[Úñé ñ~óté f~édérál~é dé l~'ÓMB~ Zéró~ Trús~t mét~ lés á~géñc~és éñ~ gárd~é ávé~c dés~ déláí~s]

[Éñ máí 2021, l'ádmíñístrátíóñ Bídéñ á públíé Décrét éxécútíf 14028, Ámélíórér lá cýbérsécúríté dú páýs à lá súíté dés áttáqúés cóñtré SólárWíñds ét Cólóñíál Pípélíñé. L'órdóññáñcé vísáít à áccróîtré lá cýbérrésílíéñcé ét à rédúíré lés rísqúés póúr lés ágéñcés góúvérñéméñtálés. Íl léúr á démáñdé d'élábórér, éñ séúléméñt 60 jóúrs, úñ pláñ dé mísé éñ œúvré d'úñé árchítéctúré Zéró Trúst. Écríré éñ répóñsé à lá cómmáñdé, lé díréctéúr fédérál d'Íllúmíó, Márk Síñcévích, á ñóté qúé lés ágéñcés áváíéñt bésóíñ d'úñé féúíllé dé róúté ópérátíóññéllé póúr créér ét méttré éñ œúvré l'árchítéctúré dáñs lés sýstèmés fédéráúx.]

[C'és~t cét~té fé~úíll~é dé r~óúté~ Mémór~áñdú~m M-22-09, só~rtí l~é 26 jáñ~víér~^th dú~ Búré~áú dé~ lá gé~stíó~ñ ét d~ú búd~gét (Ó~MB), pr~éséñt~é úñé~ díré~ctív~é str~átégí~qúé f~édérál~é súr~ l'ár~chít~éctú~ré Zé~ró Tr~úst á~véc d~és dél~áís f~érmé~s.]

[Íl démáñdé áúx ágéñcés dé sóúméttré à l'ÓMB ét à lá CÍSÁ úñ pláñ dé mísé éñ œúvré póúr lés éxércícés 22 ét 24 dáñs lés 60 jóúrs súíváñt lá públícátíóñ dé lá ñóté. Lá ñóté décrít cláíréméñt cé qúé lés ágéñcés sóñt céñséés réálísér súr lé pláñ téchñíqúé, cé qúí dóít êtré fáít dáñs lés déláís ét lá pláñífícátíóñ búdgétáíré réqúísé. Cértáíñs jálóñs óñt úñé dúréé dé 12 móís, d'áútrés 24 móís. Lá ñóté fóúrñít dés íñdícátíóñs ésséñtíéllés súr lá pósítíóñ qúé lés ágéñcés dévráíéñt áttéíñdré éñ térmés dé Zéró Trúst d'ící lá fíñ dé l'éxércícé 2024.]

[Lé mém~ó óff~ré úñ~ póíñ~t dé v~úé dí~réct~ éñtr~é cé q~úé l'~ÓMB á~ttéñ~d dés~ ágéñ~cés é~t cé q~ú'úñ~é plá~téfó~rmé ó~ú úñé~ sólú~tíóñ~ péút~ áppó~rtér~. Íl ñ'~ést p~ás ñéc~éssá~íré d~é fáí~ré úñ~ sáút~ dé fó~í éñt~ré úñ~é éxí~géñc~é mál~ défíñ~íé ét~ cé qú~'úñ f~óúrñ~íssé~úr pé~út pr~ópós~ér.]

[Lés éxígéñcés dú mémó sóñt ámbítíéúsés. Máís lés ágéñcés óñt près dé tróís áñs póúr méttré éñ œúvré léúr áppróché Zéró Trúst, ét j'ímágíñé qúé d'ící décémbré 2024, lá májóríté d'éñtré éllés áúróñt áttéíñt úñ póúrcéñtágé ímpórtáñt dé cé qúí ést réqúís óú díspóséróñt d'úñ pláñ défíñítíf póúr ý párvéñír. Cépéñdáñt, lá ñóté ñé précísé pás cómméñt lés prógrès séróñt mésúrés ét lé súccès éválúé. Lá défíñítíóñ ét lé súíví dé cés íñdícátéúrs séróñt ésséñtíéls póúr fávórísér l'ádóptíóñ.]

[Lés c~íñq p~ílíé~rs Zé~ró Tr~úst d~é lá C~ÍSÁ]

[Lés ó~bjéc~tífs~ strá~tégíq~úés d~écrít~s dáñ~s lé m~émórá~ñdúm~ s'ál~ígñé~ñt sú~r lé m~ódèlé~ dé má~túrí~té Zér~ó Trú~st dé~ l'Ág~éñcé~ póúr~ lá cý~bérs~écúrí~té ét l~á sécú~ríté d~és íñ~frás~trúc~túré~s (CÍS~Á), qúí~ répó~sé sú~r cíñ~q píl~íérs~ :]

1. [Ídéñ~títé]
2. [Áppá~réíl~s]
3. [Réséá~úx]
4. [Áppl~ícát~íóñs~ ét ch~árgé~s dé t~rává~íl]
5. [Dóññ~éés]

[Cómmé Márk l'á ñóté súr sóñ blóg, íl ñ'éxísté áúcúñé téchñólógíé qúé lés ágéñcés péúvéñt méttré éñ œúvré póúr áttéíñdré Zéró Trúst. Máís Íllúmíó péút cóñtríbúér ét sóútéñír díréctéméñt bóñ ñómbré dés óbjéctífs ábórdés dáñs lé mémóráñdúm. Pár éxémplé, dáñs lé cádré dú pílíér dé l'ídéñtíté, lé góúvérñéméñt fédérál dévráít díspósér « d'úñ íñvéñtáíré cómplét dé tóús lés áppáréíls qúí fóñctíóññéñt dáñs lé cádré d'úñé útílísátíóñ áútóríséé pár lé góúvérñéméñt ét qúí péúvéñt prévéñír ét détéctér lés íñcídéñts súr cés áppáréíls ét ý répóñdré ».]

[Íllúmíó péút réñfórcér lés cápácítés dé détéctíóñ ét dé répóñsé (ÉDR) dés térmíñáúx d'úñé ágéñcé éñ fóúrñíssáñt úñé vísíbílíté cómplèté ét cóñtéxtúéllé pérméttáñt dé cómpréñdré lés rísqúés ét lés rélátíóñs éñtré lés áppáréíls. Lés óútíls ÉDR péúvéñt vóús íñdíqúér cé qúí sé pássé súr úñ áppáréíl íñdívídúél. Grâcé áúx fóñctíóññálítés dé cártógráphíé d'Íllúmíó, vóús póúvéz vóír lés íñtéráctíóñs ét lés rélátíóñs éñtré lés áppáréíls ét ávóír úñé ídéé plús cláíré dé cé qúí dóít êtré áútórísé ét dé cé qúí ñé dóít pás êtré áútórísé.]

[Ét, bíéñ éñtéñdú, cértáíñs sýstèmés téls qúé lés órdíñátéúrs céñtráúx ñé sóñt pás cómpátíblés ávéc lés óútíls ÉDR cár cés óútíls sóñt cóñçús póúr êtré íñstállés súr úñ sýstèmé d'éxplóítátíóñ. Máís Íllúmíó péút íñgérér dés dóññéés dé flúx próvéñáñt dé cés sýstèmés ét lés répréséñtér, áíñsí qúé léúrs íñtéráctíóñs, súr lá mêmé cárté dé dépéñdáñcé. Ét cétté cárté dé dépéñdáñcé détáílléé éñ témps réél cóñstítúé úñé prémíèré étápé ésséñtíéllé vérs lá ségméñtátíóñ Zéró Trúst.]

[Prót~éctí~óñ dé~s résé~áúx é~t dés~ chár~gés d~é trá~váíl~ áppl~ícát~ívés~]

[Lá phrásé clé dú mémóráñdúm cóñcérñáñt lés réséáúx áffírmé qúé « lés ágéñcés dóívéñt ábáñdóññér lá prátíqúé cóñsístáñt à máíñtéñír úñ vásté réséáú à l'échéllé dé l'éñtréprísé qúí pérmét úñé vísíbílíté áccrúé óú úñ áccès à dé ñómbréúsés ápplícátíóñs ét fóñctíóñs d'éñtréprísé dístíñctés ». L'óbjéctíf géñérál dé lá séctíóñ réséáú ést dé décómpósér lés pérímètrés dú réséáú éñ éñvíróññéméñts ísólés. Dóñc, éñ d'áútrés térmés : ímpléméñtéz lá ségméñtátíóñ.]

[Éñ térmés dé chárgé dé tráváíl, lé mémóráñdúm démáñdé áúx ágéñcés dé réñdré « lés ápplícátíóñs áccéssíblés à Íñtérñét dé máñíèré sécúríséé, sáñs récóúrír à úñ réséáú prívé vírtúél (VPÑ) óú à úñ áútré túññél réséáú ». Íls dóívéñt ídéñtífíér áú móíñs úñé ápplícátíóñ módéréé dé lá Lóí fédérálé súr lá géstíóñ dé lá sécúríté dé l'íñfórmátíóñ (FÍSMÁ) óríéñtéé vérs l'íñtérñé ét lá réñdré pléíñéméñt ópérátíóññéllé ét áccéssíblé súr l'Íñtérñét públíc.]

[Dáñs l'éñsémblé, vóící lé mésságé : vóús ñé póúvéz pás pártír dú príñcípé qúé vóús póúvéz fáíré cóñfíáñcé à qúóí qúé cé sóít súr vótré réséáú, ét vóús dévéz prótégér cháqúé ápplícátíóñ cómmé sí tóút cé qúí l'éñtóúré ñ'étáít pás fíáblé. Ádóptéz plútôt úñé méñtálíté dé víólátíóñ dáñs láqúéllé ñ'ímpórté qúéllé réssóúrcé dé vótré réséáú póúrráít êtré cómprómísé pár úñ áctéúr málvéílláñt. Qúé póúvéz-vóús fáíré póúr qú'íl léúr sóít vráíméñt díffícílé d'áttéíñdré léúrs óbjéctífs ¿]

[Ét c'ést éxáctéméñt là qú'Íllúmíó ét Zéró Trúst Ségméñtátíóñ éñtréñt éñ jéú. Lá ségméñtátíóñ Zéró Trúst, qúí íñclút lá mícróségméñtátíóñ báséé súr l'hôté, ést fóñdáméñtálé póúr Árchítéctúré Zéró Trúst dáñs lé bút dé cóñtrôlér ávéc précísíóñ móúvéméñt látérál súr l'éñsémblé dú réséáú.]

[L'ádóptíóñ d'úñé áppróché dé lá sécúríté dés bâtíméñts báséé súr l'hôté pérmét úñ cóñtrôlé gráñúláíré áú ñívéáú dú ápplícátíóñ ét chárgé dé tráváíl ñívéáú éxígé pár lé mémó, cé qú'úñé áppróché dé ségméñtátíóñ báséé súr lé réséáú ñ'ést pás éñ mésúré dé fóúrñír dé máñíèré dírécté. Lá téchñólógíé Zéró Trúst Ségméñtátíóñ d'Íllúmíó áídé díréctéméñt lés ágéñcés à répóñdré áúx éxígéñcés dé prótéctíóñ dés ápplícátíóñs ét dés chárgés dé tráváíl éñóñcéés dáñs lé mémó.]

[Réñd~ré lé~s ápp~lícá~tíóñ~s íñt~érñé~s ácc~éssí~blés~ éñ tó~úté s~écúrí~té dép~úís Í~ñtér~ñét]

[Lórsqúé vóús réñdéz úñé ápplícátíóñ qúí ést géñéráléméñt íñtérñé áccéssíblé éñ tóúté sécúríté dépúís Íñtérñét, célá sígñífíé qúé tóúté pérsóññé áýáñt réússí à s'áúthéñtífíér póúrrá ý áccédér díréctéméñt súr vótré réséáú íñtérñé. Máís sí cétté ápplícátíóñ ést cómprómísé, célá ñé dévráít pás sígñífíér qúé l'éñsémblé dé vótré órgáñísátíóñ ést cómprómísé. Vóús dévéz ádóptér úñé mícró-ségméñtátíóñ áútóúr dé cétté ápplícátíóñ áfíñ dé límítér l'ímpáct d'úñé víólátíóñ. Ésséñtíélléméñt, cháqúé ápplícátíóñ á bésóíñ d'úñ « mícró-pérímètré », úñé « éñclávé » Zéró Trúst. Íllúmíó péút jóúér úñ rôlé clé póúr réñdré célá póssíblé.]

[Vísí~bílí~té ét s~úrvé~íllá~ñcé b~áséés~ súr l~és rí~sqúé~s]

[Bíéñ éñtéñdú, lá vísíbílíté ét lá súrvéílláñcé sóñt dés éléméñts ésséñtíéls dé tóúté strátégíé dé sécúríté Zéró Trúst. céúx d'Íllúmíó cárté dés dépéñdáñcés dés ápplícátíóñs vóús pérmét d'óbsérvér lés flúx dé tráfíc éñtré lés ápplícátíóñs ét lés chárgés dé tráváíl dáñs lés céñtrés dé dóññéés ét lés plátéfórmés clóúd éñ témps réél, cé qúí vóús pérmét dé cómpréñdré lés dépéñdáñcés ét lá cóññéctívíté áfíñ dé póúvóír ségméñtér dé máñíèré ápprópríéé.]

[Íllúmíó rássémblé dé ñómbréúsés íñfórmátíóñs útílés qúé lés plátéfórmés dé súrvéílláñcé péúvéñt éxplóítér sáñs lés fráís géñéráúx (ét lés rísqúés sóúvéñt sóús-éstímés) líés à l'íñspéctíóñ dú réséáú. Pár éxémplé, Íllúmíó súpérpósé lés dóññéés dé vúlñérábílíté dé tíérs à lá cárté dés dépéñdáñcés dés ápplícátíóñs póúr úñé áppróché báséé súr lés rísqúés pérméttáñt dé príórísér lés décísíóñs éñ mátíèré dé sécúríté ét dé córréctífs, cé qúí, sí vóús éxámíñéz lé módèlé dé mátúríté Zéró Trúst dé lá CÍSÁ, dépéñd éñ gráñdé pártíé dé cé qúé vóús fáítés éñ prémíér.]

[L'íñtégrátíóñ dés dóññéés íssúés dés flúx dé vúlñérábílítés ét dé méñácés pérmét úñé vísíbílíté báséé súr lés rísqúés. Íllúmíó íñgèré lés dóññéés d'áñálýsé dés vúlñérábílítés dé vótré scáññér préféré dáñs ñótré Pólícý Cómpúté Éñgíñé (PCÉ). Célá fóúrñít dés métádóññéés dé vúlñérábílíté súr cháqúé chárgé dé tráváíl qúé vóús póúvéz súpérpósér ávéc úñé vúé dé lá cóññéctívíté dé lá chárgé dé tráváíl. Vóús óbtéñéz áíñsí úñé éxpósítíóñ qúáñtítátívé óú úñ scóré dé rísqúé, cé qúí vóús pérmét dé cómpréñdré fácíléméñt lé ñívéáú dé rísqúé géñéré pár lés vúlñérábílítés ét lés ápplícátíóñs qúí sé cóññéctéñt à dés pórts vúlñéráblés.]

[Éñ géñ~érál, ú~ñ áñá~lýsé~úr dé~ vúlñ~érábí~lítés~ ñé sá~ít pá~s à qúé~l póí~ñt úñ~é chá~rgé d~é trá~váíl~ ést é~xpós~éé. Máí~s c'é~st éx~ácté~méñt~ cé qú~é pró~pósé~ Íllú~míó. L~és dé~úx fó~rméñ~t úñé~ púís~sáñt~é cóm~bíñá~ísóñ~. Préñ~óñs ú~ñ éxé~mplé~.]

[Lé Vúlñérábílíté Lóg4j á pérmís áúx pírátés íñfórmátíqúés dé préñdré lé cóñtrôlé dé míllíóñs dé sérvéúrs, dé lés árrêtér óú dé lés fórcér à díffúsér dés lógícíéls málvéílláñts éñ ráísóñ d'úñ códé déféctúéúx lárgéméñt útílísé. Lóg4j á óbtéñú úñ scóré CVSS (Cómmóñ Vúlñérábílítý Scóríñg Sýstém) dé 10.]

[Máís ímágíñóñs qúé vóús ñ'áýéz qú'úñé séúlé chárgé dé tráváíl éxécútáñt Lóg4j ét qú'éllé sóít éñfóúíé áú plús prófóñd dé vótré céñtré dé dóññéés ávéc péú dé cóññéxíóñs áúx áútrés chárgés dé tráváíl. Pár áílléúrs, úñé áútré vúlñérábílíté ávéc úñ scóré dé 5 résídé dáñs 10 sérvéúrs háútéméñt cóññéctés.]

[Máíñtéñáñt, sí vóús éxámíñéz símpléméñt lés dóññéés dé vótré scáññér dé vúlñérábílítés, vóús póúrríéz cóñclúré qúé vóús féríéz míéúx dé pátchér ímmédíátéméñt lé sérvéúr Lóg4j. Máís sí vóús cóñsídéréz vótré éxpósítíóñ rééllé, vóús vóús réñdéz cómpté qúé cés 10 sérvéúrs préséñtáñt lá vúlñérábílíté 5, qúí sóñt déñséméñt cóññéctés, sóñt lés plús éxpósés ét dévráíéñt êtré córrígés éñ prémíér líéú.]

[C'ést cé qúé lá vísíbílíté báséé súr lés rísqúés d'Íllúmíó vóús pérmét dé vóír. Lá géstíóñ dés vúlñérábílítés máñqúé sóúvéñt dé príórítés, ét Íllúmíó áídé à híérárchísér lés vúlñérábílítés lés plús éxpóséés ét lés plús súscéptíblés d'êtré éxplóítéés éñ prémíér.]

[Métt~ré éñ~ plác~é úñ p~láñ d~é ség~méñt~átíó~ñ Zér~ó Trú~st áv~éc Íl~lúmí~ó]

[Álórs, réfléchísséz à célá éñ fóñctíóñ dés éxígéñcés dú mémó dé l'ÓMB. Dáñs 60 jóúrs (fíñ márs), lés ágéñcés dévróñt díspósér d'úñ pláñ dé mísé éñ œúvré dé l'árchítéctúré Zéró Trúst détáílláñt lá máñíèré dóñt éllés áttéíñdróñt lés óbjéctífs dú mémó. Célá íñclút lá máñíèré dóñt íls búdgétíséróñt lés óbjéctífs dú pláñ qúí dóívéñt êtré áchévés d'ící lá fíñ dé l'éxércícé 2024 ét céúx qúí dóívéñt êtré áchévés áú cóúrs dés éxércícés 2022 ét 2023, úñé tâché árdúé d'áútáñt plús árdúé éñ ráísóñ dés cóñtráíñtés dé témps. Lé méílléúr móýéñ ést dé cómméñcér módéstéméñt ét dé s'étéñdré súr tróís áñs.]

[Úñé gráñdé pártíé dú pláñ dé 60 jóúrs dóít móñtrér cómméñt vótré ágéñcé péút árrêtér lé móúvéméñt látérál d'úñ ádvérsáíré. Célá dévráít fígúrér éñ háút dé lá lísté dés príórítés. Áváñt dé déplóýér lá ségméñtátíóñ Zéró Trúst, vóús ávéz bésóíñ d'úñé cárté dé dépéñdáñcé dés ápplícátíóñs ét dés chárgés dé tráváíl éñ témps réél.]

[Vóús dévéz vóír cé qúé vóús vóúléz ségméñtér. Lá vísíbílíté ést dóñc ésséñtíéllé, tóút cómmé vérróúíllágé dés pórts íñútíléméñt óúvérts. Vóús póúvéz ý párvéñír ávéc cé qú'Íllúmíó áppéllé úñ « cómmútátéúr dé cóñfíñéméñt », qúí ést éñ fáít úñ mícró-ségméñt áútóúr d'úñ pórt pártícúlíér. Íllúmíó péút íñgérér dés dóññéés dé vúlñérábílíté póúr híérárchísér lés pórts lés plús rísqúés, cé qúí rédúít lé véctéúr d'áttáqúé. Vótré ágéñcé péút égáléméñt própósér úñ pláñ vísáñt à mícróségméñtér lés áctífs dé gráñdé váléúr (HVÁ) téls qúé lés ápplícátíóñs crítíqúés óú lés chárgés dé tráváíl.]

[Vóíc~í à qúó~í póú~rráí~t rés~sémb~lér ú~ñ dépl~óíém~éñt s~úr tr~óís á~ñs :]

• [ÉXÉR~CÍCÉ~ FÍSC~ÁL 22 : Béñ~éfící~éz d'~úñé v~ísíb~ílít~é súr l~é résé~áú, dép~lóýé~z dés~ cómm~útát~éúrs~ dé có~ñfíñ~éméñ~t ávé~c dés~ cárt~és dé~ vúlñ~érábí~líté, m~ícró~ségm~éñté~z lés~ HVÁ é~t íñt~égréz~-lés à v~ótré~ SÍÉM~]
• [ÉXÉRCÍCÉ FÍSCÁL 23 : Élárgír lés éffórts dé ségméñtátíóñ póúr íñclúré dé plús gráñds dómáíñés dé l'ágéñcé (pár éxémplé, sépárér lá pródúctíóñ dú dévélóppéméñt), póúrsúívré l'íñtégrátíóñ áú SÍÉM, ájóútér Límítés d'ápplícátíóñ, ét étéñdéz-lá áúx réséáúx clássífíés]
• [ÉXÉR~CÍCÉ~ FÍSC~ÁL 24 : Té~rmíñ~éz lé~ dépló~íémé~ñt dé~ lá mí~crós~égmé~ñtát~íóñ p~óúr l~és rés~éáúx~ ñóñ c~láss~ífíés~/clás~sífí~és, póú~rsúí~véz l~'ápp~lícá~tíóñ~ spécí~fíqú~é à l'á~pplí~cátí~óñ ét~ íñtég~réz-l~á dáñ~s lés~ ñóúv~éllé~s vér~síóñ~s dé s~érvé~úrs]

[Lá ségméñtátíóñ Íllúmíó Zéró Trúst péút pérméttré chácúñ dé cés résúltáts. Ét cértáíñés pártíés d'úñé ágéñcé péúvéñt sé tróúvér símúltáñéméñt à dífféréñts éñdróíts lórs dú déplóíéméñt súr úñé péríódé dé tróís áñs. Íllúmíó ést fléxíblé ét, cómmé íl ést décóúplé dé l'árchítéctúré réséáú, íl péút s'ádáptér à úñ ñómbré íllímíté dé chárgés dé tráváíl sóús géstíóñ.]

[Íllú~míó á~rrêté~ lé mó~úvém~éñt l~átérá~l dés~ málw~árés~ ét dé~s cýb~érát~táqú~és áf~íñ qú~é vót~ré ág~éñcé~ púís~sé ác~cómp~lír s~á mís~síóñ~ plús~ éffí~cácé~méñt~. Póúr~ plús~ d'íñ~fórm~átíó~ñs :]

• [Cóñt~ácté~z-ñóú~s póú~r dís~cúté~z ávé~c ñós~ éxpé~rts f~édéráú~x Zér~ó Trú~st.]
• [Vísí~téz ñ~ótré~ págé~ dés s~ólút~íóñs~ fédérá~lés p~óúr é~ñ sáv~óír p~lús s~úr lá~ máñí~èré dó~ñt Íl~lúmí~ó áíd~é lés~ ágéñ~cés é~t lés~ cómm~áñdé~s à créé~r úñé~ árch~ítéc~túré~ Zéró~ Trús~t ávé~c úñé~ vísí~bílí~té bás~éé súr~ lés r~ísqú~és ét~ úñé s~égmé~ñtát~íóñ Z~éró T~rúst~.]