Les entreprises modernes opèrent dans des environnements où les utilisateurs, appareils et applications sont très dispersés, et les décisions d'accès doivent s'adapter continuellement aux conditions de risque changeantes. L'authentification statique, ponctuelle est insuffisante pour protéger contre les menaces évolutives telles que le compromis d'identifiants, la mauvaise configuration des appareils et les risques induits par les utilisateurs.
L'accès adaptatif est une approche architecturale qui permet des décisions d'accès dynamiques basées sur une évaluation continue des signaux contextuels, y compris :
- Score de risque d'utilisateur
- La posture de l'appareil
- Niveau de confiance de l'authentification
- Réseau et emplacement
- Contexte d'application et de ressource
- Intégrité de la session
- Contexte de menace
Dans la plateforme SASE de Cato, les capacités d'accès adaptatif sont implémentées à travers plusieurs plans de contrôle et appliquées au PoP. L'accès adaptatif est appliqué à travers une plage de méthodes d'accès, garantissant que les contrôles basés sur le contexte sont systématiquement appliqués par les politiques pertinentes de Cato. Cela permet une application cohérente, consciente de l'identité et du contexte pour la connectivité, l'accès aux applications et le trafic réseau, sans s'appuyer sur des hypothèses de confiance statiques.
En combinant une évaluation continue du signal avec l'application des règles, les organisations peuvent réduire l'exposition aux utilisateurs et appareils compromis, imposer un accès avec privilèges minimaux et déclencher une authentification renforcée lorsque une garantie accrue est nécessaire. En même temps, les administrateurs obtiennent une visibilité sur les risques utilisateurs, la conformité de l'appareil et l'état de la session, permettant des décisions opérationnelles et de sécurité éclairées.
Les organisations ont besoin d'un accès adaptatif pour remplacer la confiance statique par des décisions contextuelles et continues à travers les utilisateurs, les appareils et les sessions. Les conditions de confiance peuvent changer après la connexion, et le contrôle d'accès doit réagir à ces changements.
L'authentification initiale et l'emplacement réseau sont insuffisants contre le vol d'identifiants, les points de terminaison non gérés et les conditions de menace en évolution rapide.
Cato implémente l'accès adaptatif à travers quatre piliers :
- Construire la confiance avec des signaux forts : L'accès adaptatif dépend de signaux qui sont actuels, fiables, et continuellement mis à jour. Ces signaux créent la base pour les décisions politiques durant l'établissement de la session et tout au long de son cycle de vie.
- Confiance unifiée par l'agrégation de signaux : Les signaux sont corrélés au PoP pour refléter l'état actuel de la session. Les attributs d'identité, les résultats de posture et les indicateurs comportementaux sont évalués ensemble pour chaque demande.
- Appliquer la règle par la confiance à travers les plans de contrôle : Les politiques sont appliquées en ligne au PoP à travers la connectivité, l'accès aux applications et le trafic réseau. Le même contexte est appliqué systématiquement à la connectivité client, ZTNA et les décisions de pare-feu.
- Visibilité de la confiance pour l'analyse et la réponse : L'application de gestion Cato (CMA) fournit une visibilité centralisée des décisions de politique et des signaux qui les sous-tendent. Une console de gestion unique aide les administrateurs à enquêter sur les sessions, valider les résultats, et appliquer des modifications cohérentes de politique à travers les plans de contrôle.
Cette approche permet une application continue, sensible au risque, alignée avec le Zero Trust, sans avoir recours à des hypothèses de confiance statique.
Les capacités d'accès adaptatif de la plateforme Cato soutiennent des scénarios où les décisions d'accès doivent évoluer lorsque les conditions de l'utilisateur, de l'appareil ou de la session changent.
-
Accès à des applications privées basé sur le risque : Contrôler l'accès aux applications internes en fonction de l'état actuel de la session utilisateur et de l'appareil.
- Exemple : un utilisateur est autorisé à accéder à une application RH interne lorsque l'appareil réussit les vérifications de posture et que le score de risque de l'utilisateur reste dans la plage acceptable. Le même utilisateur peut être bloqué de cette application au milieu de la session si le score de risque augmente. Par exemple, ils téléchargent des logiciels malveillants ou se connectent à un domaine de commande-and-control connu.
-
Contrôle de la connectivité sensible à l'appareil : Assurez-vous que seuls les appareils conformes et sécurisés peuvent établir une connectivité au Cloud de Cato.
- Exemple: un ordinateur portable d'entreprise géré, équipé de l'agent de protection des terminaux requis, est autorisé à se connecter au Cloud de Cato. Le même appareil peut être bloqué si la protection des terminaux n'exécute pas la version la plus récente.
-
Authentification renforcée pour un accès sensible : Exige une ré-authentification lorsque les utilisateurs accèdent à des ressources sensibles ou lorsque l'assurance de la session est insuffisante.
- Exemple : un utilisateur est autorisé à parcourir les ressources internes standard avec la session existante. Lorsque l'utilisateur tente d'ouvrir une application financière sensible, la politique peut exiger une ré-authentification avant que l'accès soit autorisé.
-
Accès à distance contrôlé pour les utilisateurs : Définissez quels utilisateurs sont autorisés à la connectivité à distance et restreignez les autres à un accès basé au bureau uniquement.
- Exemple : les employés dans des groupes d'utilisateurs approuvés sont autorisés à l'accès à distance aux applications privées via le client Cato. Les utilisateurs qui sont restreints à l'accès uniquement au bureau sont bloqués lorsqu'ils tentent de se connecter à distance.
-
Visibilité opérationnelle pour les administrateurs : Fournissez de la visibilité sur les sessions utilisateurs et les décisions d'accès pour soutenir le dépannage et la validation des politiques.
- Exemple : les administrateurs peuvent consulter pourquoi un utilisateur a été autorisé, bloqué ou mis au défi en examinant l'activité utilisateur et les événements dans la CMA. Par exemple, la page Annuaire des Utilisateurs vous permet de filtrer les utilisateurs par niveau de risque (comme Élevé ou Critique), et d'identifier rapidement les utilisateurs qui nécessitent une enquête.
Les décisions d'accès adaptatif sont basées sur des signaux contextuels qui décrivent l'état actuel de l'utilisateur, de l'appareil et de la session. Ces signaux sont évalués en continu et utilisés par les politiques CMA pour déterminer si l'accès doit être autorisé, restreint ou soumis à défi.
-
Score de Risque Utilisateur : Représente le risque actuel de sécurité de la session utilisateur. Le score est continuellement mis à jour en fonction de l'activité comportementale et des détections de sécurité, y compris :
- Indicateurs de systèmes déjà compromis
- Indicateurs de tentatives bloquées pouvant mener à une infection
- Violations de politique ou activités risquées pouvant potentiellement mener à une compromission
-
Posture de l'appareil : Représente l'état de sécurité du point de terminaison. Dans la CMA, la posture est définie à l'aide des Profils de Posture de Dispositif et Vérifications de Dispositif. Le Client Cato impose ces vérifications sur l'appareil avant et pendant l'accès, et l'état de posture résultant peut être référencé à travers plusieurs politiques qui nécessitent la conformité de l'appareil.
- Les Vérifications de Dispositif évaluent des conditions spécifiques sur le point de terminaison (par exemple, état de la protection des terminaux, version OS, certificats ou configuration).
- Les Profils de Posture de Dispositif regroupent une ou plusieurs vérifications en profils réutilisables qui représentent une base de sécurité requise.
- Conformité MDM externe : Étend la posture de l'appareil avec des signaux de systèmes externes tels que Microsoft Intune. Ces signaux indiquent si l'appareil est conforme aux politiques organisationnelles, telles que le chiffrement ou le niveau de patch.
- Confiance dans l'authentification : Représente la fraîcheur et la validité du jeton d'authentification de l'utilisateur. Il est dérivé du jeton Cato et indique si la session satisfait toujours au niveau requis d'assurance d'authentification.
Ces signaux sont évalués au PoP et fournis au moteur de politique, permettant des décisions d'accès continue, sensibles au risque, tout au long du cycle de vie de la session.
L'application adaptative de l'accès est réalisée au PoP de Cato, où l'identité, l'appareil et les signaux de session sont évalués lors de l'établissement de la session et de l'activité en cours.
- Après une authentification réussie, le PoP établit la session et récupère l'identité de l'utilisateur et les attributs du groupe. Évaluation initiale de la politique : Lorsque la session est établie, le PoP évalue les signaux contextuels pertinents par rapport aux politiques configurées.
- Cela établit la décision initiale d'accès pour la session utilisateur et détermine si l'utilisateur est autorisé à se connecter. Accéder à une application : Lorsque l'utilisateur tente d'accéder à une application, le PoP évalue les conditions politiques pertinentes pour cette demande.
- Authentification renforcée : Si la politique exige une authentification renforcée, le PoP redirige l'utilisateur vers l'IdP configuré.
- Après une ré-authentification réussie, la session se poursuit avec le niveau requis de garantie. Application continue : Une fois l'accès accordé, le PoP continue d'évaluer les conditions de la session.
- Si le risque augmente, la posture échoue ou l'assurance de l'authentification n'est plus suffisante, la politique peut bloquer l'accès ou exiger que l'utilisateur s'authentifie de nouveau. Politiques Cato pour l'accès adaptatif
L'accès adaptatif dans la plateforme Cato est implémenté à travers plusieurs politiques CMA qui appliquent des décisions d'accès à travers la connectivité, l'accès aux applications, et le trafic réseau.
Chaque politique évalue les signaux contextuels et applique des contrôles à différentes étapes de la session utilisateur. Politique de Connectivité Client
La Politique de Connectivité Client contrôle si un appareil utilisateur est autorisé à établir une connexion avec le Cloud de Cato.
Cette politique applique les principes du Zero Trust au point de connexion en validant l'appareil et la session avant que l'accès ne soit accordé. Les administrateurs utilisent cette politique pour prévenir la connexion d'appareils non gérés ou non conformes, et pour appliquer les exigences d'authentification avant l'établissement d'une session.
Politique d'Accès Privé
Cato Private Access vous permet de fournir un accès sécurisé basé sur l'identité aux applications privées sans étendre votre réseau aux utilisateurs.
Au lieu de donner une connectivité directe au niveau réseau comme un VPN traditionnel, vous appliquez un accès avec privilège minimal, spécifique à l'application, basé sur l'identité et le contexte utilisateur. La Politique d'Accès Privé contrôle l'accès aux applications privées et impose un accès avec privilège minimal pour que seuls les utilisateurs se connectent aux applications privées spécifiques qu'ils utilisent.
Politique Toujours Activée
La Politique Toujours Activée permet aux administrateurs de définir quels utilisateurs et appareils doivent rester continuellement connectés au Cloud de Cato afin que leur trafic soit toujours inspecté et contrôlé par les politiques de sécurité.
Il s'agit d'une politique granulaire qui répond aux différents besoins de connectivité des différentes populations d'utilisateurs. Par exemple, les employés ou les appareils gérés peuvent être tenus de rester connectés, tandis que les contractuels ou les appareils non gérés peuvent être autorisés à une connectivité à la demande ou un accès direct à Internet. Always-On permet aux organisations d'aligner l'application de la connectivité avec le risque et la confiance.
Les scénarios de haute confiance ou de haut risque peuvent nécessiter une inspection continue, tandis que les scénarios de moindre risque peuvent permettre une connectivité plus flexible sans compromettre la posture de sécurité globale. Politiques de Sécurité
Le tableau suivant résume quels signaux contextuels sont pris en charge par chaque politique Cato discutée dans les sections précédentes.
Chaque ligne représente une politique, et chaque colonne représente un signal contextuel. Ce tableau offre une référence rapide pour savoir où les signaux d'accès adaptatif sont appliqués à travers la plateforme Cato. Nom de la politique
| Score de Risque Utilisateur | Posture de l'appareil | Conformité externe | Confiance dans l'authentification | Politique de Connectivité Client |
|---|---|---|---|---|
| Non | Oui | Oui | Oui | Oui |
| Politique d'Accès Privé (ZTNA) | Oui | Oui | Oui | Non |
| Politique Toujours Activée | Non | Oui | Oui | Non |
| Politique de Pare-feu Internet | Oui | Oui | Oui | Oui |
| Politique de Pare-feu WAN | Oui | Oui | Oui | Non |
| Contrôle d'Application & Politique de DLP | Non | Oui | Oui | Non |
0 commentaire
Vous devez vous connecter pour laisser un commentaire.