Comment opérationnaliser la sécurité Zero Trust

Le Zero Trust est un modèle de sécurité fondé sur le principe « ne jamais faire confiance, toujours vérifier », qui part du postulat qu’une compromission est inévitable. Chaque demande d’accès doit donc être vérifiée. Ce modèle de sécurité est puissant, mais une mauvaise exécution peut générer des frictions inutiles pour les utilisateurs. L’objectif consiste à créer des protections conditionnelles et contextuelles qui agissent discrètement en arrière-plan, tout en offrant aux administrateurs un contrôle et une visibilité complets.

Ce guide présente les méthodes permettant d’opérationnaliser la sécurité Zero Trust pour renforcer la supervision et le contrôle. Pour une explication en vidéo de ce sujet, regardez Comment opérationnaliser la sécurité Zero Trust.

Méthodes pour opérationnaliser la sécurité Zero Trust

Avant de commencer, vérifiez que les éléments suivants sont en place.

📌 Prérequis généraux :

• Microsoft Entra ID (anciennement Azure AD) Premium P1 ou P2 (P1 requis pour l’accès conditionnel ; P2 pour Identity Protection)
• Microsoft Defender for Endpoint (pour l’évaluation du risque des appareils)
• PowerShell 5.1+ (7+ recommandé) avec le module Microsoft.Graph
• GPO et accès administrateur local
• Plateforme RMM (NinjaOne, par exemple) pour le déploiement de politiques basées sur des étiquettes et la validation des terminaux

Méthode 1 (contrôles d’identité) : créer des politiques d’accès conditionnel contextuelles

L’accès conditionnel (CA) est le moteur central du Zero Trust. Il s’agit d’une fonction clé de Microsoft Entra ID, qui applique des règles (autoriser, restreindre, bloquer) en fonction de signaux comme le niveau de risque, la conformité de l’appareil, la localisation, etc. Cette méthode vous aide à bâtir la première ligne de défense de votre stratégie Zero Trust.

📌 Cas d’usage : idéal lorsque vous devez bloquer l’accès depuis des appareils à risque ou non gérés et autoriser un accès fluide depuis des terminaux fiables et conformes.

📌 Prérequis :

• Licence Microsoft Entra ID P1 ou P2 (pour l’accès conditionnel et Identity Protection)
• Appareils enregistrés/synchronisés dans Entra ID
• Accès administrateur au centre d’administration Microsoft Entra
• Facultatif : PowerShell 5.1+ (7+ recommandé) avec le module Microsoft.Graph pour l’automatisation et le reporting

Étape par étape :

1. Rendez-vous sur le centre d’administration Microsoft Entra.
2. Connectez-vous avec un compte disposant des droits d’administrateur d’accès conditionnel.
3. Dans le menu de gauche, sélectionnez Entra ID > Accès conditionnel.
4. Cliquez sur + Créer une politique.
5. Donnez-lui un nom clair et explicite.
6. Sous Affectations, sélectionnez les utilisateurs ou groupes à inclure.
7. Cliquez sur Ressources cibles (anciennement Applications cloud) et sélectionnez les applications ou ressources auxquelles vous souhaitez appliquer la politique.
8. Cliquez sur Conditions et définissez les signaux contextuels.

💡 Astuce : évitez les règles trop larges qui bloquent tout le monde. Utilisez plutôt les options de Conditions disponibles (plateformes d’appareils, emplacements, applications clientes, filtres d’appareils ou flux d’authentification) pour appliquer des contrôles uniquement lorsque des risques précis sont détectés.

9. Autorisez ou bloquez via les contrôles d’accès.
10. Choisissez Rapport seul > Créer > validez dans Insights et reporting > puis passez en mode Activé. (Consultez le point n° 1 dans ⚠️ Points de vigilance .)

Facultatif : utiliser PowerShell pour identifier les utilisateurs à risque

Pour identifier les utilisateurs à risque, utilisez PowerShell :

Connect-MgGraph -Scopes "IdentityRiskEvent.Read.All"

Get-MgRiskyUser | Where-Object { $_.RiskLevel -eq "high" } | Select-Object UserPrincipalName, RiskLevel

📌 Remarque : cette commande ne récupère que les utilisateurs signalés comme présentant un risque élevé. Vous pouvez ajuster le filtre pour inclure les niveaux de risque moyen ou faible si nécessaire.

Exemple de logique de politique d’accès conditionnel

• Bloquer l’accès des appareils inconnus dont le niveau de risque = élevé.
• Exiger la MFA (authentification forte) uniquement lors d’un accès depuis des adresses IP non gérées ou non fiables.
• Autoriser un accès fluide depuis des appareils connus, conformes et joints en mode hybride.

Méthode 2 (contrôles d’identité) : simplifier la MFA (authentification forte), l’authentification unique (SSO) et les contrôles de session

Cette méthode renforce la sécurité des identités en simplifiant la MFA (authentification forte), l’authentification unique (SSO) et les contrôles de session, afin de réduire les frictions sans affaiblir la protection. Elle apporte le bon équilibre à une approche Zero Trust.

📌 Cas d’usage : à utiliser pour exiger la MFA (authentification forte) sur les applications sensibles, activer l’authentification unique (SSO), ajuster la durée des sessions et améliorer l’expérience globale sur les appareils de confiance.

📌 Prérequis :

• Licence Microsoft Entra ID P1 ou P2 (pour l’accès conditionnel et le risque adaptatif)
• Appareils enregistrés/synchronisés dans Entra ID
• Accès administrateur au centre d’administration Microsoft Entra
• Facultatif : PowerShell 5.1+ (7+ recommandé) avec le module Microsoft.Graph pour l’automatisation

Étape par étape :

Évitez les frictions en alignant l’authentification sur l’accès adaptatif et la confiance accordée aux appareils :

1. Créer une politique d’accès conditionnel exigeant la MFA (authentification forte) dans les contrôles d’accès

1. 1. Rendez-vous sur le centre d’administration Microsoft Entra.
   2. Dans le menu de gauche, sélectionnez Entra ID > Accès conditionnel.
   3. Créez ou modifiez une politique.
   4. Sous Contrôles d’accès, choisissez Accorder l’accès.
   5. Sélectionnez Exiger l’authentification multifacteur.

2. Activer l’authentification unique (SSO)

1. 1. Rendez-vous sur le centre d’administration Microsoft Entra > Applications d’entreprise.
   2. Sélectionnez l’application.
   3. Sous Authentification unique, choisissez SAML ou OIDC selon l’application.
   4. Configurez les paramètres de l’application.
   5. Affectez les utilisateurs ou groupes à l’application.
   6. Testez la configuration pour vérifier que la connexion se fait sans accroc.

📌 Remarque : OIDC/OAuth2 se configure souvent via les inscriptions d’applications (ou des applications de la galerie compatibles OIDC), et pas uniquement via les applications d’entreprise.

3. Configurer les contrôles de session

1. 1. Dans la même politique d’accès conditionnel, accédez à Contrôles de session.
   2. Configurez : (consultez le point n° 2 dans ⚠️ Points de vigilance.)
      • Fréquence de connexion
      • Session de navigateur persistante

Configurer la durée des sessions permet d’équilibrer sécurité et facilité d’utilisation.

Registre facultatif : enregistrer la validation MFA d’un utilisateur ou d’un appareil

📌 Remarque : exécutez PowerShell en tant qu’administrateur.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "MFAApproved" -Value "True"

📌 Si le chemin du registre n’existe pas, utilisez la commande suivante pour le créer avant de définir la propriété :

New-Item -Path "HKLM:\SOFTWARE\Org" -Name "TrustFlags" -Force

Associez cela à des filtres d’accès conditionnel pour limiter les prompts MFA aux appareils non étiquetés ou non gérés.

Astuce de pro : mettre en place un accès Just-In-Time (JIT) Si vous disposez d’Entra ID P2, allez au-delà des affectations d’administrateurs statiques. Utilisez Privileged Identity Management (PIM) pour obliger les administrateurs à « activer » leurs rôles avec une justification et la MFA (authentification forte). Ainsi, même si un compte administrateur est compromis, la « confiance » n’est valable que sur une fenêtre limitée (4 heures, par exemple).

Méthode 3 (référence de configuration des appareils) : utiliser les GPO pour appliquer une référence de configuration sans gêner les utilisateurs

Les objets de stratégie de groupe (GPO) constituent une solution fiable pour gérer les configurations des appareils de façon centralisée. Cette méthode s’appuie sur les GPO pour établir une référence de configuration Zero Trust locale sur tous les terminaux Windows, ce qui évite les dérives de configuration et comble les lacunes des politiques au niveau des appareils.

📌 Cas d’usage : garantir que tous les appareils joints au domaine respectent les standards de sécurité minimaux de la référence de configuration.

📌 Prérequis :

• Les appareils doivent être joints au domaine ou joints en mode hybride
• Privilèges d’administrateur de domaine pour créer et modifier des GPO

Étape par étape :

1. Appuyez sur Win + R, saisissez gpmc.msc, puis appuyez sur Entrée pour ouvrir la console de gestion des stratégies de groupe.
2. Faites un clic droit sur votre domaine ou sur une OU (unité organisationnelle).
3. Sélectionnez Créer un objet GPO dans ce domaine, et le lier ici. (Consultez le point n° 3 dans ⚠️ Points de vigilance .)
4. Donnez-lui un nom.
5. Faites un clic droit sur le nouveau GPO et cliquez sur Modifier.
6. Paramètres de GPO à configurer :

• • Activer Microsoft Defender Antivirus

Configuration ordinateur > Stratégies > Modèles d’administration > Composants Windows > Microsoft Defender Antivirus

📌 Définissez Désactiver Microsoft Defender Antivirus sur Désactivé (cela garantit que Defender est activé).

• • Activer SmartScreen

Configuration ordinateur > Modèles d’administration > Composants Windows > Explorateur de fichiers

📌 Définissez Configurer Windows Defender SmartScreen sur Activé, puis sélectionnez Avertir et empêcher le contournement.

• • Exiger le chiffrement BitLocker

Configuration ordinateur > Modèles d’administration > Composants Windows > Chiffrement de lecteur BitLocker

• • Activez les politiques correspondantes pour :
    • Lecteurs de données fixes : exiger BitLocker
    • Lecteurs du système d’exploitation : exiger BitLocker
    • Lecteurs de données amovibles : exiger BitLocker

• • Désactiver les partages anonymes

Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Options de sécurité

📌 Non applicable aux éditions récentes de Windows Server, remplacé par des valeurs par défaut plus strictes.

• • Forcer le bureau sécurisé pour les prompts d’élévation

Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Options de sécurité

📌 Repérez Contrôle de compte d’utilisateur : basculer vers le bureau sécurisé lors d’une demande d’élévation et définissez-le sur Activé.

Facultatif : forcer la mise à jour des GPO

Pour appliquer immédiatement la politique sur un poste client, exécutez : gpupdate /force

Approche moderne : passer au catalogue de paramètres Intune Pour les entreprises orientées cloud, reproduisez vos références de configuration GPO à l’aide des profils de configuration Microsoft Intune. Vous pouvez ainsi appliquer la « référence de configuration des appareils » via Internet, sans exiger de connexion VPN, ce qui constitue une exigence fondamentale d’un modèle Zero Trust « sans périmètre ».

Méthode 4 (confiance et application sur les appareils) : étiqueter les appareils via le registre pour gérer leur état de confiance

Dans les environnements Zero Trust, l’étiquetage via le registre permet de définir et de suivre localement l’état de confiance d’un appareil. Cette méthode utilise des entrées de registre pour alimenter la logique des scripts, l’audit et la correspondance des politiques.

📌 Cas d’usage : idéal pour étiqueter les appareils comme fiables ou gérés en vue du filtrage par accès conditionnel, permettre à votre RMM d’analyser ces indicateurs et d’attribuer des politiques en conséquence, et activer l’automatisation par scripts.

📌 Prérequis :

• Privilèges d’administrateur pour modifier le registre
• RMM ou outil de gestion des terminaux (facultatif mais recommandé)
• Accès à PowerShell ou à CMD (invite de commande) pour les scripts et la validation

Étape par étape :

1. Ouvrez PowerShell en tant qu’administrateur.
2. Créez le chemin de registre pour les indicateurs de confiance : New-Item -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Force
3. Définissez les indicateurs de confiance : (consultez le point n° 4 dans ⚠️ Points de vigilance.)

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "DeviceTrusted" -Value "True"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "ManagedByRMM" -Value "NinjaOne"

4. Validez les clés de registre :
   • Ouvrez l’invite de commande et exécutez : reg query HKLM\SOFTWARE\Org\TrustFlags

Vous devriez obtenir un résultat de ce type :

HKEY_LOCAL_MACHINE\SOFTWARE\Org\TrustFlags
DeviceTrusted REG_SZ True
ManagedByRMM REG_SZ NinjaOne

Utilisez votre RMM pour rechercher ces étiquettes et attribuer les scripts ou politiques correspondants.

📌 Remarque : l’accès conditionnel ne peut pas lire directement les valeurs du registre. Utilisez la conformité personnalisée d’Intune pour relier le registre d’état > la conformité de l’appareil > l’accès conditionnel et réaliser l’intégration avec le CA.

📌 Remarque pour les utilisateurs de NinjaOne : dans les environnements Windows dépourvus de RMM, l’étiquetage par registre permet de marquer les appareils de confiance. Si vous utilisez NinjaOne, cette étape est inutile. NinjaOne intègre déjà l’étiquetage des appareils, la surveillance du registre et l’attribution de politiques : les états de confiance s’appliquent donc automatiquement, sans modification manuelle du registre.

Méthode 5 (confiance et application sur les appareils) : utiliser PowerShell pour appliquer des politiques locales en temps réel

Cette méthode s’appuie sur PowerShell pour appliquer instantanément des politiques de sécurité aux appareils Windows, sans la latence associée aux GPO. Elle détecte les paramètres non conformes, les corrige en temps réel et transmet le statut à votre RMM ou à votre CI pour déclencher des alertes.

📌 Cas d’usage : idéal pour appliquer des paramètres de sécurité lors de l’onboarding et exécuter à la demande des contrôles de conformité et des scripts de remédiation.

📌 Prérequis :

• PowerShell 5.1 ou version ultérieure
• Privilèges d’administrateur pour exécuter des commandes au niveau système
• Facultatif : RMM ou outil de gestion des terminaux pour l’exécution à distance

Étape par étape :

1. Ouvrez PowerShell en tant qu’administrateur.
2. Activez le pare-feu Windows :

Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True

3. Désactivez SMBv1 (protocole obsolète) :

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

4. Auditez la dernière connexion de chaque utilisateur :

Get-LocalUser | ForEach-Object {
[PSCustomObject]@{
 User = $_.Name
LastLogon = $_.LastLogon
}
}

5. Intégrez ces contrôles à vos scripts d’onboarding ou de conformité.

⚠️ Points de vigilance

Autres points à prendre en compte

Tenez compte des facteurs suivants lorsque vous opérationnalisez la sécurité Zero Trust :

Ne bloquez pas les comportements légitimes connus

Les politiques d’accès conditionnel (CA) s’appliquent à tous les comptes, sauf si des exceptions sont définies. Sans exceptions appropriées, des workflows critiques risquent d’être interrompus. Par exemple, les comptes de service ne prennent souvent pas en charge la MFA (authentification forte) et échoueront s’ils sont inclus. De même, les adresses IP sécurisées n’ont pas nécessairement besoin de défis d’authentification répétés.

Ajoutez les comptes de service, les adresses IP sécurisées et les applications critiques pour l’activité à votre logique d’exception afin d’éviter les interruptions. Cette approche préserve des contrôles Zero Trust solides sans perturber les opérations quotidiennes.

Surveillez les échecs de connexion et les blocages de politiques

Le Zero Trust exige une surveillance continue. Utilisez les journaux de connexion Microsoft 365 et les requêtes Graph API pour analyser les tendances d’authentification, suivre l’effet des politiques sur les utilisateurs et repérer les risques émergents. Vous disposez ainsi des données nécessaires pour affiner vos règles d’accès et ajuster les niveaux d’application.

Formez les utilisateurs finaux à l’auto-remédiation sécurisée

Les collaborateurs constituent la première ligne de votre stratégie Zero Trust. Formez-les à gérer seuls les problèmes courants, comme la réinscription à la MFA (authentification forte) ou la procédure en cas de perte d’appareil. Cela réduit les tickets au service d’assistance, limite les temps d’arrêt et incite les utilisateurs à sécuriser activement leurs comptes et leurs appareils.

Testez les politiques conditionnelles et annulez les changements grâce au RMM

Avant de déployer des politiques d’accès conditionnel à l’échelle de l’entreprise, utilisez votre outil de surveillance et gestion à distance (RMM) pour les tester sur un petit groupe pilote. Vous détectez ainsi les frictions en amont, vous surveillez l’UX (expérience utilisateur) et vous pouvez revenir rapidement en arrière si nécessaire.

Dépannage

Voici les problèmes fréquents que vous pouvez rencontrer en opérationnalisant la sécurité Zero Trust, et comment les résoudre :

Utilisateurs bloqués hors des applications

Les filtres d’accès conditionnel (CA) peuvent bloquer des utilisateurs légitimes s’ils ne remplissent pas les conditions définies. Examinez à la fois les affectations de la politique et les filtres (conformité de l’appareil, emplacement, risque utilisateur, etc.) pour comprendre pourquoi l’accès a été refusé.

Appareil marqué comme non conforme

Un appareil peut apparaître comme non conforme si des fonctions de sécurité sont absentes ou mal configurées. Les causes fréquentes concernent Microsoft Defender Antivirus, le TPM, BitLocker ou une dérive des politiques de référence. Vérifiez que Defender Antivirus est actif, que le TPM est disponible, que BitLocker est activé et que les références de configuration sont correctement appliquées.

GPO non appliqué

Un GPO peut ne pas s’appliquer s’il n’est pas correctement lié ou si les paramètres de portée ne correspondent pas. Exécutez : gpresult /h report.html pour générer un rapport des politiques appliquées et refusées.

📌 Remarque :

Start-Process .\report.html

Cette commande ouvre le fichier report.html dans le navigateur par défaut et vous permet d’examiner les GPO appliqués et refusés dans un format clair et lisible.

Vérifiez ensuite que le GPO est lié à la bonne OU (unité organisationnelle), que la portée est exacte et que les paramètres de traitement en boucle (loopback) sont corrects.

Boucle de prompts MFA

Les boucles MFA proviennent souvent de sessions mal configurées ou de problèmes de renouvellement de jeton. Vérifiez les paramètres de session de l’accès conditionnel (fréquence de connexion, session de navigateur persistante) et le comportement de renouvellement des jetons pour les applications concernées. Assurez-vous que les applications prennent en charge l’authentification moderne afin d’éviter les demandes MFA répétées.

Services NinjaOne

NinjaOne vous aide à opérationnaliser le Zero Trust :

Avec NinjaOne, les MSP peuvent centraliser la validation de la confiance accordée aux appareils et automatiser l’application du Zero Trust sur tous leurs tenants, sans ajouter de friction pour les administrateurs ni pour les utilisateurs.

Opérationnaliser la sécurité Zero Trust pour renforcer la protection des identités et des terminaux

Il est possible de bâtir un environnement Zero Trust sans exaspérer les utilisateurs ni surcharger les techniciens. L’accès conditionnel, PowerShell, les GPO et l’étiquetage du registre, combinés à une automatisation intelligente, permettent aux MSP d’appliquer des contrôles de sécurité robustes avec un impact minimal sur les utilisateurs.

Ce guide a présenté les principales méthodes pour opérationnaliser la sécurité Zero Trust : créer des politiques d’accès conditionnel adaptatives, appliquer des GPO et des paramètres de registre pour les terminaux de confiance, et utiliser PowerShell pour appliquer et auditer les mesures Zero Trust. Il a également montré comment NinjaOne simplifie l’étiquetage de la confiance, l’application des politiques et l’automatisation multi-tenant, ce qui renforce l’approche Zero Trust.

Sujets connexes :

• Comment implémenter le Zero Trust pour renforcer la cybersécurité : guide pratique
• Comment configurer des politiques d’accès conditionnel dans Azure AD
• Qu’est-ce que l’architecture Zero Trust ? Le modèle de sécurité informatique de référence expliqué