peut révoquer l'accès immédiatement, sans attendre le prochain événement d'authentification.

Le ZTNA fait-il partie de l'SASE?

Oui. Le ZTNA fait partie des services clés intégrés aux architectures « SASE » et «Security Service Edge», aux côtés de la passerelle Web sécurisée, du courtier de sécurité d’accès au cloud et de la prévention des pertes de données, tous gérés par un moteur de politiques unique situé à proximité de l’utilisateur, plutôt que déployés sous forme de produits ponctuels distincts.

Le ZTNA rend-il inutile l'utilisation d'un pare-feu ?

Non. Le ZTNA régit l'accès à des applications privées spécifiques ; il ne remplace pas les protections plus générales telles que les pare-feu de nouvelle génération, la prévention des intrusions ou l'inspection des menaces provenant d'Internet. Dans la pratique, le ZTNA est déployé parallèlement à ces contrôles, en tant que couche d'une pile SSE ( SASE ) convergée.

En savoir plus sur le ZTNA

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au ZTNA, voici quelques articles qui méritent d'être consultés ensuite.