Les solutions de gestion des acc\u00e8s \u00e0 privil\u00e8ges (PAM) sont consid\u00e9r\u00e9es comme la pratique courante pour pr\u00e9venir les menaces d’identit\u00e9 sur les comptes administratifs. En th\u00e9orie, le concept PAM est tout \u00e0 fait logique\u00a0: placez les informations d’identification de l’administrateur dans un coffre-fort, faites pivoter leurs mots de passe et surveillez de pr\u00e8s leurs sessions. Cependant, la dure r\u00e9alit\u00e9 est que la grande majorit\u00e9 des projets PAM deviennent soit un projet de plusieurs ann\u00e9es, soit m\u00eame s’arr\u00eatent compl\u00e8tement, les emp\u00eachant de fournir la valeur de s\u00e9curit\u00e9 promise.<\/p>\n
Dans cet article, nous explorons ce qui fait les comptes de service sont un obstacle majeur \u00e0 l’int\u00e9gration de PAM<\/strong>. Nous apprendrons pourquoi le stockage et la rotation des mots de passe des comptes de service sont une t\u00e2che presque impossible, ce qui les expose \u00e0 des compromis. Nous conclurons ensuite en expliquant comment Silverfort permet aux \u00e9quipes d’identit\u00e9, pour la premi\u00e8re fois, de surmonter ces d\u00e9fis gr\u00e2ce \u00e0 la d\u00e9couverte, la surveillance et la protection automatis\u00e9es des comptes de service, et de rationaliser le processus d’int\u00e9gration PAM en quelques semaines seulement.<\/p>\n Le concept de PAM est extr\u00eamement simple. \u00c9tant donn\u00e9 que les adversaires cherchent \u00e0 compromettre les informations d’identification de l’administrateur pour les utiliser pour un acc\u00e8s malveillant, la chose naturelle \u00e0 faire est de placer des obstacles dans leurs tentatives pour r\u00e9ussir \u00e0 effectuer ce compromis. PAM fournit une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire qui inclut \u00e0 la fois une surveillance \u00e9troite des connexions d’administrateur via l’enregistrement de session et, plus important encore, une couche de pr\u00e9vention proactive sous la forme d’informations d’identification d’administrateur de coffre-fort et les soumet \u00e0 une rotation p\u00e9riodique des mots de passe. Cela r\u00e9duit consid\u00e9rablement le risque d’une attaque r\u00e9ussie, car m\u00eame si un adversaire parvient \u00e0 compromettre les informations d’identification de l’administrateur, la rotation des mots de passe les rendra invalides au moment o\u00f9 il tentera de les utiliser pour acc\u00e9der aux ressources cibl\u00e9es. <\/p>\n Donc en th\u00e9orie, tout va bien.<\/p>\n La cr\u00e9ation de politiques MFA faciles \u00e0 mettre en \u0153uvre pour tous vos comptes privil\u00e9gi\u00e9s est le seul moyen de s’assurer qu’ils ne sont pas compromis. Sans avoir besoin de personnalisations ou de d\u00e9pendances de segmentation du r\u00e9seau, vous pouvez \u00eatre op\u00e9rationnel en quelques minutes avec Silverfort. D\u00e9couvrez comment prot\u00e9ger vos comptes privil\u00e9gi\u00e9s<\/b><\/a> de compromis rapidement et en toute transparence gr\u00e2ce \u00e0 des politiques d’acc\u00e8s adaptatives qui appliquent aujourd’hui la protection MFA sur toutes les ressources sur site et dans le cloud.<\/p>\n<\/div>\n Cependant, ce que les \u00e9quipes d’identit\u00e9 et de s\u00e9curit\u00e9 rencontrent dans la pratique, c’est que le d\u00e9ploiement de solutions PAM est l’un des processus les plus gourmands en ressources. <\/strong>Le fait est que tr\u00e8s peu de projets PAM vont jusqu’au bout de l’objectif de protection de tous les comptes administratifs au sein de l’environnement. Ce qui se passe g\u00e9n\u00e9ralement \u00e0 la place, c’est que les d\u00e9fis surviennent t\u00f4t ou tard, sans solution facile. Au mieux, ces d\u00e9fis ne font que ralentir le processus d’int\u00e9gration, l’\u00e9tirant sur des mois, voire des ann\u00e9es. Au pire, ils arr\u00eatent tout le projet. De cette fa\u00e7on ou de l’autre, les implications sont graves. En plus des lourds investissements en temps et en efforts, l’objectif principal de PAM n’est pas atteint et les comptes d’administrateur ne b\u00e9n\u00e9ficient pas de la protection dont ils ont besoin. <\/p>\n Bien qu’il existe diverses raisons aux difficult\u00e9s introduites par le d\u00e9ploiement de PAM, la plus importante concerne la protection des comptes de service<\/strong>. <\/p>\n Les comptes de service sont des comptes d’utilisateur cr\u00e9\u00e9s pour la communication de machine \u00e0 machine. Ils sont cr\u00e9\u00e9s de deux mani\u00e8res principales. Le premier est le personnel informatique qui les cr\u00e9e pour automatiser les t\u00e2ches r\u00e9p\u00e9titives de surveillance, d’hygi\u00e8ne et de maintenance au lieu de les ex\u00e9cuter manuellement. La deuxi\u00e8me m\u00e9thode s’inscrit dans le cadre du d\u00e9ploiement d’un produit logiciel dans l’environnement de l’entreprise. Par exemple, le d\u00e9ploiement d’un serveur Outlook Exchange implique la cr\u00e9ation de divers comptes qui effectuent des analyses, des mises \u00e0 jour logicielles et d’autres t\u00e2ches qui impliquent une connexion entre le serveur Exchange et d’autres machines de l’environnement. <\/p>\n De cette fa\u00e7on ou de l’autre, un compte de service typique doit \u00eatre hautement privil\u00e9gi\u00e9 pour pouvoir \u00e9tablir la connexion de machine \u00e0 machine pour laquelle il a \u00e9t\u00e9 cr\u00e9\u00e9<\/strong>. Cela signifie qu’il n’est pas diff\u00e9rent de n’importe quel compte d’administrateur humain dans la protection dont il a besoin. Malheureusement, l’int\u00e9gration d’un compte de service \u00e0 une solution PAM est une t\u00e2che presque impossible<\/strong>ce qui en fait le plus grand obstacle au d\u00e9ploiement r\u00e9ussi de PAM. <\/p>\n Il se trouve qu’il n’existe aucun moyen simple d’obtenir une visibilit\u00e9 sur l’inventaire des comptes de service.<\/strong> En fait, dans la plupart des environnements, vous ne pouvez pas conna\u00eetre le nombre total de comptes de service \u00e0 moins qu’une surveillance et une documentation strictes de la cr\u00e9ation, de l’attribution et de la suppression des comptes de service aient \u00e9t\u00e9 pratiqu\u00e9es au fil des ans – ce qui n’est gu\u00e8re la pratique courante. Cela signifie que la d\u00e9couverte compl\u00e8te de tous les comptes de service dans un environnement n’est r\u00e9alisable qu’avec un effort de d\u00e9couverte manuelle important, ce qui est hors de port\u00e9e pour la plupart des \u00e9quipes d’identit\u00e9. <\/p>\n De plus, m\u00eame si le d\u00e9fi de la d\u00e9couverte est r\u00e9solu, il reste encore un d\u00e9fi plus grave qui reste sans r\u00e9ponse, qui consiste \u00e0 cartographier l’objectif de chaque compte et les d\u00e9pendances qui en r\u00e9sultent<\/strong>, c’est-\u00e0-dire les processus ou applications que ce compte prend en charge et g\u00e8re. Cela s’av\u00e8re \u00eatre un bloqueur PAM majeur. Comprenons pourquoi. <\/p>\n La fa\u00e7on typique dont les comptes de service se connectent \u00e0 diff\u00e9rentes machines pour effectuer leur t\u00e2che est avec un script qui contient les noms des machines auxquelles se connecter, les commandes r\u00e9elles \u00e0 ex\u00e9cuter sur ces machines, et le plus important – le nom d’utilisateur et le mot de passe du compte de service qui sont utilis\u00e9s pour s’authentifier aupr\u00e8s de ces machines. Le conflit avec l’int\u00e9gration PAM se produit parce que pendant que le PAM fait pivoter le mot de passe du compte de service \u00e0 l’int\u00e9rieur du coffre, il n’y a aucun moyen de mettre \u00e0 jour automatiquement le mot de passe cod\u00e9 en dur dans le script pour qu’il corresponde au nouveau que le PAM a g\u00e9n\u00e9r\u00e9. Ainsi, la premi\u00e8re fois que le script s’ex\u00e9cutera apr\u00e8s la rotation, le compte de service tentera de s’authentifier avec l’ancien mot de passe – qui n’est plus valide. L’authentification \u00e9chouera et la t\u00e2che que le compte de service \u00e9tait cens\u00e9 effectuer ne se produira jamais, brisant \u00e9galement tous les autres processus ou applications qui reposent sur cette t\u00e2che. L’effet domino et les dommages potentiels sont \u00e9vidents. <\/p>\n En fait, la plupart des \u00e9quipes d’identit\u00e9, compte tenu de ce risque, \u00e9viteront compl\u00e8tement de mettre en chambre forte les comptes de service. Et c’est exactement l’impasse – la mise en chambre forte des comptes de service cr\u00e9e un risque op\u00e9rationnel, tandis que ne pas les mettre en chambre forte cr\u00e9e un risque de s\u00e9curit\u00e9 non moindre<\/strong>. Malheureusement, jusqu’\u00e0 pr\u00e9sent, il n’y a pas eu de r\u00e9ponse facile \u00e0 ce dilemme. C’est pourquoi les comptes de service sont un tel inhibiteur pour l’int\u00e9gration PAM. La seule fa\u00e7on de satisfaire \u00e0 la fois les exigences de s\u00e9curit\u00e9 et les exigences op\u00e9rationnelles consiste \u00e0 lancer un effort manuel minutieux de d\u00e9couverte de tous les comptes de service, des scripts qui les utilisent, ainsi que des t\u00e2ches et des applications qu’ils ex\u00e9cutent. Il s’agit d’une mission gargantuesque et de la principale raison des mois, voire des ann\u00e9es, du processus d’int\u00e9gration de PAM. <\/p>\n La racine du probl\u00e8me est le manque traditionnel d’un utilitaire qui peut facilement filtrer tous les comptes de service et produire un r\u00e9sultat de leurs activit\u00e9s. C’est le d\u00e9fi que Silverfort vise \u00e0 simplifier et \u00e0 r\u00e9soudre.<\/p>\n Silverfort est le pionnier de la premi\u00e8re plate-forme de protection d’identit\u00e9 unifi\u00e9e qui s’int\u00e8gre nativement \u00e0 Active Directory pour surveiller, analyser et appliquer une politique d’acc\u00e8s active sur tous les comptes d’utilisateurs et ressources de l’environnement AD. Avec cette int\u00e9gration en place, AD transmet chaque tentative d’acc\u00e8s entrante \u00e0 Silverfort pour analyse des risques et attend son verdict d’accorder ou de refuser l’acc\u00e8s. <\/p>\n En tirant parti de cette visibilit\u00e9 et de l’analyse de toutes les authentifications, Silverfort peut facilement d\u00e9tecter tous les comptes qui pr\u00e9sentent le comportement r\u00e9p\u00e9titif et d\u00e9terministe qui caract\u00e9rise les comptes de service. Silverfort produit une liste d\u00e9taill\u00e9e de tous les comptes de service dans l’environnement, y compris leur niveau de privil\u00e8ge, leurs sources, leurs destinations et leur volume d’activit\u00e9<\/strong>. <\/p>\n Avec ces informations disponibles, les \u00e9quipes d’identit\u00e9 peuvent facilement identifier les d\u00e9pendances et les applications de chaque compte de service, localiser les scripts qui l’ex\u00e9cutent et prendre une d\u00e9cision \u00e9clair\u00e9e concernant les comptes de service et choisir l’une des options suivantes\u00a0: <\/p>\n De cette mani\u00e8re, Silverfort raccourcit le processus d’int\u00e9gration PAM \u00e0 quelques semaines seulement, ce qui en fait une t\u00e2che r\u00e9alisable m\u00eame pour un environnement avec des centaines de comptes de service.<\/p>\n Avez-vous du mal \u00e0 mettre vos projets PAM sur la bonne voie\u00a0? En savoir plus sur la fa\u00e7on dont Silverfort peut aider \u00e0 acc\u00e9l\u00e9rer les projets PAM ici<\/a>. <\/p>\n <\/p>\nLa promesse PAM\u00a0: protection pour tous les utilisateurs administratifs<\/h2>\n
La r\u00e9alit\u00e9 PAM\u00a0: un processus d’int\u00e9gration long et complexe qui peut prendre des ann\u00e9es<\/h2>\n
R\u00e9capitulatif des comptes de service\u00a0: comptes privil\u00e9gi\u00e9s pour la connexion de machine \u00e0 machine<\/h2>\n
L’\u00e9cart de visibilit\u00e9\u00a0: il n’existe aucun moyen simple de d\u00e9couvrir les comptes de service ou de cartographier leurs activit\u00e9s<\/h2>\n
L’implication de PAM\u00a0: la rotation du mot de passe du compte de service sans visibilit\u00e9 sur son activit\u00e9 peut interrompre les processus qu’il g\u00e8re<\/h2>\n
Le pi\u00e8ge des comptes de service PAM\u00a0: pris entre deux probl\u00e8mes op\u00e9rationnels et de s\u00e9curit\u00e9 <\/h2>\n
Relever le d\u00e9fi avec la d\u00e9couverte et la cartographie des activit\u00e9s des comptes de service automatis\u00e9s <\/h2>\n
\n