Le travail à distance fait désormais partie intégrante des activités quotidiennes. Chaque organisation a besoin de solutions d’accès à distance qui offrent aux utilisateurs l’accès aux ressources critiques selon de réels besoins opérationnels – qui a besoin d’accès, à quoi, à partir d’où et selon quelles conditions. Pourtant, de nombreuses organisations s’appuient encore sur des solutions d’accès VPN héritées, conçues pour une autre époque, où le périmètre du réseau était clair, les applications étaient hébergées dans le centre de données et les utilisateurs et appareils étaient en grande partie gérés et prévisibles. Aujourd’hui, ces hypothèses ne tiennent plus. Les adversaires modernes exploitent la compromission des identités, l’utilisation abusive d’autorisations excessives et se déplacent latéralement une fois à l’intérieur. Dans cette réalité, les VPN traditionnels ne sont pas alignés sur un cadre d’accès réseau Zero Trust (ZTNA) et laissent souvent une large surface d’attaque exposée. Ce blogue explique pourquoi les VPN hérités sont insuffisants et comment les solutions alignées ZTNA, souvent offertes à travers des approches Security Service Edge (SSE), comblent les lacunes.

Pourquoi les VPN hérités ne suffisent-ils plus

1. Authentification « à passage unique » et contrôle limité des déplacements latéraux

Les VPN traditionnels authentifient couramment un utilisateur une seule fois (généralement avec des identifiants, parfois avec MFA), puis placent l’utilisateur « sur le réseau ». À partir de là, l’accès ressemble souvent à une connexion interne – large portée, trop grande confiance implicite et application granulaire limitée.

Pourquoi c’est important :
Si un attaquant vole ou rejoue les identifiants d’un utilisateur, le VPN devient un tunnel direct vers le réseau d’entreprise. Une fois à l’intérieur, l’attaquant peut :

• Sonder les services internes
• Se déplacer latéralement à travers les sous-réseaux accessibles
• Élever ses privilèges ou pivoter vers des systèmes de grande valeur. C’est exactement ainsi que de nombreuses violations modernes se produisent : compromission d’identité, suivie d’une reconnaissance interne et de déplacements latéraux.

2. Capacités de gestion des accès insuffisantes (faible principe du moindre privilège)

Les modèles d’accès VPN hérités sont souvent centrés sur le réseau : les utilisateurs obtiennent l’accès à des segments, des sous-réseaux ou de larges routes plutôt qu’à des applications ciblées de manière restreinte.

Où cela échoue :

• Les utilisateurs peuvent souvent accéder à des systèmes au-delà de leur rôle
• Les autorisations sont fréquemment générales et difficiles à maintenir
• Les entrepreneurs ou tiers peuvent avoir un accès « temporairement large » qui n’est jamais complètement révoqué

Conséquence sur les risques :
Cela viole le principe du moindre privilège, l’un des fondements du Zero Trust. Un accès sur-autorisé augmente la probabilité qu’un acteur menaçant interne (ou un attaquant externe utilisant des identifiants valides) cause des dommages matériels.

3. Les solutions fonctionnent en silo et manquent d’application automatisée en temps réel

Les VPN hérités sont souvent des systèmes autonomes. Ils peuvent authentifier et connecter les utilisateurs, mais ne s’intègrent souvent pas profondément avec :

• Signaux de posture/conformité de l’appareil
• Détection et réponse des points de terminaison (EDR)
• Évaluation du risque d’identité
• Analytique des comportements des utilisateurs et entités (UEBA)
• Renseignement sur les menaces en temps réel

Lacune :
Même lorsqu’un comportement anormal est détecté ailleurs (par exemple, par un agent EDR), la solution VPN peut ne pas être capable d’appliquer automatiquement des mesures correctives en temps réel, comme restreindre l’accès, forcer la ré-authentification ou isoler une session.

4. Contraintes de performance et d’évolutivité

De nombreuses architectures VPN héritées reposent sur des passerelles centralisées, ce qui introduit des défis opérationnels courants :

• Point unique de défaillance ou conceptions HA complexes pour réduire les risques
• Évolutivité limitée à mesure que la demande d’accès à distance augmente
• Goulots d’étranglement du réseau causés par le routage du trafic par une passerelle centrale
• Latence géographique pour les utilisateurs distribués
• Complexité de la maintenance (correctifs, mises à niveau, planification de capacité)

Les utilisateurs subissent de mauvaises performances et les équipes TI passent leur temps à maintenir le VPN plutôt qu’à améliorer la sécurité.

Ce que font différemment les solutions alignées ZTNA

Le ZTNA n’est pas simplement un « VPN avec MFA ». Le ZTNA change le modèle d’accès basé sur la confiance réseau en un accès basé sur l’identité et le contexte, évalué en continu. En pratique, les solutions alignées ZTNA, souvent offertes dans le cadre du SSE, éliminent les failles structurelles de sécurité courantes avec l’accès à distance hérité. Voici certains des principaux avantages des solutions alignées ZTNA :

1. Réduction de la surface d’attaque : Le ZTNA réduit l’exposition en s’assurant que l’accès est accordé uniquement aux destinataires souhaités et seulement aux applications précises qu’ils sont autorisés à utiliser. Cela permet :

• Les utilisateurs ne reçoivent pas un accès réseau étendu ni ne sont placés sur le réseau.
• Le déplacement latéral est minimisé : même si des identifiants sont volés, un attaquant ne peut pas automatiquement analyser ni pivoter à travers les réseaux internes.
• Les applications critiques n’ont pas besoin d’être exposées directement à Internet : les courtiers d’accès médiatisent la communication entre l’utilisateur et l’application, réduisant l’exposition et limitant l’étendue des dégâts.

2. Vérification de confiance en temps réel (décisions d’accès continues) : Les solutions alignées ZTNA peuvent valider la confiance en continu à l’aide de signaux en temps réel, tels que :

• Conformité de l’appareil (géré ou non, chiffrement, version du SE)
• Posture de sécurité (EDR présent, dernière synchronisation, état des menaces)
• Risque d’identité et contexte d’authentification
• Localisation, heure et indicateurs de comportements anormaux

Plus important encore, lorsqu’une violation se produit, ces solutions peuvent appliquer automatiquement des mesures prédéfinies sans intervention manuelle, par exemple, déclencher une authentification renforcée ou une ré-authentification, mettre fin à la session, restreindre l’accès aux applications à haut risque ou mettre en quarantaine les chemins d’accès jusqu’à ce que l’appareil soit conforme. Cela comble l’écart entre la détection et l’application auquel de nombreuses organisations font face.

3. Gestion centralisée des politiques et meilleure expérience utilisateur : Les solutions alignées ZTNA offrent généralement :

• Création et application centralisées des politiques
• Contrôles cohérents pour les utilisateurs, appareils et applications
• Opérations simplifiées comparativement à la gestion de plusieurs passerelles VPN et listes d’accès
• Connectivité sans faille aux applications
• Réduction de la latence (souvent grâce à des points d’accès distribués à l’échelle mondiale)
• Moins de frictions « se connecter au VPN, puis tenter de travailler »

Lorsqu’il est bien mis en œuvre, le ZTNA peut améliorer simultanément la sécurité et l’expérience utilisateur, ce qui en fait l’une des raisons majeures pour lesquelles il est devenu une priorité stratégique.

Le résultat clé : Protection contre les attaques modernes

Les solutions alignées ZTNA offrent des avancées mesurables dans la protection des entreprises face aux modes d’attaque dominants actuels, incluant les menaces liées à l’identité telles que le vol d’identifiants, le vol de jetons et le détournement de session. Elles peuvent détecter des comportements inattendus chez les utilisateurs ou les charges de travail, prendre des décisions d’accès fondées sur le risque et automatiser la ré-authentification et la validation lors de détections d’activité suspecte. Une réduction de la surface d’attaque est obtenue en éliminant la confiance implicite et la portée excessive du réseau. Plutôt que d’assumer qu’être à l’intérieur du VPN équivaut à la confiance, le ZTNA part du principe qu’aucune confiance implicite n’est accordée et la vérifie en continu selon l’identité et le contexte.

Les VPN hérités ont été construits pour fournir de la connectivité, tandis que les solutions alignées ZTNA sont conçues pour offrir un accès contrôlé grâce au moindre privilège, à la vérification continue et à une exposition réduite. Si votre stratégie d’accès à distance repose encore fortement sur des VPN au niveau du réseau, la question n’est pas de savoir si cela fonctionne, mais si cela est aligné avec le paysage des menaces et les principes du Zero Trust. Les attaquants modernes n’ont pas besoin de beaucoup de temps dans votre réseau : ils n’ont besoin que d’un chemin d’accès et d’espace pour agir, et le but du ZTNA est d’éliminer cet espace.