Qu’est-ce qu’une attaque basée sur l’identité ?
La hausse des attaques basées sur l’identité contre les infrastructures cloud est préoccupante. Les attaquants exploitent les mots de passe faibles, le phishing et l’ingénierie sociale pour accéder sans autorisation aux données et systèmes sensibles. Il est essentiel de renforcer la gestion des identités et des accès.
La fréquence des attaques par ransomware a doublé ces dernières années. Elles représentent 10 % de toutes les violations de données. Selon le 2022 Verizon Data Breach Investigation Report, le « facteur humain » constitue le principal vecteur d’accès initial dans 82 % des violations de données. L’ingénierie sociale et les identifiants volés figurent parmi les principaux Ces défis poussent les RSSI à placer la sécurité des identités en tête de leurs priorités des attaquants. Ceux-ci cherchent constamment à obtenir des identifiants valides pour se déplacer sans être détectés dans les réseaux d’entreprise. Ces défis placent la sécurité des identités en tête des priorités des CISO.
Les solutions traditionnelles de sécurité des identités laissent encore la voie libre aux attaques
Parmi les solutions traditionnelles de sécurité des identités figurent la gestion des identités et des accès (IAM), la gestion des accès privilégiés (PAM) et la gouvernance et l’administration des identités (IGA). Ces outils garantissent aux utilisateurs les accès appropriés et assurent une vérification continue, deux principes fondamentaux du modèle de sécurité zero trust.
Toutefois, la gestion des identités et des accès, centrée sur l’attribution, la connexion et le contrôle des accès, n’est que le point de départ. La protection doit aller au-delà de l’authentification initiale et du contrôle des accès. Elle doit couvrir les identifiants, les privilèges, les droits et les systèmes qui les gèrent, de la visibilité sur les expositions à la détection des attaques.
Du point de vue des vecteurs d’attaque, Active Directory (AD) est une cible évidente. C’est là que se trouvent naturellement les identités et leurs éléments clés. Voilà pourquoi AD se retrouve dans le viseur des attaquants et constitue une préoccupation majeure en matière de sécurité. De plus, à mesure que la migration vers le cloud s’accélère, de nouveaux défis de sécurité apparaissent lorsque les équipes informatiques attribuent rapidement des accès dans leurs environnements.
Les vulnérabilités d’AD, combinées à la fréquence des mauvaises configurations dans le cloud, montrent clairement qu’une protection supplémentaire est nécessaire au-delà de l’attribution et de la gestion des accès.
Une nouvelle approche de la sécurité des identités
Les solutions modernes de sécurité des identités offrent une visibilité essentielle sur les identifiants stockés sur les endpoints, les mauvaises configurations d’Active Directory (AD) et la prolifération des droits d’accès dans le cloud. La gestion de la surface d’attaque des identités (ID ASM) et la détection et réponse aux menaces ciblant les identités (ITDR) sont de nouvelles catégories de sécurité conçues pour protéger les identités et les systèmes qui les gèrent.
Ces solutions complètent les outils de détection et réponse sur les endpoints (EDR), de détection et réponse étendues (XDR), de détection et réponse sur le réseau (NDR) et d’autres outils similaires, avec lesquels elles fonctionnent.
L’ID ASM vise à limiter les expositions exploitables par les attaquants en réduisant la surface d’attaque des identités. Moins il y a d’expositions, plus la surface d’attaque des identités est réduite. Pour la plupart des entreprises, cela concerne Active Directory, qu’il soit sur site ou dans Azure.
Si l’EDR détecte les attaques visant les endpoints et collecte des données pour les analyser, les solutions ITDR recherchent les attaques ciblant les identités. Lorsqu’une solution ITDR détecte une attaque, elle ajoute une couche de défense : elle fournit de fausses données qui redirigent l’attaquant vers un leurre crédible, puis isole automatiquement le système compromis à l’origine de la requête.
Les solutions ITDR contribuent également à la réponse aux incidents en collectant des données forensiques et de télémétrie sur les processus utilisés pendant l’attaque. La complémentarité de l’EDR et de l’ITDR sert un même objectif : contrer les efforts des attaquants.
Les solutions ID ASM et ITDR détectent l’utilisation abusive d’identifiants, l’élévation de privilèges et d’autres tactiques employées par les attaquants sur le réseau. Elles comblent des failles critiques entre la gestion des identités et des accès et les solutions de sécurité des endpoints, et bloquent les tentatives d’exploitation d’identifiants vulnérables pour se déplacer sans être détectés dans les réseaux.
Solutions de protection contre les menaces ciblant les identités
SentinelOne s’appuie sur sa grande expérience de la détection de l’élévation de privilèges et des mouvements latéraux pour proposer une solution spécialisée en ITDR et en ID ASM. L’entreprise a consolidé sa position de leader grâce à son vaste portefeuille de solutions ITDR et ID ASM.
Produits de sécurité des identités :
- Singularity Identity Posture Management pour évaluer en continu les expositions et les activités dans Active Directory susceptibles de signaler une attaque
- Singularity Identity Threat Detection and Response (ITDR) pour détecter les activités non autorisées et les attaques contre Active Directory, protéger contre le vol d’identifiants et leur utilisation abusive, empêcher l’exploitation d’Active Directory, visualiser les chemins d’attaque, réduire la surface d’attaque et détecter les mouvements latéraux
Singularity™ Identity
Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.
Il est temps de repenser la sécurité des identités
Face à la hausse des attaques ciblant les identités, les entreprises doivent détecter toute exploitation, utilisation abusive ou usurpation d’identités professionnelles. Ce besoin devient encore plus pressant à mesure que les organisations adoptent le cloud public et que le nombre d’identités humaines et non humaines continue de croître de façon exponentielle.
Les attaquants détournent souvent des identifiants, exploitent Active Directory (AD) et ciblent les identités via les autorisations cloud. Il est donc essentiel de détecter les activités liées aux identités avec des solutions modernes d’ID ASM et d’ITDR.
Découvrez les solutions Singularity Identity Posture Management et Singularity Identity de SentinelOne.
"FAQ sur les attaques ciblant les identités
Une attaque ciblant les identités est un incident de sécurité informatique dans lequel un attaquant cherche à accéder illégitimement à des systèmes en ciblant des identifiants utilisateur, tels que les noms d’utilisateur, les mots de passe ou les jetons d’authentification. Plutôt que d’exploiter des vulnérabilités techniques, il cherche à voler, manipuler ou détourner des données liées aux identités.
Ces attaques exploitent les failles de la gestion des identités et des accès pour usurper l’identité d’utilisateurs légitimes ou se déplacer latéralement et durablement dans les réseaux. Une fois des identifiants légitimes obtenus, les attaquants contournent facilement les défenses traditionnelles. Ils semblent être des utilisateurs autorisés, ce qui rend leur détection particulièrement difficile.
Parmi les exemples courants figurent les e-mails de phishing qui incitent les utilisateurs à révéler leurs identifiants, les attaques par bourrage d’identifiants qui réutilisent des mots de passe volés sur plusieurs sites et les attaques par pulvérisation de mots de passe qui testent des mots de passe courants sur de nombreux comptes. L’ingénierie sociale pousse les collaborateurs à divulguer des informations confidentielles, tandis que les attaques de l’homme du milieu interceptent les communications pour voler des données.
Les attaques par force brute utilisent des outils automatisés pour deviner les mots de passe. Les attaques Golden Ticket exploitent les failles d’Active Directory pour accéder à un domaine.
Les approches fondées sur l’identité se concentrent sur « qui vous voulez devenir », tandis que celles fondées sur les résultats visent « ce que vous voulez accomplir ». En sécurité, les attaques ciblant les identités visent l’identité numérique et les identifiants d’une personne pour obtenir un accès non autorisé. Les attaques fondées sur les résultats cherchent à atteindre un objectif précis, comme voler des données ou perturber un système.
Les méthodes fondées sur l’identité entraînent des changements de comportement durables, car elles s’accordent avec l’identité personnelle. Les méthodes fondées sur les résultats peuvent perdre en efficacité une fois l’objectif atteint. Les organisations ont besoin des deux approches : des contrôles de sécurité centrés sur l’identité et des procédures de réponse aux incidents axées sur les résultats.
Déployez l’authentification multifacteur pour exiger une vérification supplémentaire au-delà du mot de passe. Adoptez des politiques de mots de passe solides, privilégiant les phrases secrètes aux mots de passe complexes. Formez vos collaborateurs à reconnaître le phishing et les techniques d’ingénierie sociale avant qu’ils n’en soient victimes.
Des audits de sécurité réguliers révèlent les vulnérabilités, tandis que l’authentification unique réduit le nombre d’identifiants que les attaquants peuvent cibler. Surveillez les comportements inhabituels des utilisateurs et adoptez un modèle de sécurité Zero Trust qui vérifie chaque demande d’accès.
Les principaux types comprennent le bourrage d’identifiants, qui teste des combinaisons d’identifiants volées sur plusieurs sites, la pulvérisation de mots de passe courants sur de nombreux comptes et les e-mails de phishing conçus pour voler des identifiants. L’ingénierie sociale pousse les victimes à révéler des informations, tandis que les attaques par force brute utilisent des outils automatisés pour deviner les mots de passe.
Les attaques de l’homme du milieu interceptent les communications, le Kerberoasting cible les mots de passe des comptes de service et les attaques Golden Ticket exploitent les failles d’Active Directory. Le détournement de session prend le contrôle des sessions utilisateur actives, tandis que la compromission de comptes à privilèges cible les identifiants d’administration dotés de droits d’accès élevés.
La MFA ajoute une couche de sécurité qui bloque les accès non autorisés, même si les mots de passe sont compromis. Elle exige plusieurs méthodes d’authentification, comme un mot de passe, un code envoyé sur mobile ou des données biométriques, avant d’accorder l’accès. Même si des attaquants obtiennent votre mot de passe par phishing ou à la suite d’une fuite de données, ils doivent aussi franchir la seconde vérification.
La MFA réduit considérablement le risque de compromission : les attaquants doivent franchir plusieurs contrôles d’authentification indépendants au lieu d’un simple mot de passe. Les organisations qui l’adoptent sont nettement moins exposées aux attaques ciblant les identités, car elle ajoute des obstacles que de nombreux attaquants peinent à contourner.
En savoir plus sur Sécurité des identités
Prêt à révolutionner vos opérations de sécurité ?
Découvrez comment SentinelOne AI SIEM peut transformer votre SOC en une puissance autonome. Contactez-nous dès aujourd’hui pour une démonstration personnalisée et voyez l’avenir de la sécurité en action.
