Les utilisateurs disposant de privilèges d’accès aux systèmes et aux réseaux d’une organisation représentent une menace particulière. Les acteurs de la menace externes prennent souvent pour cible les comptes à privilèges, au moyen de procédés de phishing et d’ingénierie sociale, car le contrôle des données d’identification de ces comptes leur permet de se déplacer plus librement dans le réseau. Par ailleurs, certains individus font parfois un usage abusif des privilèges de leurs propres comptes : d’après le Verizon Data Breach Investigation Report, ce type de cyberattaques sont les plus longues à détecter.
Les outils de gestion des accès privilégiés (PAM) aident les administrateurs de réseau à contrôler les accès privilégiés pour réduire le risque d’usage abusif accidentel ou délibéré de ces comptes puissants.
Qu’est-ce que l’accès privilégié ?
L’accès privilégié est un niveau d’accès informatique plus élevé octroyé à certains utilisateurs spécifiques, tels que des spécialistes informatiques devant effectuer des tâches d’administration ou des utilisateurs ayant besoin de lire ou d’éditer des données sensibles. Les comptes à privilèges peuvent aussi être utilisés par des services nécessitant l’accès à des données système ou sensibles, par exemple les données de clients stockées dans des bases de données.
En somme, les comptes à accès privilégié disposent de plus d’autorisations que les comptes d’utilisateurs standard pour accéder à des systèmes, des services, des terminaux ou des données. Parmi les comptes à privilèges, on trouve par exemple :
- Compte d’administrateur — Permet aux spécialistes informatiques de réaliser des fonctions telles que :
- Installer des logiciels ou du matériel
- Réinitialiser les mots de passe des comptes d’utilisateurs standard
- Accéder à tous les appareils d’un environnement spécifique
- Réaliser des changements de l’infrastructure informatique
- Compte d’administrateur de domaine — Accorde l’accès administratif à tous les postes de travail et serveurs du domaine
- Compte de service — Utilisé par une application ou un service pour accéder à des données ou autres ressources
- Comptes d’application — Utilisés par les applications pour accéder à des bases de données, exécuter des scripts ou des traitements par lots, ou permettre l’accès à d’autres applications
- Compte d’utilisateur privilégié professionnel — Octroyé à des utilisateurs humains tels que les opérateurs de bases de données ou les managers travaillant avec des informations sensibles comme des dossiers financiers ou de ressources humaines
- Comptes d’urgence — Fournis aux utilisateurs appelés pour gérer les catastrophes et autres interruptions interférant avec la disponibilité des réseaux et systèmes de l’entreprise
Pourquoi les comptes à privilèges ont-ils besoin d’une protection spéciale ?
Les comptes à privilèges représentent un risque de sécurité significatif pour les organisations. En règle générale, il y a trois raisons principales pour vouloir gérer les accès privilégiés :
- Les comptes à privilèges sont les cibles favorites des cyberattaquants. Si un attaquant trouve le moyen de compromettre un compte privilégié, il pourra peut-être accéder à des systèmes et à des données sensibles – et ce en toute discrétion et sur une période prolongée.
- Les propriétaires de comptes à privilèges peuvent en faire un usage abusif. Les administrateurs peuvent désactiver accidentellement ou délibérément des contrôles de sécurité, modifier des politiques de groupe, voler des données sensibles ou causer des dommages à l’infrastructure.
- Le contrôle des accès privilégiés est une condition de toutes les principales régulations de conformité. Les auditeurs sont tout particulièrement attentifs à cette condition, et les manquements en matière de contrôle des accès privilégiés peuvent conduire à des amendes exorbitantes.
Différentes façons d’exploiter un compte à privilèges
Voici quelques exemples d’usage abusif de comptes à privilèges :
- Les utilisateurs dépassent les limites de la sécurité. Les bonnes pratiques recommandent que chaque administrateur dispose non seulement d’un compte à privilèges, mais aussi d’un compte d’utilisateur standard, à utiliser pour les activités de routine ne nécessitant aucun droit d’accès spécifique. Le manquement à cette bonne pratique peut conduire à des incidents de sécurité. Par exemple, si un administrateur utilise son compte à privilèges pour se connecter à un poste de travail, ses données d’identification peuvent être stockées localement, et un cyberattaquant réussissant à accéder à cette machine peut les voler.
- Les comptes à privilèges sont partagés. Si plusieurs administrateurs partagent le même compte à accès privilégié, il est difficile de responsabiliser les individus pour leurs actions, ce qui augmente la possibilité que l’un d’entre eux l’utilise de manière non autorisée.
- La surface d’attaque est augmentée par les privilèges permanents. Habituellement, les comptes à privilèges sont des comptes permanents – le compte est disponible à tout moment. Pour cette raison, un attaquant qui compromet un compte d’administrateur est libre de l’utiliser et de se déplacer latéralement dans votre environnement, à la recherche d’opportunités pour augmenter ses privilèges. Cela augmente considérablement le risque qu’il atteigne son but ultime : voler des données ou nuire à votre organisation d’une manière ou d’une autre.
Qu’est-ce que la gestion des accès privilégiés ?
La gestion des accès privilégiés (PAM) est une stratégie de sécurité exhaustive pour gérer les comptes ayant des autorisations élevées à des ressources critiques de l’entreprise, et contrôler l’utilisation de ces comptes. La PAM est englobée dans la gestion de l’identité et des accès (IAM).
Les raisons pour investir dans la PAM incluent :
- La protection contre le vol de données d’identification à privilèges
- Réduire le risque d’usage abusif de données d’identification
- Garantir la responsabilité individuelle
- Réduire le risque d’interruption de service sur les bases de données, les serveurs et d’autres infrastructures critiques, causée par un usage abusif délibéré ou accidentel de comptes à privilèges.
- Assurer le respect du principe du moindre privilège
- Satisfaire les conditions des cadres de sécurité et des régulations de conformité
Caractéristiques et capacités de la PAM
La liste suivante expose les principaux domaines liés à la sécurité des comptes à privilèges:
- Gestion de données d’identification à privilèges — Gère le processus de mise en mémoire et récupération des mots de passe des comptes d’utilisateurs privilégiés, afin de réduire le risque de vol des données d’identification. Les administrateurs peuvent créer et révoquer des données d’identification sur besoin de façon centralisée.
- Méthodes de PAM juste-à-temps — Contribue à assurer que les privilèges d’accès ne soient accordés aux comptes que lorsque cela est nécessaire, et uniquement pour la durée nécessaire pour effectuer la tâche concernée. Cela évite que les comptes d’utilisateurs ne disposent d’accès privilégiés plus longtemps que nécessaire, afin d’éviter leur exploitation par des utilisateurs internes ou des menaces externes.
- Identification et intégration des comptes privilégiés — Contribue à découvrir l’existence de comptes à privilèges au sein d’une organisation, afin de pouvoir s’assurer qu’ils soient inclus dans la PAM.
- Suivi de l’activité des utilisateurs privilégiés — Contribue au suivi de l’usage que font les utilisateurs de leurs données d’identification à privilèges, afin que les entreprises puissent détecter plus rapidement l’usage non autorisé d’un compte à privilèges.
- Logging et reporting — Permet aux organisations d’enregistrer l’utilisation des comptes à privilèges et de générer des rapports.
- Authentification multifacteur — Oblige les utilisateurs à confirmer leur identité de plusieurs façons différentes avant d’autoriser l’accès aux applications et aux systèmes de l’entreprise.
- Gestion des sessions privilégiées — Permet aux administrateurs de sécurité de contrôler les sessions de travail des utilisateurs privilégiés. Ils peuvent par exemple bloquer l’accès à des ressources critiques lorsqu’ils détectent une activité suspecte sur un compte d’utilisateur privilégié.
- Élévation et délégation des privilèges — Permet à l’administrateur d’avoir un contrôle plus granulaire des droits concédés aux comptes d’ utilisateurs privilégiés, plutôt qu’une approche « tout ou rien ».
- Automatisation des tâches privilégiées — Permet aux administrateurs de mettre en place des flux automatisés de gestions des tâches de PAM répétitives.
Comment fonctionnent les solutions de PAM ?
- Un utilisateur qui a besoin de réaliser une tâche requérant des autorisations élevées peut demander l’accès à un compte d’utilisateur privilégié. L’utilisateur doit fournir une justification professionnelle à la demande d’accès privilégié.
- La solution de PAM peut approuver ou refuser la demande, et enregistre la décision. La plupart des solutions de PAM peuvent être réglées pour demander le consentement d’un manager pour certaines demandes.
- Si l’autorisation est concédée, l’utilisateur dispose temporairement de l’accès privilégié nécessaire pour exécuter une tâche concrète. Normalement, l’accès est reçu à travers la PAM plutôt que d’avoir à mémoriser le mot de passe d’un compte à privilèges.
Quels sont les principaux challenges de la PAM ?
Les approches traditionnelles de la PAM présentent de nombreux challenges, dont :
Les processus manuels
Les organisations peuvent choisir de conserver les données d’identification privilégiées dans des feuilles de calcul et de faire une rotation manuelle. C’est un processus laborieux et sujet à l’erreur. Le plus problématique, c’est que ce n’est pas sûr et ouvre la porte aussi bien aux attaquants externes qu’à un usage abusif interne.
Les outils gratuits
Ils sont plus sûrs que de ne rien faire, mais ils présentent de nombreux manques, notamment concernant le flux de travail, la rotation post-session ou l’impossibilité d’auditer qui y a accédé.
Les solutions traditionnelles de PAM
Les vieilles solutions de PAM elles-mêmes présentent deux challenges. Le premier, c’est que leur complexité rend leur mise en place coûteuse. En plus de l’infrastructure et des licences, les organisations doivent investir de nombreuses heures dans leur configuration, leur déploiement et leur maintenance courante. De plus, de nombreuses solutions de PAM requièrent des licences additionnelles, telles que des CAL de tierces parties, des infrastructures de bases de données et des composants additionnels.
Deuxièmement, la plupart des solutions de PAM ont une approche centrée sur le coffre-fort : elles gèrent simplement les comptes à accès privilégié et se centrent uniquement sur le contrôle de l’accès. Cette approche ne fait rien pour éliminer ou limiter le mouvement latéral sur la surface d’attaque qu’offrent ces comptes ; on appelle ça les privilèges permanents. Des acteurs de la menace tels qu’un ransomware peuvent se propager dans une organisation en profitant de comptes à privilèges, mêmes s’ils sont conservés dans un coffre-fort.
Comment surmonter les challenges de la PAM ?
Le meilleur moyen de réduire le risque de sécurité sans affecter l’efficacité de l’entreprise est de mettre en place une stratégie de privilèges sur demande. L’approche zéro privilège permanent accorde aux administrateurs le minimum de privilèges requis pour exécuter une tâche spécifique, uniquement pour la durée nécessaire pour effectuer cette tâche. Lorsque l’administrateur a terminé, soit les privilèges sont retirés du compte, soit le compte lui-même est supprimé. Cette approche juste-à-temps réduit considérablement le risque d’exploitation des comptes puissants par des menaces internes ou externes.
Meilleures pratiques de la gestion des accès privilégiés
- Faites l’inventaire de tous vos comptes à privilèges.
- Faites une évaluation des risques pour comprendre les menaces les plus sérieuses auxquelles sont exposés vos comptes à privilèges.
- Mettez en place un modèle zéro privilège permanent pour éliminer les comptes à privilèges en dehors des temps d’utilisation.
- Mettez en place des politiques formelles de contrôle des accès privilégiés.
- Faites le suivi de l’utilisation des comptes privilégiés pour repérer facilement les comportements suspects.
- Tirez parti d’outils permettant l’accès privilégié sur demande pour les activités de routine.
- Éliminez les comptes inactifs ou inusités de l’Active Directory avant qu’ils ne puissent faire l’objet d’une utilisation malveillante.
- Utilisez les principes de confiance zéro et du moindre privilège
Accès juste-à-temps et réduction de la surface d’attaque
Netwrix Privilege Secure facilite l’accès administratif sécurisé en utilisant une technologie de troisième génération rentable, intuitive et facile à déployer. Netwrix Privilege Secure génère automatiquement des comptes éphémères pour chaque session privilégiée, puis fournit et retire de façon dynamique les autorisations juste-à-temps correspondant à l’activité demandée. Cette action élimine la surface d’attaque des privilèges permanents des comptes au repos en offrant un accès privilégié contrôlé, sans les inconvénients du traditionnel coffre-fort.
FAQ
Que comprend la gestion des accès privilégiés ?
La gestion des accès privilégiés inclut la gestion sécurisée des utilisateurs et des processus auxquels sont accordés des privilèges élevés au sein des plateformes informatiques d’une entreprise. Elle établit des contrôles de l’accès aux ressources de l’entreprise.
Pourquoi ai-je besoin de gérer les accès privilégiés ?
La gestion des accès privilégiés aide les entreprises à s’assurer qu’aucun utilisateur n’obtienne un accès non autorisé à leurs systèmes. Elle empêche également les cyberattaquants d’accéder aux données d’identification de comptes à privilèges.
Qu’est-ce que la gestion des accès privilégiés sur les réseaux ?
Sur les réseaux, PAM est synonyme de centralisation des mots de passe et restriction d’accès, à travers une solution de PAM qui aide les entreprises à prévenir les attaques sur leurs réseaux.
