HUMINT en cybersécurité pour les responsables de la sécurité des entreprises

Les attaques HUMINT manipulent les employés pour obtenir un accès au réseau, contournant totalement les contrôles techniques. Apprenez à vous défendre contre l’ingénierie sociale et les menaces internes.

Qu'est-ce que le HUMINT ?

Les attaquants utilisant des identifiants légitimes contournent l'ensemble de votre pile de sécurité. Selon l'avis du FBI/CISA concernant le groupe d'acteurs de la menace Scattered Spider, ils démontrent une expertise avancée en renseignement humain (HUMINT) en manipulant les agents du support informatique pour obtenir des identifiants. Cela rend les pare-feux, l'EDR et la segmentation réseau inutiles.

Le renseignement humain (HUMINT) en cybersécurité représente l'exploitation systématique du comportement humain, des relations de confiance et des dynamiques sociales pour compromettre la sécurité des entreprises. Bien que le terme soit issu des contextes militaires et du renseignement, il désigne désormais les attaques ciblant le facteur humain. Selon les recommandations de la CISA, les attaques d'ingénierie sociale utilisent « l'interaction humaine (compétences sociales) pour obtenir ou compromettre des informations sur une organisation ou ses systèmes informatiques ».

Les attaques basées sur le HUMINT réussissent car elles contournent tous les contrôles techniques déployés. Votre pare-feu, protection des endpoints et la segmentation réseau deviennent inutiles lorsque les attaquants manipulent les humains pour obtenir un accès volontaire. Ils n'exploitent pas les vulnérabilités logicielles. Ils exploitent la confiance, l'autorité, l'urgence et le désir inhérent d'être utile.

Selon le Verizon DBIR 2024, le vol d'identifiants reste la méthode d'accès initiale la plus courante, utilisée dans 22 % des violations. Lorsque vous combinez ces méthodes d'attaque ciblant l'humain : ingénierie sociale, intrusion système et attaques basiques sur les applications web représentent la majorité des violations dans différents secteurs d'activité.

Pour comprendre pourquoi le HUMINT nécessite des défenses différentes des attaques techniques, les équipes de sécurité doivent d'abord le distinguer des autres disciplines du renseignement.

HUMINT vs. autres types de renseignement

Les équipes de sécurité rencontrent plusieurs disciplines du renseignement, chacune ciblant différents vecteurs d'attaque. Comprendre où se situe le HUMINT clarifie pourquoi il nécessite des approches défensives distinctes.

• OSINT (Open Source Intelligence) collecte des informations accessibles au public à partir des réseaux sociaux, sites web d'entreprise, offres d'emploi et registres publics. Les attaquants utilisent l'OSINT pour rechercher des cibles avant de lancer des opérations HUMINT. Alors que la collecte OSINT est passive, le HUMINT nécessite un engagement humain actif.
• SIGINT (Signals Intelligence) intercepte les communications électroniques et le trafic réseau. Les contrôles techniques comme le chiffrement et la surveillance réseau défendent contre le SIGINT. Le HUMINT contourne entièrement ces contrôles en manipulant les humains pour obtenir un accès volontaire.
• TECHINT (Technical Intelligence) analyse les malwares, exploits et indicateurs techniques de compromission. Les outils de sécurité excellent à détecter les attaques basées sur le TECHINT via des signatures et des comportements. Les attaques HUMINT utilisant des identifiants légitimes ne génèrent aucun indicateur technique malveillant.

La distinction essentielle : SIGINT et TECHINT ciblent les systèmes et les flux de données. Le HUMINT cible les personnes. Lorsque les attaquants obtiennent des identifiants via l'ingénierie sociale, ils s'authentifient comme des utilisateurs légitimes. Votre SIEM voit une activité de connexion normale. Votre EDR voit des processus autorisés. Votre pare-feu voit un trafic permis. L'attaque devient invisible pour la détection technique car aucune attaque technique n'a eu lieu.

Cette invisibilité explique pourquoi les programmes de cybersécurité traditionnels peinent face aux menaces HUMINT.

Comment le HUMINT s'applique à la cybersécurité

Les programmes de cybersécurité se concentrent généralement sur les vulnérabilités techniques : systèmes non corrigés, pare-feux mal configurés, signatures de malwares et anomalies réseau. Le HUMINT inverse ce modèle. Au lieu d'exploiter du code, les attaquants exploitent la psychologie. Au lieu de rechercher des numéros de CVE, ils cherchent des organigrammes sur LinkedIn. Au lieu de scanner des ports, ils élaborent des scénarios de prétexte ciblant des individus spécifiques.

Le HUMINT cible les organisations via trois principales catégories d'attaques en environnement d'entreprise :

• Attaques d'ingénierie sociale : manipulent les employés pour qu'ils divulguent des identifiants, approuvent des transactions frauduleuses ou exécutent des actions malveillantes via la manipulation psychologique.
• Menaces internes : exploitent l'accès autorisé lorsque des employés actuels ou anciens, des sous-traitants ou des partenaires commerciaux compromettent délibérément ou involontairement la sécurité.
• Opérations de reconnaissance et de ciblage : impliquent des groupes APT menant une collecte de renseignement systématique pour identifier les cibles optimales, cartographier les relations de confiance et développer des scénarios d'attaque personnalisés.

Selon une étude du Ponemon Institute 2025, 45 % de toutes les violations de données sont causées par des menaces internes, avec un coût moyen de 2,7 millions de dollars par incident. La même étude révèle que 60 % des organisations ne parviennent pas à détecter efficacement les menaces internes, créant une faille systématiquement exploitée par les groupes APT et les attaquants motivés financièrement.

Les attaquants exploitent ces failles à l'aide de techniques spécifiques que les équipes de sécurité doivent reconnaître.

Techniques et méthodes HUMINT

Les attaques HUMINT reposent sur une méthodologie systématique combinant reconnaissance, manipulation psychologique et exploitation technique. Selon les recommandations fondamentales de la CISA, ces attaques impliquent « l'interaction humaine (compétences sociales) pour obtenir ou compromettre des informations sur une organisation ou ses systèmes informatiques ». Comprendre ces composantes aide à identifier les failles défensives, notamment dans l'analyse comportementale, la sensibilisation à la sécurité et les capacités de détection des menaces internes.

• Collecte d'OSINT : constitue la base. Les attaquants profilent les organisations via des informations publiques : noms et rôles des employés sur LinkedIn, structure organisationnelle sur les sites web, détails techniques dans les offres d'emploi, relations commerciales dans les communiqués de presse.
• Techniques d'élucidation : extraient des informations via des conversations apparemment anodines. Les ingénieurs sociaux expérimentés engagent les cibles dans un dialogue informel, recueillant progressivement des fragments d'information qui, combinés, ouvrent des chemins d'accès complets.
• Recrutement et exploitation d'initiés : ciblent les employés disposant d'un accès autorisé. La CISA définit les menaces internes comme des situations où « un initié utilise son accès autorisé, intentionnellement ou non, pour nuire à la mission, aux ressources, au personnel, aux installations, aux informations, à l'équipement, aux réseaux ou aux systèmes du département ».
• Abus des relations de confiance : exploitent les partenariats commerciaux et la chaîne d'approvisionnement via l'ingénierie sociale ciblée et le prétexte. Les attaquants compromettent des fournisseurs, partenaires ou sous-traitants de confiance à l'aide de spear-phishing et de vol d'identifiants ciblés pour obtenir un accès indirect.

Ces techniques s'articulent en séquences d'attaque structurées suivant des phases prévisibles.

Risques et limites du HUMINT

Les attaques HUMINT ne réussissent pas à tous les coups. Comprendre leurs limites aide les équipes de sécurité à prioriser les défenses et à reconnaître les échecs ou blocages d'attaques.

• L'imprévisibilité humaine crée un risque opérationnel pour les attaquants. Contrairement aux exploits logiciels qui fonctionnent systématiquement sur des systèmes vulnérables, le succès du HUMINT dépend des réactions individuelles. Les employés peuvent devenir méfiants, signaler des demandes inhabituelles ou simplement refuser d'obtempérer. Un seul employé vigilant peut exposer toute une opération.
• Les attaques HUMINT nécessitent un investissement temporel important. Une ingénierie sociale efficace exige une reconnaissance approfondie, la création de relations et l'élaboration de prétextes. Contrairement aux attaques automatisées qui se déploient instantanément, les opérations HUMINT prennent souvent des semaines ou des mois pour cibler une seule victime. Cet investissement limite le nombre d'organisations ciblées simultanément.
• Les risques d'attribution et d'exposition dissuadent certains acteurs. Les opérations HUMINT impliquent un contact humain direct, créant des opportunités d'identification. Les appels téléphoniques peuvent être enregistrés, les emails conservent des métadonnées, et les approches physiques risquent une identification en personne. Les groupes étatiques et les criminels sophistiqués acceptent ces risques, mais les attaquants moins expérimentés privilégient souvent les méthodes purement techniques.
• La culture de sécurité organisationnelle impacte directement les taux de réussite. Les entreprises dotées de programmes de sensibilisation solides, de procédures d'escalade claires et d'une culture valorisant le signalement des activités suspectes réduisent significativement le succès du HUMINT. Lorsque les employés se sentent habilités à questionner les demandes inhabituelles sans crainte de représailles, l'ingénierie sociale devient beaucoup plus difficile.
• Les tentatives échouées alertent les défenseurs. Contrairement à la reconnaissance passive ou au scan automatisé, les échecs HUMINT laissent souvent des traces. Les emails de phishing signalés, les appels suspects et les demandes de badge inhabituelles fournissent des renseignements exploitables par les équipes de sécurité pour identifier les campagnes en cours et renforcer les défenses.

Malgré ces limites, les attaquants continuent d'investir dans le HUMINT car ces techniques restent très efficaces contre les organisations non préparées.

Comment fonctionnent les attaques HUMINT

Les attaques HUMINT suivent des workflows opérationnels prévisibles, bien que la sophistication varie selon les capacités de l'adversaire et la valeur de la cible.

1. Sélection de la cible et reconnaissance : commence des semaines ou des mois avant la compromission. Les groupes APT identifient systématiquement les organisations disposant de propriété intellectuelle, de systèmes financiers ou de renseignements stratégiques, analysant les informations publiques pour comprendre la structure et identifier les personnes clés.
2. Identification des chemins d'accès : cartographie le terrain humain pour trouver les points d'entrée optimaux. Les attaquants identifient les employés disposant des privilèges nécessaires, d'une faible sensibilisation à la sécurité, de comportements prévisibles ou de circonstances personnelles créant une vulnérabilité.
3. Développement et test de prétextes : crée des scénarios crédibles adaptés aux cibles. Selon les recherches du SANS Institute, les acteurs de la menace élaborent des scénarios exploitant l'autorité, l'urgence, la peur ou la serviabilité.
4. Premier contact et manipulation : exécute l'attaque d'ingénierie sociale via des emails de spear-phishing, des appels téléphoniques utilisant les informations collectées, des tentatives d'accès physique ou des SMS semblant provenir de sources de confiance.
5. Capture et validation des identifiants : collecte les informations d'authentification et vérifie l'accès. Les attaquants s'assurent que les identifiants volés offrent les niveaux d'accès attendus et commencent à cartographier les systèmes internes.
6. Persistance et mouvement latéral : établit un accès durable et étend le contrôle. Une fois dans le réseau avec des identifiants légitimes, les attaquants apparaissent comme des utilisateurs autorisés pour la plupart des outils de sécurité tout en créant des accès de secours et en escaladant les privilèges.

Ces schémas opérationnels apparaissent systématiquement dans les incidents documentés visant les entreprises à travers le monde.

Exemples réels d'attaques HUMINT

Des violations de grande ampleur démontrent comment les techniques HUMINT contournent les investissements en sécurité technique.

• MGM Resorts (2023) : Scattered Spider a appelé le support informatique de MGM, s'est fait passer pour un employé trouvé sur LinkedIn et a convaincu l'opérateur de réinitialiser les identifiants. Cet appel unique a conduit au déploiement d'un rançongiciel, à l'arrêt des systèmes dans les établissements de Las Vegas et à des pertes estimées à plus de 100 millions de dollars. Les attaquants ont mené une recherche OSINT, développé un prétexte convaincant et exploité la volonté d'aider du support.
• Twitter (2020) : Les attaquants ont utilisé l'ingénierie sociale par téléphone pour compromettre les identifiants d'employés, puis accéder à des outils internes afin de détourner des comptes de personnalités, dont Elon Musk, Barack Obama et Apple. L'attaque a généré plus de 100 000 $ en Bitcoin via des publications frauduleuses. Les contrôles techniques ont échoué car les attaquants utilisaient un accès légitime obtenu par manipulation.
• Ubiquiti Networks (2015) : Des attaquants se sont fait passer pour des dirigeants et des avocats externes via des emails usurpés, convainquant des employés de la finance de virer 46,7 millions de dollars sur des comptes à l'étranger contrôlés par les attaquants. Cette attaque de compromission de messagerie professionnelle (BEC) n'a nécessité ni malware, ni intrusion réseau, ni exploitation technique.

Chaque incident partage des éléments communs : reconnaissance approfondie, prétextes crédibles, exploitation de la confiance et de l'autorité, et utilisation de chemins d'accès légitimes que les contrôles techniques ne distinguent pas des opérations normales. Comprendre pourquoi ces schémas réussissent systématiquement révèle les failles fondamentales des approches de sécurité traditionnelles.

Pourquoi les attaques HUMINT réussissent

Les attaques basées sur le HUMINT dominent le paysage des menaces car elles exploitent les hypothèses architecturales fondamentales de la sécurité d'entreprise tout en opérant dans les angles morts des défenseurs. Selon le Verizon DBIR 2024, la majorité des violations impliquent l'ingénierie sociale, l'intrusion système ou des attaques basiques sur les applications web. Les outils de sécurité sont conçus pour détecter les écarts techniques plutôt que la manipulation psychologique.

Selon le rapport SANS 2025, 80 % des organisations classent désormais l'ingénierie sociale comme leur principal risque humain, tandis que l'étude Ponemon indique que beaucoup peinent à détecter efficacement les menaces internes.

• Les identifiants légitimes contournent les contrôles techniques. Lorsque les attaquants utilisent des identifiants obtenus via phishing, ingénierie sociale ou vol interne, ils apparaissent comme des utilisateurs autorisés. La sécurité périmétrique, les systèmes de prévention d'intrusion et la protection des endpoints ne peuvent différencier l'utilisation légitime d'identifiants de celle d'un attaquant tant que des indicateurs n'apparaissent qu'après la compromission.
• La psychologie humaine reste constamment exploitable. Les vulnérabilités techniques sont corrigées. Les tendances psychologiques humaines, telles que l'autorité, l'urgence, la peur, la confiance et la réciprocité, persistent dans tous les contextes organisationnels. Selon le rapport SANS 2025, l'IA « renforce » désormais la sophistication et l'échelle de ces attaques.
• La reconnaissance s'effectue hors de la visibilité défensive. Les groupes APT collectent des renseignements uniquement via des informations publiques, exploitant l'accès autorisé pendant des semaines ou des mois avant détection.
• L'IA permet la personnalisation à grande échelle. Selon le Verizon DBIR 2024, l'IA générative permet désormais aux attaquants de générer des messages de phishing très convaincants à grande échelle, les rendant beaucoup plus difficiles à détecter.
• L'expansion des identités machines crée une surface d'attaque massive. Selon une étude du SANS Institute, les identités machines dépassent désormais largement les identités humaines, l'IA devant devenir le principal créateur de nouvelles identités privilégiées d'ici 2025.

Ces facteurs de succès créent des défis défensifs spécifiques que les équipes de sécurité doivent relever.

Défis de la défense contre le HUMINT

La défense contre les attaques ciblant l'humain nécessite des approches différentes des programmes de sécurité technique.

• L'accès autorisé est digne de confiance par conception. Les architectures de sécurité supposent que les utilisateurs authentifiés sont fiables. Les attaques basées sur les identifiants restent invisibles pour les contrôles de sécurité car les attaquants apparaissent comme des utilisateurs autorisés effectuant des activités normales.
• La collaboration interfonctionnelle est essentielle pour les programmes de menaces internes. Selon les recommandations de la CISA, des programmes efficaces nécessitent des équipes interfonctionnelles intégrant la sécurité, les RH, le juridique et la direction. La plupart des entreprises n'établissent pas ces structures collaboratives, ce qui entraîne une information cloisonnée et des retards dans la réponse aux comportements préoccupants.
• L'abus des processus métier normaux est indiscernable de l'activité légitime. Les attaques HUMINT réussissent en exploitant les workflows habituels. Les attaquants utilisent l'email pour le phishing, le partage de fichiers pour l'exfiltration de données, l'accès VPN avec des identifiants volés, et les comptes privilégiés pour l'abus interne. Ces activités reflètent les opérations légitimes, échappant à la détection technique.

Au-delà de ces défis intrinsèques, les organisations aggravent souvent le problème par des erreurs évitables.

Erreurs courantes dans la défense contre le HUMINT

Les entreprises commettent de façon répétée des erreurs prévisibles qui créent des failles exploitables dans la sécurité humaine.

1. Dépendance exclusive à la technologie sans défenses centrées sur l'humain. Les organisations déploient des EDR avancés, SIEM, architecture zero trust et pare-feux, mais investissent peu dans la sensibilisation, l'analyse comportementale et les capacités dédiées aux menaces internes. Lorsque le rapport SANS 2025 montre que 80 % des organisations classent l'ingénierie sociale comme leur principal risque humain, le décalage entre la réalité de la menace et l'investissement défensif devient évident.
2. Théâtre de sensibilisation à la sécurité au lieu de mesurer le changement comportemental. La formation annuelle mesure les taux de complétion plutôt que le changement réel de comportement. Les employés regardent des vidéos de conformité, cliquent sur des modules, puis oublient immédiatement le contenu.
3. Ne pas distinguer les catégories de menaces internes. Une surveillance uniforme de tous les employés, ou l'absence totale de programme de menaces internes pour des raisons de confidentialité, crée des angles morts. Selon le Verizon DBIR, des approches différenciées sont nécessaires pour les initiés malveillants exploitant délibérément leur accès, les acteurs négligents compromettant la sécurité par erreur, et les objecteurs de conscience motivés par des désaccords idéologiques.
4. Ignorer la surface d'attaque des identités machines. Les programmes IAM axés uniquement sur les identités humaines laissent proliférer les comptes de service, clés API, identifiants de conteneurs et identités de processus autonomes sans gouvernance. Les recherches SANS révèlent d'importants angles morts systématiquement exploités par les attaquants.

Éviter ces erreurs nécessite la mise en œuvre de cadres défensifs éprouvés.

Bonnes pratiques pour se défendre contre le HUMINT

Une défense efficace contre les attaques ciblant l'humain nécessite des programmes intégrés suivant le cadre en quatre phases de la CISA : Définir, Trouver et Identifier, Évaluer et Gérer. Cela combine l'analyse comportementale pour détecter les menaces internes, la formation à la sécurité avec des résultats mesurables et la collaboration interfonctionnelle entre la sécurité, les ressources humaines, le juridique et la direction.

• Mettre en place des programmes de menaces internes selon le cadre en quatre phases de la CISA. Définissez ce qui constitue une menace interne dans votre contexte organisationnel, en reconnaissant que les initiés sont toute personne disposant d'un accès ou d'une connaissance autorisée des ressources de l'organisation. Déployez des capacités de surveillance intégrant des indicateurs techniques et comportementaux.
• Déployer une analyse comportementale établissant des bases de référence et identifiant les anomalies. Mettez en œuvre des plateformes UEBA qui analysent les schémas d'authentification, les comportements d'accès et les séquences d'activité pour détecter les écarts par rapport aux bases établies. Par exemple, lorsqu'un compte utilisateur accède soudainement à des partages de fichiers depuis une localisation géographique inhabituelle à 2 h du matin, l'analyse comportementale identifie cet écart et alerte l'équipe sur une possible compromission d'identifiants.
• Établir des programmes de sensibilisation mesurables avec des tests comportementaux. Allez au-delà de la formation axée sur la conformité avec des programmes mesurant le changement comportemental réel via des simulations de phishing réalistes et personnalisées.
• Mettre en œuvre une architecture zero trust avec vérification continue. Selon le cadre Zero Trust Architecture d'ISC2, la mise en œuvre zero trust nécessite un accès au moindre privilège, un contrôle d'accès basé sur les rôles, MFA, la gestion des accès privilégiés et une surveillance continue avec journalisation.
• Se protéger contre les attaques basées sur l'identité ciblant les identités humaines et machines. Mettez en place des programmes de gouvernance des identités combinant sensibilisation humaine, analyse comportementale, programmes de menaces internes interfonctionnels et surveillance continue de l'utilisation des identités humaines et machines.
• Créer des équipes interfonctionnelles de menaces internes intégrant la sécurité, les RH, le juridique et la direction. Selon la CISA, établissez des structures de collaboration formelles avec des rôles, responsabilités et protocoles de partage d'information clairement définis.

La mise en œuvre de ces bonnes pratiques nécessite une technologie capable de détecter les anomalies comportementales à l'échelle de l'entreprise.

Points clés à retenir

Les attaques basées sur le HUMINT dominent le paysage des menaces modernes car elles exploitent la psychologie humaine et les identifiants légitimes plutôt que les vulnérabilités techniques. Selon le Verizon DBIR 2024, le vol d'identifiants reste la méthode d'accès initiale la plus courante, tandis que l'étude Ponemon 2025 confirme que de nombreuses organisations peinent à détecter efficacement les menaces internes. Se défendre contre ces attaques nécessite des programmes intégrés combinant analyse comportementale, sensibilisation avec résultats mesurables, cadres de menaces internes, architecture zero trust et collaboration interfonctionnelle. 

Lorsque des attaquants comme Scattered Spider manipulent les agents du support pour obtenir des identifiants, la réussite défensive dépend de la mise en œuvre de programmes intégrés capables de détecter les attaques ciblant l'humain que les contrôles techniques ne peuvent voir.

FAQ

Qu’est-ce que HUMINT en cybersécurité ?

HUMINT, ou Human Intelligence, en cybersécurité désigne l’exploitation systématique du comportement humain, des relations de confiance et des dynamiques sociales pour compromettre la sécurité des entreprises. 

Bien que le terme provienne des contextes militaires et du renseignement, il décrit aujourd’hui des attaques qui manipulent les employés afin d’obtenir un accès volontaire plutôt que d’exploiter des vulnérabilités techniques. Les attaques basées sur HUMINT contournent les contrôles techniques en ciblant le facteur humain de la sécurité.

Comment les attaquants utilisent-ils HUMINT dans les cyberattaques ?

Les attaquants utilisent le HUMINT à travers un processus structuré combinant la reconnaissance, l’usurpation de prétexte et la manipulation. Ils commencent par collecter des renseignements à partir de sources publiques telles que LinkedIn, les sites web d’entreprise et les réseaux sociaux afin d’identifier des cibles et de construire des histoires crédibles. 

Les attaquants contactent ensuite les cibles par téléphone, e-mail ou lors d’interactions en personne, en se faisant passer pour le support informatique, des cadres, des fournisseurs ou d’autres entités de confiance. L’objectif est de manipuler les employés pour qu’ils révèlent des identifiants, approuvent des demandes frauduleuses ou effectuent des actions permettant un accès non autorisé. Une fois les identifiants légitimes obtenus, les attaquants se fondent dans l’activité normale des utilisateurs, rendant la détection extrêmement difficile.

En quoi HUMINT diffère-t-il des cyberattaques traditionnelles ?

Les cyberattaques traditionnelles exploitent des vulnérabilités techniques dans les logiciels, les systèmes ou les configurations réseau. Les attaques basées sur le HUMINT exploitent le comportement humain, les relations de confiance et les dynamiques sociales. Les attaquants manipulent les employés pour qu'ils accordent volontairement l'accès plutôt que de contourner les défenses techniques. 

Cette différence fondamentale signifie que les contrôles de sécurité techniques seuls ne peuvent pas fournir une défense adéquate contre les attaques ciblant les humains.

Quelles sont les techniques HUMINT les plus courantes ciblant les entreprises ?

Selon le rapport DBIR de Verizon, le prétexte représente une part importante et croissante des attaques d'ingénierie sociale. Les identifiants volés restent la méthode d'accès initiale la plus courante via le phishing, l'ingénierie sociale et credential stuffing. 

Les menaces internes représentent environ 45 % de toutes les violations de données, exploitant un accès autorisé à des fins malveillantes ou par compromission involontaire.

Les outils de sécurité peuvent-ils détecter les menaces internes et l’ingénierie sociale ?

La sécurité périmétrique, les antivirus et de nombreuses solutions EDR ne peuvent pas, par leur architecture, détecter les attaques basées sur le HUMINT car elles analysent des indicateurs techniques plutôt que le contexte comportemental. Lorsque les attaquants utilisent des identifiants légitimes obtenus par ingénierie sociale ou accès interne, ils apparaissent comme des utilisateurs autorisés. 

Selon le cadre de lutte contre les menaces internes de la CISA, des programmes efficaces doivent mettre en œuvre « à la fois des éléments humains et technologiques », y compris l’analyse du comportement des utilisateurs et des entités (UEBA).

Comment l’analyse comportementale identifie-t-elle les attaques basées sur les identifiants ?

Les analyses comportementales et les systèmes UEBA détectent les menaces internes et les attaques basées sur les identifiants en surveillant les écarts par rapport aux schémas établis. Selon le NIST et les cadres de l'industrie, la surveillance doit permettre d'identifier l'authentification depuis des emplacements géographiques inhabituels, l'accès à des systèmes en dehors des habitudes normales, des volumes inhabituels d'accès ou de transfert de données, ainsi que des tentatives d'élévation de privilèges. 

En analysant en continu ces schémas comportementaux, les organisations peuvent identifier plus tôt le compromis d'identifiants dans le cycle de vie de l'attaque.

Quels indicateurs démontrent l’efficacité d’un programme de lutte contre les menaces internes ?

Mesurez les capacités du programme en fonction des menaces internes identifiées par trimestre, du temps moyen pour détecter les indicateurs comportementaux et des taux de faux positifs. Suivez l'efficacité de l'évaluation grâce à la précision de la catégorisation des menaces et aux délais de clôture des investigations. 

Surveillez les résultats de la gestion à travers les taux de résolution des incidents et l'analyse coût-bénéfice, en comparant avec les références sectorielles d'un coût moyen d'incident d'environ 2,7 millions de dollars. Pour la  sensibilisation à la sécurité, mesurez la réduction du taux de clics lors des simulations de phishing et l'augmentation du taux de signalement des incidents de sécurité.