![<\/a><\/div>\nLa r\u00e9ponse aux incidents (RI) est une course contre la montre. Vous engagez votre \u00e9quipe interne ou externe parce qu’il existe suffisamment de preuves que quelque chose de grave se produit, mais vous restez aveugle \u00e0 la port\u00e9e, \u00e0 l’impact et \u00e0 la cause profonde. L’ensemble commun d’outils et de pratiques IR offre aux \u00e9quipes IR la possibilit\u00e9 de d\u00e9couvrir les fichiers malveillants et les connexions r\u00e9seau sortantes. Cependant, l’aspect identit\u00e9 – \u00e0 savoir l’identification des comptes d’utilisateurs compromis qui ont \u00e9t\u00e9 utilis\u00e9s pour se propager sur votre r\u00e9seau – reste malheureusement n\u00e9glig\u00e9. Cette t\u00e2che s’av\u00e8re \u00eatre la plus longue pour les \u00e9quipes IR et est devenue une bataille difficile et difficile qui permet aux attaquants de gagner un temps pr\u00e9cieux pendant lequel ils peuvent encore infliger des d\u00e9g\u00e2ts. <\/p>\nDans cet article, nous analysons la cause profonde de l\u2019identit\u00e9 des angles morts IR et fournissons des exemples de sc\u00e9narios IR dans lesquels ils agissent comme un inhibiteur d\u2019un processus rapide et efficace. Nous pr\u00e9sentons ensuite la plateforme de protection unifi\u00e9e des identit\u00e9s de Silverfort et montrons comment son MFA en temps r\u00e9el et sa segmentation des identit\u00e9s peuvent surmonter cet angle mort et faire la diff\u00e9rence entre un incident contenu et une violation co\u00fbteuse. <\/p>\nIR 101\u00a0:\u00a0La connaissance, c’est le pouvoir. Le temps est tout <\/h2>\nLe d\u00e9clenchement d\u2019un processus IR peut prendre des millions de formes. Ils partagent tous une ressemblance dans la mesure o\u00f9 vous pensez \u2013 ou \u00eates m\u00eame s\u00fbr \u2013 que quelque chose<\/em><\/strong> c’est faux, mais tu ne sais pas exactement quoi<\/em>, o\u00f9<\/em>et comment<\/em>.<\/strong> Si vous avez de la chance, votre \u00e9quipe a rep\u00e9r\u00e9 la menace alors qu’elle est encore en train de renforcer sa puissance int\u00e9rieure, mais n’a pas encore atteint son objectif malveillant. Si vous \u00eates pas<\/em> Heureusement, vous ne prenez conscience de la pr\u00e9sence d’un adversaire qu’une fois que son impact s’est d\u00e9j\u00e0 fait sentir : machines crypt\u00e9es, donn\u00e9es manquantes et toute autre forme d’activit\u00e9 malveillante. <\/p>\nD\u2019une mani\u00e8re ou d\u2019une autre, la t\u00e2che la plus urgente une fois que l\u2019IR commence \u00e0 fonctionner est de dissoudre l\u2019obscurit\u00e9 et d\u2019obtenir un aper\u00e7u clair des entit\u00e9s compromises au sein de votre environnement. Une fois localis\u00e9es et valid\u00e9es, des mesures peuvent \u00eatre prises pour contenir les attaques en mettant les machines en quarantaine, en bloquant le trafic sortant, en supprimant les fichiers malveillants et en r\u00e9initialisant les comptes d’utilisateurs. <\/p>\nIl se trouve que cette derni\u00e8re t\u00e2che est loin d\u2019\u00eatre triviale lorsqu\u2019il s\u2019agit de comptes d\u2019utilisateurs compromis et pr\u00e9sente un d\u00e9fi encore non r\u00e9solu. Comprenons pourquoi. <\/p>\n\u00c9cart IR d’identit\u00e9 n\u00b0\u00a01\u00a0:\u00a0aucune d\u00e9marche de Playbook pour d\u00e9tecter les comptes compromis<\/h3>\nContrairement aux fichiers malveillants ou aux connexions r\u00e9seau sortantes malveillantes, un compte compromis ne fait rien de essentiellement malveillant : il se connecte simplement aux ressources de la m\u00eame mani\u00e8re qu’un compte normal. <\/strong>S’il s’agit d’un compte administrateur qui acc\u00e8de quotidiennement \u00e0 plusieurs postes de travail et serveurs \u2013 ce qui est le cas dans de nombreuses attaques \u2013 son mouvement lat\u00e9ral ne semblera m\u00eame pas anormal. <\/p>\n\nVous souhaitez en savoir plus sur les capacit\u00e9s de r\u00e9ponse aux incidents de la plateforme Silverfort ? Planifiez une d\u00e9mo aujourd’hui<\/a>!<\/p>\n<\/div>\nLe r\u00e9sultat est que la d\u00e9couverte du compte compromis a lieu uniquement apr\u00e8s<\/em> les machines compromises sont localis\u00e9es et mises en quarantaine, et m\u00eame dans ce cas, cela implique de v\u00e9rifier manuellement tous les comptes qui y sont enregistr\u00e9s. Et encore une fois : dans une course contre la montre, la d\u00e9pendance \u00e0 l\u2019\u00e9gard d\u2019investigations manuelles et sujettes aux erreurs cr\u00e9e un retard critique. <\/p>\n\u00c9cart IR d’identit\u00e9 n\u00b02\u00a0: aucune mesure de Playbook pour contenir imm\u00e9diatement l’attaque et emp\u00eacher sa propagation<\/h3>\nComme dans la vraie vie, il y a une \u00e9tape de premiers secours imm\u00e9diats qui pr\u00e9c\u00e8de un traitement complet. L’\u00e9quivalent dans le monde IR consiste \u00e0 contenir l’attaque dans ses limites actuelles et \u00e0 garantir qu’elle ne se propage pas davantage, avant m\u00eame d’avoir d\u00e9couvert ses composants actifs. Au niveau du r\u00e9seau, cela se fait en isolant temporairement les segments qui h\u00e9bergent potentiellement des activit\u00e9s malveillantes de ceux qui ne sont pas encore compromis. Au niveau du point final, cela se fait en mettant en quarantaine les machines sur lesquelles se trouvent les logiciels malveillants.<\/p>\nL\u00e0 encore, l\u2019aspect identitaire doit rattraper son retard. Le seul confinement disponible consiste \u00e0 d\u00e9sactiver le compte utilisateur dans AD ou \u00e0 r\u00e9initialiser son mot de passe. La premi\u00e8re option est interdite en raison des perturbations op\u00e9rationnelles qu\u2019elle introduit, notamment en cas de faux positifs. La deuxi\u00e8me option n\u2019est pas bonne non plus ; si le compte suspect est un compte de service machine \u00e0 machine, la r\u00e9initialisation de son mot de passe est susceptible de perturber les processus critiques qu’il g\u00e8re, entra\u00eenant ainsi des dommages suppl\u00e9mentaires en plus de ceux caus\u00e9s par l’attaque. Si l\u2019adversaire a r\u00e9ussi \u00e0 compromettre l\u2019infrastructure d\u2019identit\u00e9 elle-m\u00eame, la r\u00e9initialisation du mot de passe sera imm\u00e9diatement r\u00e9solue en passant \u00e0 un autre compte. <\/p>\n\u00c9cart IR d’identit\u00e9 n\u00b03\u00a0: aucune mesure de strat\u00e9gie pour r\u00e9duire les surfaces d’attaque d’identit\u00e9 expos\u00e9es que les adversaires ciblent dans le cadre de l’attaque<\/h3>\nLes faiblesses qui exposent la surface d\u2019attaque d\u2019identit\u00e9 \u00e0 l\u2019acc\u00e8s malveillant aux informations d\u2019identification, \u00e0 l\u2019\u00e9l\u00e9vation des privil\u00e8ges et aux mouvements lat\u00e9raux constituent des angles morts pour la posture et les produits d\u2019hygi\u00e8ne de la pile de s\u00e9curit\u00e9. Cela prive l\u2019\u00e9quipe IR d\u2019indications critiques de compromission qui auraient pu consid\u00e9rablement acc\u00e9l\u00e9rer le processus.<\/p>\nDes exemples frappants sont les protocoles d’authentification vuln\u00e9rables comme NTLM (ou, pire encore, NTLMv1), les mauvaises configurations comme les comptes d\u00e9finis avec une d\u00e9l\u00e9gation sans contrainte, les administrateurs fant\u00f4mes, les utilisateurs obsol\u00e8tes et bien d’autres. Les adversaires se r\u00e9galent de ces faiblesses alors qu\u2019ils empruntent la voie de la vie hors de la terre. L’incapacit\u00e9 de localiser, de reconfigurer ou de prot\u00e9ger les comptes et les machines pr\u00e9sentant ces faiblesses transforme l’IR en un v\u00e9ritable berger, o\u00f9 pendant que l’analyste est occup\u00e9 \u00e0 analyser pour voir si le compte A est compromis, les adversaires exploitent d\u00e9j\u00e0 le compte B compromis. <\/p>\nConclusion\u00a0: aucun outil. Aucun raccourci. Juste une analyse lente et manuelle des journaux pendant que l’attaque est \u00e0 pleine vitesse<\/h3>\nVoil\u00e0 donc le statu quo\u00a0: lorsque l’\u00e9quipe IR doit enfin d\u00e9couvrir qui sont les comptes d’utilisateurs compromis que l’attaquant utilise pour se propager dans votre environnement. C\u2019est un secret dont personne ne parle et c\u2019est la v\u00e9ritable raison pour laquelle les attaques par mouvements lat\u00e9raux sont si efficaces et difficiles \u00e0 contenir, m\u00eame lorsque le processus IR est en cours.<\/p>\nC’est le d\u00e9fi que Silverfort r\u00e9sout<\/strong><\/a>.<\/p>\nProtection d’identit\u00e9 unifi\u00e9e Silverfort pour les op\u00e9rations IR<\/h2>\nLa plateforme de protection unifi\u00e9e des identit\u00e9s de Silverfort s’int\u00e8gre \u00e0 l’infrastructure d’identit\u00e9 sur site et dans le cloud (Active Directory, Entra ID, Okta, Ping, etc.). Cette int\u00e9gration permet \u00e0 Silverfort d’avoir une visibilit\u00e9 compl\u00e8te sur toute tentative d’authentification et d’acc\u00e8s, une application de l’acc\u00e8s en temps r\u00e9el pour emp\u00eacher tout acc\u00e8s malveillant avec MFA ou blocage d’acc\u00e8s, ainsi qu’une d\u00e9couverte et une protection automatis\u00e9es des comptes de service. <\/p>\nVoyons comment ces fonctionnalit\u00e9s acc\u00e9l\u00e8rent et optimisent le processus IR d’identit\u00e9\u00a0:<\/p>\nD\u00e9tection des comptes compromis avec MFA sans interruption op\u00e9rationnelle<\/h3>\nSilverfort est la seule solution capable d’appliquer la protection MFA sur toutes les authentifications AD, y compris les outils de ligne de commande tels que PsExec et PowerShell. <\/strong>Gr\u00e2ce \u00e0 cette fonctionnalit\u00e9, une politique unique exigeant que tous les comptes d’utilisateurs v\u00e9rifient leur identit\u00e9 avec MFA peut d\u00e9tecter tous les comptes compromis en quelques minutes.<\/p>\nUne fois la politique configur\u00e9e, le flux est simple\u00a0: <\/p>\n\nL’adversaire tente de poursuivre son acc\u00e8s malveillant et se connecte \u00e0 une machine avec les informations d’identification du compte compromises.<\/li>\nLe v\u00e9ritable utilisateur re\u00e7oit une invite MFA et nie avoir demand\u00e9 l’acc\u00e8s \u00e0 la ressource sp\u00e9cifi\u00e9e.<\/li>\n<\/ol>\nObjectif n\u00b01 atteint\u00a0: il existe d\u00e9sormais des preuves incontestables que ce compte est compromis.<\/strong><\/p>\nRemarque\u00a0: Maintenant qu’il existe un compte compromis valid\u00e9, tout ce que nous devons faire est de filtrer toutes les machines auxquelles ce compte s’est connect\u00e9 dans l’\u00e9cran de journal de Silverfort. <\/p>\nContenir l\u2019attaque avec des politiques MFA et bloquer l\u2019acc\u00e8s <\/h3>\nLa politique MFA que nous avons d\u00e9crite ci-dessus sert non seulement \u00e0 d\u00e9tecter quels comptes sont compromis, mais \u00e9galement \u00e0 d\u00e9tecter quels comptes sont compromis.o emp\u00eacher toute propagation suppl\u00e9mentaire de l\u2019attaque<\/strong>. Cela permet \u00e0 l’\u00e9quipe IR de geler l’emprise de l’adversaire l\u00e0 o\u00f9 il se trouve et de garantir que toutes les ressources encore non compromises restent intactes.<\/p>\nLa protection en cas de perturbation op\u00e9rationnelle revisit\u00e9e\u00a0: zoom sur les comptes de service<\/h3>\nUne attention particuli\u00e8re doit \u00eatre accord\u00e9e aux comptes de service, car ils sont fortement exploit\u00e9s par les acteurs malveillants. Ces comptes machine \u00e0 machine ne sont pas associ\u00e9s \u00e0 un utilisateur humain et ne peuvent pas \u00eatre soumis \u00e0 la protection MFA. <\/p>\nCependant, Silverfort d\u00e9couvre automatiquement ces comptes et obtient des informations sur leurs comportements r\u00e9p\u00e9titifs. Avec cette visibilit\u00e9, Silverfort permet la configuration de politiques qui bloquent l’acc\u00e8s chaque fois qu’un compte de service s’\u00e9carte de son comportement. De cette mani\u00e8re, toute l\u2019activit\u00e9 du compte de service standard n\u2019est pas perturb\u00e9e, tandis que toute tentative malveillante d\u2019en abuser est bloqu\u00e9e. <\/p>\nObjectif n\u00b02 atteint\u00a0: l’attaque est contenue et l’\u00e9quipe IR peut rapidement passer \u00e0 l’enqu\u00eate<\/strong><\/p>\n\u00c9liminer les faiblesses expos\u00e9es dans la surface d’attaque d’identit\u00e9<\/h3>\nLa visibilit\u00e9 de Silverfort sur toutes les authentifications et tentatives d’acc\u00e8s au sein de l’environnement lui permet de d\u00e9couvrir et d’att\u00e9nuer les faiblesses courantes dont profitent les attaquants. Voici quelques exemples:<\/p>\n\nD\u00e9finition des politiques MFA pour tous les administrateurs fant\u00f4mes<\/li>\nD\u00e9finition de politiques de blocage d’acc\u00e8s pour toutes les authentifications NTLMv1<\/li>\nD\u00e9couvrez tous les comptes configur\u00e9s sans pr\u00e9-authentification<\/li>\nD\u00e9couvrez tous les comptes configur\u00e9s avec une d\u00e9l\u00e9gation sans contrainte <\/li>\n<\/ul>\nCette r\u00e9duction de la surface d’attaque aura g\u00e9n\u00e9ralement lieu lors de la phase initiale de \u00ab premiers secours \u00bb. <\/p>\nObjectif n\u00b03 atteint\u00a0: les faiblesses d’identit\u00e9 sont att\u00e9nu\u00e9es et ne peuvent pas \u00eatre utilis\u00e9es \u00e0 des fins de propagation malveillante.<\/strong><\/p>\nConclusion\u00a0: Il est imp\u00e9ratif d’acqu\u00e9rir des capacit\u00e9s IR d’identit\u00e9\u00a0\u2013\u00a0\u00cates-vous pr\u00eat\u00a0?<\/h2>\nLes comptes compromis sont un \u00e9l\u00e9ment cl\u00e9 dans plus de 80 % des cyberattaques, ce qui rend le risque d’\u00eatre touch\u00e9 presque certain. Les acteurs de la s\u00e9curit\u00e9 devraient investir dans des outils IR capables de r\u00e9pondre \u00e0 cet aspect afin de garantir leur capacit\u00e9 \u00e0 r\u00e9agir efficacement lorsqu’une telle attaque se produit. <\/p>\nPour en savoir plus sur les capacit\u00e9s IR de la plateforme Silverfort, atteindre<\/a> \u00e0 l\u2019un de nos experts pour planifier une d\u00e9mo rapide.<\/p>\n<\/p>\nVous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Pourquoi-les-identites-compromises-sont-elles-le-cauchemar-de-la-vitesse.jpg\"){kind=link}
La r\u00e9ponse aux incidents (RI) est une course contre la montre. Vous engagez votre \u00e9quipe interne ou externe parce qu’il existe suffisamment de preuves que quelque chose de grave se produit, mais vous restez aveugle \u00e0 la port\u00e9e, \u00e0 l’impact et \u00e0 la cause profonde. L’ensemble commun d’outils et de pratiques IR offre aux \u00e9quipes IR la possibilit\u00e9 de d\u00e9couvrir les fichiers malveillants et les connexions r\u00e9seau sortantes. Cependant, l’aspect identit\u00e9 – \u00e0 savoir l’identification des comptes d’utilisateurs compromis qui ont \u00e9t\u00e9 utilis\u00e9s pour se propager sur votre r\u00e9seau – reste malheureusement n\u00e9glig\u00e9. Cette t\u00e2che s’av\u00e8re \u00eatre la plus longue pour les \u00e9quipes IR et est devenue une bataille difficile et difficile qui permet aux attaquants de gagner un temps pr\u00e9cieux pendant lequel ils peuvent encore infliger des d\u00e9g\u00e2ts. <\/p>\n
Dans cet article, nous analysons la cause profonde de l\u2019identit\u00e9 des angles morts IR et fournissons des exemples de sc\u00e9narios IR dans lesquels ils agissent comme un inhibiteur d\u2019un processus rapide et efficace. Nous pr\u00e9sentons ensuite la plateforme de protection unifi\u00e9e des identit\u00e9s de Silverfort et montrons comment son MFA en temps r\u00e9el et sa segmentation des identit\u00e9s peuvent surmonter cet angle mort et faire la diff\u00e9rence entre un incident contenu et une violation co\u00fbteuse. <\/p>\n
IR 101\u00a0:\u00a0La connaissance, c’est le pouvoir. Le temps est tout <\/h2>\n
Le d\u00e9clenchement d\u2019un processus IR peut prendre des millions de formes. Ils partagent tous une ressemblance dans la mesure o\u00f9 vous pensez \u2013 ou \u00eates m\u00eame s\u00fbr \u2013 que quelque chose<\/em><\/strong> c’est faux, mais tu ne sais pas exactement quoi<\/em>, o\u00f9<\/em>et comment<\/em>.<\/strong> Si vous avez de la chance, votre \u00e9quipe a rep\u00e9r\u00e9 la menace alors qu’elle est encore en train de renforcer sa puissance int\u00e9rieure, mais n’a pas encore atteint son objectif malveillant. Si vous \u00eates pas<\/em> Heureusement, vous ne prenez conscience de la pr\u00e9sence d’un adversaire qu’une fois que son impact s’est d\u00e9j\u00e0 fait sentir : machines crypt\u00e9es, donn\u00e9es manquantes et toute autre forme d’activit\u00e9 malveillante. <\/p>\n D\u2019une mani\u00e8re ou d\u2019une autre, la t\u00e2che la plus urgente une fois que l\u2019IR commence \u00e0 fonctionner est de dissoudre l\u2019obscurit\u00e9 et d\u2019obtenir un aper\u00e7u clair des entit\u00e9s compromises au sein de votre environnement. Une fois localis\u00e9es et valid\u00e9es, des mesures peuvent \u00eatre prises pour contenir les attaques en mettant les machines en quarantaine, en bloquant le trafic sortant, en supprimant les fichiers malveillants et en r\u00e9initialisant les comptes d’utilisateurs. <\/p>\n Il se trouve que cette derni\u00e8re t\u00e2che est loin d\u2019\u00eatre triviale lorsqu\u2019il s\u2019agit de comptes d\u2019utilisateurs compromis et pr\u00e9sente un d\u00e9fi encore non r\u00e9solu. Comprenons pourquoi. <\/p>\n Contrairement aux fichiers malveillants ou aux connexions r\u00e9seau sortantes malveillantes, un compte compromis ne fait rien de essentiellement malveillant : il se connecte simplement aux ressources de la m\u00eame mani\u00e8re qu’un compte normal. <\/strong>S’il s’agit d’un compte administrateur qui acc\u00e8de quotidiennement \u00e0 plusieurs postes de travail et serveurs \u2013 ce qui est le cas dans de nombreuses attaques \u2013 son mouvement lat\u00e9ral ne semblera m\u00eame pas anormal. <\/p>\n Vous souhaitez en savoir plus sur les capacit\u00e9s de r\u00e9ponse aux incidents de la plateforme Silverfort ? Planifiez une d\u00e9mo aujourd’hui<\/a>!<\/p>\n<\/div>\n Le r\u00e9sultat est que la d\u00e9couverte du compte compromis a lieu uniquement apr\u00e8s<\/em> les machines compromises sont localis\u00e9es et mises en quarantaine, et m\u00eame dans ce cas, cela implique de v\u00e9rifier manuellement tous les comptes qui y sont enregistr\u00e9s. Et encore une fois : dans une course contre la montre, la d\u00e9pendance \u00e0 l\u2019\u00e9gard d\u2019investigations manuelles et sujettes aux erreurs cr\u00e9e un retard critique. <\/p>\n Comme dans la vraie vie, il y a une \u00e9tape de premiers secours imm\u00e9diats qui pr\u00e9c\u00e8de un traitement complet. L’\u00e9quivalent dans le monde IR consiste \u00e0 contenir l’attaque dans ses limites actuelles et \u00e0 garantir qu’elle ne se propage pas davantage, avant m\u00eame d’avoir d\u00e9couvert ses composants actifs. Au niveau du r\u00e9seau, cela se fait en isolant temporairement les segments qui h\u00e9bergent potentiellement des activit\u00e9s malveillantes de ceux qui ne sont pas encore compromis. Au niveau du point final, cela se fait en mettant en quarantaine les machines sur lesquelles se trouvent les logiciels malveillants.<\/p>\n L\u00e0 encore, l\u2019aspect identitaire doit rattraper son retard. Le seul confinement disponible consiste \u00e0 d\u00e9sactiver le compte utilisateur dans AD ou \u00e0 r\u00e9initialiser son mot de passe. La premi\u00e8re option est interdite en raison des perturbations op\u00e9rationnelles qu\u2019elle introduit, notamment en cas de faux positifs. La deuxi\u00e8me option n\u2019est pas bonne non plus ; si le compte suspect est un compte de service machine \u00e0 machine, la r\u00e9initialisation de son mot de passe est susceptible de perturber les processus critiques qu’il g\u00e8re, entra\u00eenant ainsi des dommages suppl\u00e9mentaires en plus de ceux caus\u00e9s par l’attaque. Si l\u2019adversaire a r\u00e9ussi \u00e0 compromettre l\u2019infrastructure d\u2019identit\u00e9 elle-m\u00eame, la r\u00e9initialisation du mot de passe sera imm\u00e9diatement r\u00e9solue en passant \u00e0 un autre compte. <\/p>\n Les faiblesses qui exposent la surface d\u2019attaque d\u2019identit\u00e9 \u00e0 l\u2019acc\u00e8s malveillant aux informations d\u2019identification, \u00e0 l\u2019\u00e9l\u00e9vation des privil\u00e8ges et aux mouvements lat\u00e9raux constituent des angles morts pour la posture et les produits d\u2019hygi\u00e8ne de la pile de s\u00e9curit\u00e9. Cela prive l\u2019\u00e9quipe IR d\u2019indications critiques de compromission qui auraient pu consid\u00e9rablement acc\u00e9l\u00e9rer le processus.<\/p>\n Des exemples frappants sont les protocoles d’authentification vuln\u00e9rables comme NTLM (ou, pire encore, NTLMv1), les mauvaises configurations comme les comptes d\u00e9finis avec une d\u00e9l\u00e9gation sans contrainte, les administrateurs fant\u00f4mes, les utilisateurs obsol\u00e8tes et bien d’autres. Les adversaires se r\u00e9galent de ces faiblesses alors qu\u2019ils empruntent la voie de la vie hors de la terre. L’incapacit\u00e9 de localiser, de reconfigurer ou de prot\u00e9ger les comptes et les machines pr\u00e9sentant ces faiblesses transforme l’IR en un v\u00e9ritable berger, o\u00f9 pendant que l’analyste est occup\u00e9 \u00e0 analyser pour voir si le compte A est compromis, les adversaires exploitent d\u00e9j\u00e0 le compte B compromis. <\/p>\n Voil\u00e0 donc le statu quo\u00a0: lorsque l’\u00e9quipe IR doit enfin d\u00e9couvrir qui sont les comptes d’utilisateurs compromis que l’attaquant utilise pour se propager dans votre environnement. C\u2019est un secret dont personne ne parle et c\u2019est la v\u00e9ritable raison pour laquelle les attaques par mouvements lat\u00e9raux sont si efficaces et difficiles \u00e0 contenir, m\u00eame lorsque le processus IR est en cours.<\/p>\n C’est le d\u00e9fi que Silverfort r\u00e9sout<\/strong><\/a>.<\/p>\n La plateforme de protection unifi\u00e9e des identit\u00e9s de Silverfort s’int\u00e8gre \u00e0 l’infrastructure d’identit\u00e9 sur site et dans le cloud (Active Directory, Entra ID, Okta, Ping, etc.). Cette int\u00e9gration permet \u00e0 Silverfort d’avoir une visibilit\u00e9 compl\u00e8te sur toute tentative d’authentification et d’acc\u00e8s, une application de l’acc\u00e8s en temps r\u00e9el pour emp\u00eacher tout acc\u00e8s malveillant avec MFA ou blocage d’acc\u00e8s, ainsi qu’une d\u00e9couverte et une protection automatis\u00e9es des comptes de service. <\/p>\n Voyons comment ces fonctionnalit\u00e9s acc\u00e9l\u00e8rent et optimisent le processus IR d’identit\u00e9\u00a0:<\/p>\n Silverfort est la seule solution capable d’appliquer la protection MFA sur toutes les authentifications AD, y compris les outils de ligne de commande tels que PsExec et PowerShell. <\/strong>Gr\u00e2ce \u00e0 cette fonctionnalit\u00e9, une politique unique exigeant que tous les comptes d’utilisateurs v\u00e9rifient leur identit\u00e9 avec MFA peut d\u00e9tecter tous les comptes compromis en quelques minutes.<\/p>\n Une fois la politique configur\u00e9e, le flux est simple\u00a0: <\/p>\n Objectif n\u00b01 atteint\u00a0: il existe d\u00e9sormais des preuves incontestables que ce compte est compromis.<\/strong><\/p>\n Remarque\u00a0: Maintenant qu’il existe un compte compromis valid\u00e9, tout ce que nous devons faire est de filtrer toutes les machines auxquelles ce compte s’est connect\u00e9 dans l’\u00e9cran de journal de Silverfort. <\/p>\n La politique MFA que nous avons d\u00e9crite ci-dessus sert non seulement \u00e0 d\u00e9tecter quels comptes sont compromis, mais \u00e9galement \u00e0 d\u00e9tecter quels comptes sont compromis.o emp\u00eacher toute propagation suppl\u00e9mentaire de l\u2019attaque<\/strong>. Cela permet \u00e0 l’\u00e9quipe IR de geler l’emprise de l’adversaire l\u00e0 o\u00f9 il se trouve et de garantir que toutes les ressources encore non compromises restent intactes.<\/p>\n Une attention particuli\u00e8re doit \u00eatre accord\u00e9e aux comptes de service, car ils sont fortement exploit\u00e9s par les acteurs malveillants. Ces comptes machine \u00e0 machine ne sont pas associ\u00e9s \u00e0 un utilisateur humain et ne peuvent pas \u00eatre soumis \u00e0 la protection MFA. <\/p>\n Cependant, Silverfort d\u00e9couvre automatiquement ces comptes et obtient des informations sur leurs comportements r\u00e9p\u00e9titifs. Avec cette visibilit\u00e9, Silverfort permet la configuration de politiques qui bloquent l’acc\u00e8s chaque fois qu’un compte de service s’\u00e9carte de son comportement. De cette mani\u00e8re, toute l\u2019activit\u00e9 du compte de service standard n\u2019est pas perturb\u00e9e, tandis que toute tentative malveillante d\u2019en abuser est bloqu\u00e9e. <\/p>\n Objectif n\u00b02 atteint\u00a0: l’attaque est contenue et l’\u00e9quipe IR peut rapidement passer \u00e0 l’enqu\u00eate<\/strong><\/p>\n La visibilit\u00e9 de Silverfort sur toutes les authentifications et tentatives d’acc\u00e8s au sein de l’environnement lui permet de d\u00e9couvrir et d’att\u00e9nuer les faiblesses courantes dont profitent les attaquants. Voici quelques exemples:<\/p>\n Cette r\u00e9duction de la surface d’attaque aura g\u00e9n\u00e9ralement lieu lors de la phase initiale de \u00ab premiers secours \u00bb. <\/p>\n Objectif n\u00b03 atteint\u00a0: les faiblesses d’identit\u00e9 sont att\u00e9nu\u00e9es et ne peuvent pas \u00eatre utilis\u00e9es \u00e0 des fins de propagation malveillante.<\/strong><\/p>\n Les comptes compromis sont un \u00e9l\u00e9ment cl\u00e9 dans plus de 80 % des cyberattaques, ce qui rend le risque d’\u00eatre touch\u00e9 presque certain. Les acteurs de la s\u00e9curit\u00e9 devraient investir dans des outils IR capables de r\u00e9pondre \u00e0 cet aspect afin de garantir leur capacit\u00e9 \u00e0 r\u00e9agir efficacement lorsqu’une telle attaque se produit. <\/p>\n Pour en savoir plus sur les capacit\u00e9s IR de la plateforme Silverfort, atteindre<\/a> \u00e0 l\u2019un de nos experts pour planifier une d\u00e9mo rapide.<\/p>\n <\/p>\n\u00c9cart IR d’identit\u00e9 n\u00b0\u00a01\u00a0:\u00a0aucune d\u00e9marche de Playbook pour d\u00e9tecter les comptes compromis<\/h3>\n
\u00c9cart IR d’identit\u00e9 n\u00b02\u00a0: aucune mesure de Playbook pour contenir imm\u00e9diatement l’attaque et emp\u00eacher sa propagation<\/h3>\n
\u00c9cart IR d’identit\u00e9 n\u00b03\u00a0: aucune mesure de strat\u00e9gie pour r\u00e9duire les surfaces d’attaque d’identit\u00e9 expos\u00e9es que les adversaires ciblent dans le cadre de l’attaque<\/h3>\n
Conclusion\u00a0: aucun outil. Aucun raccourci. Juste une analyse lente et manuelle des journaux pendant que l’attaque est \u00e0 pleine vitesse<\/h3>\n
Protection d’identit\u00e9 unifi\u00e9e Silverfort pour les op\u00e9rations IR<\/h2>\n
D\u00e9tection des comptes compromis avec MFA sans interruption op\u00e9rationnelle<\/h3>\n
\n
Contenir l\u2019attaque avec des politiques MFA et bloquer l\u2019acc\u00e8s <\/h3>\n
La protection en cas de perturbation op\u00e9rationnelle revisit\u00e9e\u00a0: zoom sur les comptes de service<\/h3>\n
\u00c9liminer les faiblesses expos\u00e9es dans la surface d’attaque d’identit\u00e9<\/h3>\n
\n
Conclusion\u00a0: Il est imp\u00e9ratif d’acqu\u00e9rir des capacit\u00e9s IR d’identit\u00e9\u00a0\u2013\u00a0\u00cates-vous pr\u00eat\u00a0?<\/h2>\n