Qu’est-ce qu’un accès à privilèges ?
Dans un environnement d’entreprise, un « accès à privilèges » désigne un accès spécial ou des capacités qui s’étendent au-delà de celles d’un utilisateur standard. L’accès à privilèges permet aux organisations de sécuriser leur infrastructure et leurs applications, de poursuivre leur activité de façon efficace et de préserver la confidentialité des données sensibles et des infrastructures critiques.
L’accès à privilèges peut être associé à des utilisateurs humains, mais aussi à des utilisateurs non humains comme des applications et des identités de machines.
Exemples d’accès à privilèges utilisés par les humains :
- Compte superutilisateur : Compte puissant utilisé par les administrateurs de systèmes informatiques pour configurer un système ou une application, ajouter ou supprimer des utilisateurs ou supprimer des données.
- Compte d’administrateur de domaine : Compte fournissant un accès administratif à privilèges à toutes les stations de travail et tous les serveurs appartenant à un domaine réseau. Ces comptes sont généralement rares, mais ils fournissent l’accès le plus complet et le plus robuste sur l’ensemble du réseau. On emploie parfois l’expression « les clés du royaume informatique » pour qualifier la nature privilégiée de certains comptes et systèmes administrateur.
- Compte d’administrateur local : Ce compte se situe sur un terminal ou une station de travail et utilise une combinaison nom d’utilisateur/mot de passe. Il aide les personnes à accéder à leurs machines et appareils locaux et à y apporter des modifications.
- Clé SSH (Secure socket shell) : On utilise les clés SSH dans les protocoles de contrôle d’accès qui fournissent un accès racine direct aux systèmes critiques. On appelle Root (racine) le nom d’utilisateur ou le compte qui, par défaut, a accès à toutes les commandes et à tous les fichiers sur un système d’exploitation Linux ou de type Unix.
- Compte d’urgence : Ce compte fournit aux utilisateurs un accès administratif aux systèmes sécurisés en cas d’urgence. On l’appelle parfois compte « firecall ».
- Utilisateur métier à privilèges : Cet utilisateur ne travaille pas dans l’informatique, mais il a accès à des systèmes sensibles. Il peut s’agit d’une personne qui a besoin d’accéder à des systèmes financiers, RH (ressources humaines) ou marketing.
Exemples d’accès à privilèges non humains :
- Compte d’application : Compte à privilège spécifique à l’application, généralement utilisé pour administrer, configurer ou gérer l’accès de l’application logicielle.
- Compte de service : Compte utilisé par une application ou un service pour interagir avec le système d’exploitation. Les services utilisent ces comptes pour accéder au système d’exploitation ou à la configuration et apporter des modifications.
- Clé SSH : (Telles que définies ci-dessus). Les clés SSH sont également utilisées par les processus automatisés.
- Secret : Terme souvent utilisé par l’équipe de développement et opérations (DevOps) comme une expression globale faisant référence aux clés SSH, aux API (application program interface) et autres identifiants utilisés par les équipes DevOps pour fournir un accès à privilèges.
Les comptes à privilèges, les identifiants et les secrets sont présents partout : on estime qu’ils sont trois à quatre fois plus nombreux que les employés. Dans les environnements professionnels modernes, la surface d’attaque liée aux privilèges augmente rapidement, suivant l’interconnexion croissante entre les systèmes, les applications, les comptes machine-machine, les environnements cloud et hybrides, le DevOps, l’automatisation des processus par la robotique et les dispositifs IoT. Les attaquants le savent pertinemment et ciblent les accès à privilèges. Aujourd’hui, presque 100 % des attaques sophistiquées s’appuient sur l’exploitation d’identifiants à privilèges pour atteindre les données, les applications et l’infrastructure les plus sensibles de leur cible. S’il est utilisé à mauvais escient, l’accès à privilèges est capable de perturber toute l’activité.
Failles de sécurité connues impliquant les accès à privilèges
Au cours de la dernière décennie, de nombreuses failles de sécurité ont été associées à une utilisation abusive des accès à privilèges. De Terry Childs et Edward Snowden à Yahoo! en passant par la faille massive de l’OPM aux États-Unis, la faille de la Banque du Bangladesh, l’attaque ciblant le réseau électrique ukrainien ou même la faille Uber dont on a beaucoup entendu parler, le dénominateur commun à chacune de ces attaque était l’utilisation abusive d’identifiants à privilèges, utilisés pour planifier, coordonner et exécuter les cyberattaques.
Qu’est-ce que la gestion des accès à privilèges ?
Les organisations mettent en œuvre la gestion des accès à privilèges (PAM) pour se protéger contre les menaces que constituent le vol d’identifiants et l’utilisation mal intentionnée des privilèges. La gestion des accès à privilèges fait référence à une stratégie de cybersécurité complète, qui englobe les personnes, les processus et les technologies, et qui vise à contrôler, superviser, sécuriser et auditer toutes les identités et les activités à privilèges, humaines et non humaines, dans tout l’environnement informatique d’une entreprise.
Parfois appelée gestion des identités à privilèges (PIM) ou sécurité des accès à privilèges (PAS), la gestion des accès à privilèges s’appuie sur le principe du moindre privilège, selon lequel les utilisateurs ne reçoivent que le niveau d’accès minimum requis pour effectuer leur travail. Le principe du moindre privilège est largement considéré comme une bonne pratique de cybersécurité et constitue une étape fondamentale dans la protection des accès à privilèges aux données et actifs de forte valeur. En appliquant le principe du moindre privilège, les organisations peuvent réduire leur surface d’attaque et atténuer le risque dû aux acteurs internes malveillants ou aux cyberattaques externes qui peuvent entraîner des fuites de données coûteuses.
Principaux défis de la gestion des accès à privilèges
Les organisations doivent faire face à de nombreux défis pour protéger, contrôler et superviser les accès à privilèges, y compris :
- Gérer les identifiants de comptes : Beaucoup d’organisations du secteur de l’informatique s’appuient sur des processus administratifs manuels intensifs et sujets à l’erreur pour renouveler et mettre à jour les identifiants à privilèges. Cette démarche peut s’avérer inefficace et coûteuse.
- Suivre les activités à privilèges : Nombre d’entreprises ne sont pas en mesure de superviser et de contrôler de façon centrale les sessions à privilèges, ce qui les expose à des menaces de cybersécurité et à des manquements en termes de conformité.
- Superviser et analyser les menaces : Rares sonhttps://cyberark365.sharepoint.com/sites/MarketingCampaign/Website/Forms/AllItems.aspx?FolderCTID=0x012000930B6A65C9D81D4CBE9DD1E7B400F16A&viewid=4b54e815%2D218d%2D4638%2Da45e%2D5cc346b389fdt les organisations qui disposent d’outils d’analyse complets. Ainsi, beaucoup ne sont pas capables d’identifier de façon proactive les activités suspectes ou de corriger les incidents de sécurité.
- Contrôler les accès utilisateur à privilèges : Les organisations ont souvent du mal à contrôler efficacement l’accès aux plateformes de cloud (IaaS ou PaaS), aux applications SaaS (Software as a Service), aux réseaux sociaux, etc., ce qui est source de risques de conformité et de complexité opérationnelle.
- Protéger les contrôleurs de domaine Windows : Les cybercriminels peuvent exploiter des vulnérabilités dans le protocole d’authentification Kerberos pour se faire passer pour des utilisateurs autorisés et ainsi accéder à des ressources informatiques critiques et à des données confidentielles.
Pourquoi la gestion des accès à privilèges est-elle importante pour votre organisation ?
- Les humains sont le maillon faible. Qu’il s’agisse d’utilisateurs internes utilisant de façon malveillante leur niveau d’accès, ou de cyberattaquants externes cherchant à voler les privilèges d’utilisateurs pour opérer discrètement en se faisant passer pour des acteurs internes à privilèges, les humains sont toujours le maillon faible de la chaîne de cybersécurité. La gestion des accès à privilèges aide les organisations à s’assurer que les personnes disposent uniquement du niveau d’accès nécessaire pour faire leur travail. La gestion des accès à privilèges aide aussi les équipes de sécurité à identifier les activités malveillantes liées à l’utilisation abusive des privilèges et à prendre des mesures rapides pour neutraliser le risque.
- Dans les entreprises numériques, les privilèges sont omniprésents. Les systèmes doivent être capables d’accéder et de communiquer les uns avec les autres pour travailler ensemble. À l’heure où les organisations adoptent le cloud, l’automatisation des processus par la robotique, l’IoT et autres, le nombre de machines et d’applications qui requièrent un accès à privilèges augmente et étend la surface d’attaque. Ces entités non humaines sont en général beaucoup plus nombreuses que les employés et elles sont plus difficiles à superviser et à gérer, voire à identifier, tout simplement. Les applications commerciales disponibles (COTS) requièrent généralement l’accès à différentes parties du réseau, que les attaquants peuvent exploiter. Une stratégie robuste de gestion des accès à privilèges tient compte de tous les privilèges, où qu’ils « vivent » : sur site, dans le cloud ou dans les environnements hybrides, et elle détecte les activités anormales dès leur apparition.
- Les cybercriminels ciblent les terminaux et les stations de travail. Dans une entreprise, chaque terminal (ordinateur portable ou de bureau, smartphone, tablette, serveur, etc.) renferme par défaut des privilèges. Les comptes administrateur intégrés permettent aux équipes informatiques de résoudre les problèmes localement, mais ils constituent une source de risque importante. Les attaquants peuvent exploiter les comptes administrateur, puis passer d’une station de travail à l’autre, volant au passage des identifiants supplémentaires, pour élever leurs privilèges et se déplacer latéralement sur le réseau jusqu’à atteindre ce qu’ils sont venus chercher. Un programme proactif de gestion des accès à privilèges doit inclure la suppression complète des droits d’administrateur local sur chaque station de travail afin de réduire le risque.
- La gestion des accès à privilèges est essentielle pour atteindre la conformité. La capacité à superviser et à détecter les événements suspects dans un environnement est très importante. Cependant, si l’entreprise ne se concentre pas sur les éléments qui présentent le plus de risques, à savoir les accès à privilèges non gérés, non supervisés et non protégés, alors elle reste vulnérable. La mise en œuvre de la gestion des accès à privilèges dans le cadre d’une stratégie complète de sécurité et de gestion du risque permet aux organisations d’enregistrer et de consigner toutes les activités liées à l’infrastructure informatique critique et aux informations sensibles, ce qui simplifie les procédures d’audit et les exigences de conformité.
Les organisations qui accordent la priorité aux programmes de gestion des accès à privilèges dans le cadre de leur stratégie globale de cybersécurité y trouvent de nombreux avantages : atténuation des risques de sécurité, réduction de la surface d’attaque globale, diminution des coûts opérationnels et de la complexité, amélioration de la visibilité et de la connaissance du contexte dans toute l’entreprise, ou encore amélioration de la conformité réglementaire.
Bonnes pratiques en matière de gestion des accès à privilèges
Les étapes suivantes proposent un cadre de référence pour établir des contrôles de gestion des accès à privilèges permettant de renforcer la posture de sécurité d’une organisation. La mise en œuvre d’un programme qui s’appuie sur ces étapes peut aider les organisations à atteindre une meilleure réduction du risque en moins de temps, à protéger la réputation de leur marque et à remplir les objectifs de sécurité et réglementaires en utilisant moins de ressources internes.
- Éliminer les attaques irréversibles par prise de contrôle du réseau. Isoler tous les accès à privilèges des contrôleurs de domaine et autres actifs de niveaux 0 et 1, et exiger l’authentification à plusieurs facteurs.
- Contrôler et sécuriser les comptes de l’infrastructure. Placer tous les comptes connus liés à l’infrastructure dans un coffre-fort numérique géré de façon centrale. Renouveler régulièrement et automatiquement les mots de passe après chaque utilisation.
- Limiter les déplacements latéraux. Supprimer complètement tous les utilisateurs de points de terminaison (end point) dans les groupes d’administrateurs locaux sur les stations de travail Windows afin d’éviter le vol d’identifiants.
- Protéger les identifiants pour les applications tierces. Placer dans un coffre-fort tous les comptes à privilèges utilisés par des applications tierces et éliminer tous les identifiants intégrés dans le code des applications commerciales disponibles.
- Gérer les clés SSH *NIX. Placer dans un coffre-fort toutes les paires de clés SSH sur les serveurs de production Linux et Unix et les renouveler régulièrement.
- Protéger les secrets DevOps dans le cloud sur site. Sécuriser tous les comptes, les clés et les clés API de cloud public. Placer tous les identifiants et les secrets utilisés par les outils CI/CD comme Ansible, Jenkins et Docker dans un coffre-fort sécurisé, pour permettre de les récupérer à la volée, de les renouveler automatiquement et de les gérer.
- Sécuriser les administrateurs SaaS et les utilisateurs métier à privilèges. Isoler tous les accès aux identifiants partagés et exiger une authentification à plusieurs facteurs.
- Investir régulièrement dans les exercices de type Red Team afin de tester les défenses. Valider et améliorer l’efficacité par rapport à des attaques réelles.
Pour explorer ces bonnes pratiques en détail, cliquer ici.
