Les menaces bas\u00e9es sur l\u2019identit\u00e9 sur les applications SaaS constituent une pr\u00e9occupation croissante parmi les professionnels de la s\u00e9curit\u00e9, m\u00eame si peu d\u2019entre eux ont les capacit\u00e9s de les d\u00e9tecter et d\u2019y r\u00e9pondre. <\/p>\n
Selon l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA), 90 % de toutes les cyberattaques<\/a> Commen\u00e7ons par le phishing, une menace bas\u00e9e sur l’identit\u00e9. Ajoutez \u00e0 cela les attaques qui utilisent des identifiants vol\u00e9s, des comptes surapprovisionn\u00e9s et des menaces internes, et il devient \u00e9vident que l’identit\u00e9 est un vecteur d’attaque principal.<\/p>\n Pour couronner le tout, les comptes humains ne sont pas les seuls \u00e0 \u00eatre cibl\u00e9s. Les acteurs malveillants d\u00e9tournent \u00e9galement des identit\u00e9s non humaines, notamment des comptes de service et des autorisations OAuth, et les introduisent au c\u0153ur des applications SaaS. <\/p>\n Lorsque les acteurs malveillants parviennent \u00e0 franchir les d\u00e9fenses initiales, la mise en place d’un syst\u00e8me robuste de d\u00e9tection et de r\u00e9ponse aux menaces d’identit\u00e9 (ITDR) en tant que partie int\u00e9grante de la s\u00e9curit\u00e9 des identit\u00e9s peut emp\u00eacher des violations massives. Flocon de neige<\/a> La violation de s\u00e9curit\u00e9 en est un parfait exemple. Les acteurs malveillants ont profit\u00e9 de l’authentification \u00e0 facteur unique pour acc\u00e9der au compte. Une fois \u00e0 l’int\u00e9rieur, l’entreprise n’avait aucune capacit\u00e9 significative de d\u00e9tection des menaces, ce qui a permis aux acteurs malveillants d’exfiltrer plus de 560 millions de dossiers clients. <\/p>\n R\u00e8glement sur le r\u00e8glement int\u00e9rieur des TI<\/a> combine plusieurs \u00e9l\u00e9ments pour d\u00e9tecter les menaces SaaS. Il surveille les \u00e9v\u00e9nements de l’ensemble de la pile SaaS et utilise les informations de connexion, les donn\u00e9es de l’appareil et le comportement de l’utilisateur pour identifier les anomalies comportementales qui indiquent une menace. Chaque anomalie est consid\u00e9r\u00e9e comme un indicateur de compromission (IOC), et lorsque ces IOC atteignent un seuil pr\u00e9d\u00e9fini, l’ITDR d\u00e9clenche une alerte. <\/p>\n Par exemple, si un administrateur t\u00e9l\u00e9charge une quantit\u00e9 inhabituelle de donn\u00e9es, ITDR consid\u00e9rera cela comme un IOC. En revanche, si le t\u00e9l\u00e9chargement a lieu au milieu de la nuit ou sur un ordinateur inhabituel, la combinaison de ces IOC peut \u00eatre consid\u00e9r\u00e9e comme une menace. <\/p>\n De m\u00eame, si un utilisateur se connecte \u00e0 partir d\u2019un ASN suspect suite \u00e0 des tentatives de connexion par force brute, l\u2019ITDR classe la connexion comme une menace, ce qui d\u00e9clenche une r\u00e9ponse \u00e0 l\u2019incident. En utilisant un ensemble de donn\u00e9es riche provenant de plusieurs applications, l\u2019ITDR peut d\u00e9tecter les menaces en fonction des donn\u00e9es provenant de diff\u00e9rentes applications. Si un utilisateur est connect\u00e9 \u00e0 une application depuis New York et \u00e0 une deuxi\u00e8me application depuis Paris en m\u00eame temps, cela peut sembler \u00eatre un comportement normal si l\u2019ITDR se limitait \u00e0 examiner les journaux d\u2019\u00e9v\u00e9nements d\u2019une seule application. La puissance de l\u2019ITDR SaaS vient de la surveillance des donn\u00e9es de l\u2019ensemble de la pile SaaS. <\/p>\n Lors d’une r\u00e9cente faille d\u00e9tect\u00e9e par Adaptive Shield, des acteurs malveillants ont infiltr\u00e9 un syst\u00e8me de paie des RH et modifi\u00e9 les num\u00e9ros de compte des comptes bancaires de plusieurs employ\u00e9s. Heureusement, les moteurs ITDR ont d\u00e9tect\u00e9 les actions anormales et les donn\u00e9es des comptes ont \u00e9t\u00e9 corrig\u00e9es avant que des fonds ne soient transf\u00e9r\u00e9s aux acteurs malveillants. <\/p>\n Les organisations doivent prendre un certain nombre de mesures pour r\u00e9duire leur risque de menaces bas\u00e9es sur l\u2019identit\u00e9 et renforcer leur tissu identitaire.<\/p>\n L’authentification multifacteur (MFA) et l’authentification unique (SSO) sont essentielles dans ces efforts. La r\u00e9duction des autorisations, le respect du principe du moindre privil\u00e8ge (PoLP) et le contr\u00f4le d’acc\u00e8s bas\u00e9 sur les r\u00f4les (RBAC) limitent \u00e9galement l’acc\u00e8s des utilisateurs et r\u00e9duisent la surface d’attaque. <\/p>\n Malheureusement, de nombreux outils de gestion des identit\u00e9s sont sous-utilis\u00e9s. Les organisations d\u00e9sactivent l’authentification multifacteur et la plupart des applications SaaS exigent que les administrateurs disposent de capacit\u00e9s de connexion locales en cas de panne de l’authentification unique. <\/p>\n Voici quelques mesures proactives de gestion des identit\u00e9s pour att\u00e9nuer le risque de violations d\u2019identit\u00e9 :<\/p>\n Les comptes \u00e0 haut risque appartiennent g\u00e9n\u00e9ralement \u00e0 plusieurs cat\u00e9gories. Pour cr\u00e9er une gouvernance et une gestion des identit\u00e9s solides, les \u00e9quipes de s\u00e9curit\u00e9 doivent commencer par classer les diff\u00e9rents types d’utilisateurs. Il peut s’agir de comptes d’anciens employ\u00e9s, de comptes \u00e0 privil\u00e8ges \u00e9lev\u00e9s, de comptes inactifs, de comptes non humains ou de comptes externes.<\/p>\n Les comptes actifs d’anciens employ\u00e9s peuvent entra\u00eener des risques importants pour les organisations. De nombreux administrateurs SaaS supposent qu’une fois qu’un employ\u00e9 est retir\u00e9 du fournisseur d’identit\u00e9 (IdP), son acc\u00e8s est automatiquement supprim\u00e9 des applications SaaS de l’entreprise. <\/p>\n M\u00eame si cela peut \u00eatre vrai pour les applications SaaS connect\u00e9es \u00e0 l’IdP, de nombreuses applications SaaS ne sont pas connect\u00e9es. Dans ces circonstances, les administrateurs et les \u00e9quipes de s\u00e9curit\u00e9 doivent travailler ensemble pour supprimer les anciens utilisateurs disposant d’identifiants locaux. <\/p>\n Les comptes inactifs doivent \u00eatre identifi\u00e9s et d\u00e9sactiv\u00e9s autant que possible. Souvent, les administrateurs ont utilis\u00e9 ces comptes pour effectuer des tests ou configurer l’application. Ils disposent de privil\u00e8ges \u00e9lev\u00e9s et sont partag\u00e9s par plusieurs utilisateurs avec un mot de passe facile \u00e0 retenir. Ces comptes d’utilisateurs repr\u00e9sentent un risque important pour l’application et ses donn\u00e9es. <\/p>\n Les comptes externes doivent \u00e9galement \u00eatre surveill\u00e9s. Souvent confi\u00e9s \u00e0 des agences, des partenaires ou des freelances, l’organisation n’a aucun contr\u00f4le r\u00e9el sur les personnes qui acc\u00e8dent \u00e0 leurs donn\u00e9es. Lorsque les projets se terminent, ces comptes restent souvent actifs et peuvent \u00eatre utilis\u00e9s par toute personne disposant d’informations d’identification pour compromettre l’application. Dans de nombreux cas, ces comptes sont \u00e9galement privil\u00e9gi\u00e9s.<\/p>\n Comme mentionn\u00e9 pr\u00e9c\u00e9demment, les autorisations excessives \u00e9largissent la surface d’attaque. En appliquant le principe du moindre privil\u00e8ge (POLP), chaque utilisateur a acc\u00e8s uniquement aux zones et aux donn\u00e9es de l’application dont il a besoin pour faire son travail. La r\u00e9duction du nombre de comptes \u00e0 privil\u00e8ges \u00e9lev\u00e9s r\u00e9duit consid\u00e9rablement l’exposition d’une entreprise \u00e0 une violation majeure. <\/p>\n Les comptes administrateurs pr\u00e9sentent un risque \u00e9lev\u00e9. S’ils sont compromis, ils exposent les organisations \u00e0 des violations de donn\u00e9es importantes.<\/p>\n Cr\u00e9ez des contr\u00f4les de s\u00e9curit\u00e9 qui envoient des alertes lorsque les utilisateurs agissent de mani\u00e8re suspecte. Parmi les exemples de comportement suspect, citons les connexions inhabituelles tard le soir, la connexion \u00e0 un poste de travail depuis l’\u00e9tranger ou le t\u00e9l\u00e9chargement de gros volumes de donn\u00e9es. Les administrateurs qui cr\u00e9ent des comptes d’utilisateur \u00e0 privil\u00e8ges \u00e9lev\u00e9s mais ne les attribuent pas \u00e0 une adresse e-mail g\u00e9r\u00e9e peuvent \u00eatre suspects. <\/p>\n La d\u00e9finition de contr\u00f4les de s\u00e9curit\u00e9 qui surveillent ces types de comportements peut donner \u00e0 votre \u00e9quipe de s\u00e9curit\u00e9 une longueur d\u2019avance pour identifier une attaque \u00e0 un stade pr\u00e9coce. <\/p>\n Alors que de plus en plus d’informations sensibles sont plac\u00e9es derri\u00e8re un p\u00e9rim\u00e8tre bas\u00e9 sur l’identit\u00e9, il est de plus en plus important pour les organisations de prioriser leur structure d’identit\u00e9. Chaque couche de s\u00e9curit\u00e9 plac\u00e9e autour de l’identit\u00e9 rend l’acc\u00e8s aux donn\u00e9es d’autant plus difficile pour les acteurs malveillants. <\/p>\n Pour ceux qui parviennent \u00e0 franchir les d\u00e9fenses initiales, il est essentiel de disposer d\u2019un syst\u00e8me ITDR robuste en tant que partie int\u00e9grante de la structure d\u2019identit\u00e9 pour maintenir la s\u00e9curit\u00e9 et prot\u00e9ger les donn\u00e9es sensibles contre toute exposition. Il identifie les menaces actives et alerte les \u00e9quipes de s\u00e9curit\u00e9 ou prend des mesures automatis\u00e9es pour emp\u00eacher les acteurs de la menace de causer des dommages. <\/p>\n En savoir plus sur la d\u00e9tection des menaces dans votre pile SaaS<\/a><\/p>\nComment fonctionne l’ITDR<\/h2>\n
R\u00e9duire les risques li\u00e9s \u00e0 l\u2019identit\u00e9<\/h2>\n
Classez vos comptes<\/h3>\n
1. D\u00e9sactiver les anciens employ\u00e9s et les comptes d’utilisateurs inactifs<\/h3>\n
2. Surveiller les utilisateurs externes<\/h3>\n
3. R\u00e9duisez les autorisations des utilisateurs<\/h3>\n
4. Cr\u00e9er des contr\u00f4les pour les comptes privil\u00e9gi\u00e9s<\/h3>\n
Faire de la d\u00e9tection des menaces d\u2019identit\u00e9 une priorit\u00e9<\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Prevention-et-detection-des-menaces-dans-les-environnements-SaaS.png\")