Qu’est-ce qu’une politique de mot de passe faible ? Risques et comment y remédier

Qu’est-ce qu’une politique de mot de passe faible ?

Une politique de mot de passe faible est une configuration d’authentification qui n’impose pas une robustesse adéquate des identifiants, laissant les systèmes vulnérables aux attaques par force brute, credential stuffing et password spraying. Formellement classée comme CWE-521 par MITRE, cette vulnérabilité existe lorsqu’une application ou un système autorise des mots de passe qu’un adversaire peut raisonnablement deviner, casser ou tester à grande échelle.

Une politique de mot de passe faible ne nécessite pas une seule ligne de code malveillant. L’attaquant a simplement besoin d’un identifiant valide. Une fois obtenu, il opère comme un utilisateur légitime, invisible pour les outils de sécurité basés sur les signatures et souvent non détecté pendant des mois. Le 2025 Data Breach Investigations Report (DBIR) de Verizon a révélé que l’abus d’identifiants était le vecteur d’attaque initial le plus répandu. Le rapport 2025 Cost of a Data Breach d’IBM a révélé que les violations basées sur des identifiants prennent jusqu’à 186 jours à être identifiées, soit l’un des délais d’identification les plus longs parmi les catégories d’attaque. Cela représente une demi-année pendant laquelle un adversaire se connecte comme quelqu’un en qui vous avez confiance.

Les dommages vont au-delà des comptes individuels. Les politiques de mot de passe faibles permettent les mouvements latéraux, l’élévation de privilèges et l’accès persistant dans des environnements entiers. Chacun de ces résultats découle d’une décision de politique que quelqu’un peut modifier.

Comment fonctionne une politique de mot de passe faible ?

Une politique de mot de passe faible crée des conditions exploitables à plusieurs niveaux du processus d’authentification. La vulnérabilité n’est pas une défaillance unique, mais une chaîne de contrôles insuffisants que les attaquants évaluent et exploitent en séquence.

L’arbre de décision de l’attaquant

Avant de lancer une attaque sur les identifiants, les adversaires effectuent une reconnaissance de la politique. MITRE documente cela comme la découverte de politique, où les attaquants cartographient les seuils de verrouillage, les exigences de longueur minimale et les règles de complexité afin de sélectionner la technique d’attaque optimale tout en évitant l’identification.

La chaîne d’exploitation se déroule généralement de cette manière :

1. Reconnaissance. L’attaquant identifie les points de terminaison d’authentification exposés à l’extérieur, remote desktop protocol (RDP), virtual private network (VPN), Outlook Web Access (OWA) et les portails d’authentification unique (SSO), puis sonde les caractéristiques de la politique.
2. Sélection de la technique. En fonction des faiblesses observées dans la politique, l’attaquant sélectionne l’attaque la plus efficace, en faisant correspondre la technique à la lacune spécifique découverte.
3. Acquisition des identifiants. L’attaquant obtient une combinaison valide nom d’utilisateur/mot de passe grâce à la technique choisie.
4. Abus post-compromission. MITRE classe cette phase sous les comptes valides, où l’adversaire opère comme un utilisateur légitime dans l’accès initial, la persistance et l’élévation de privilèges.

Même des politiques de verrouillage conservatrices sont insuffisantes à elles seules. MITRE met en évidence la campagne Quad7, où les attaquants ont mené des attaques de password spraying en utilisant une seule tentative par compte sur une période de 24 heures via des routeurs small office/home office (SOHO) compromis. La limitation du débit par compte seule ne peut pas arrêter une attaque conçue pour passer en dessous.

Les cadres de sécurité classent cette chaîne de défaillances de trois manières différentes, et celle que vous citez détermine la manière dont la correction est priorisée.

Classification OWASP et MITRE

Les politiques de mot de passe faibles se situent à l’intersection de trois grands cadres de sécurité, chacun classant la faiblesse sous un angle différent. Comprendre cette correspondance aide les équipes de sécurité à relier les audits de politique aux workflows de gestion des vulnérabilités et de renseignement sur les menaces.

La classification CWE capture la cause racine, Open Worldwide Application Security Project (OWASP) la regroupe avec les défaillances d’authentification associées, et MITRE ATT&CK cartographie le comportement de l’attaquant qui suit. Cette vue en couches révèle également que CWE-521 est rarement la seule faiblesse présente.

La faiblesse se situe au niveau d’abstraction "Base" dans la hiérarchie CWE, ce qui en fait la classification privilégiée pour l’analyse des causes racines et la divulgation des vulnérabilités. Sa faiblesse parente est CWE-287, ce qui la place dans la famille plus large des défaillances d’authentification qui permettent un accès non autorisé.

Faiblesses co-cartographiées sous OWASP A07

CWE-521 n’apparaît pas de manière isolée sous OWASP A07. La catégorie la regroupe avec plusieurs faiblesses associées qui coexistent souvent dans le même environnement :

• CWE-307: Absence de limitation de débit ou de verrouillage, permettant des tentatives de force brute sans restriction
• CWE-640: Mécanismes faibles de récupération de mot de passe qui contournent une politique par ailleurs robuste
• CWE-262/263: Contrôles d’expiration des mots de passe absents ou inefficaces
• CWE-798: Identifiants codés en dur qu’aucun changement de politique ne peut corriger

Cette co-cartographie est importante, car corriger CWE-521 seul, par exemple en imposant une longueur minimale plus importante, ne résout pas l’exposition plus large à A07 si des faiblesses adjacentes restent ouvertes. Une remédiation efficace exige de traiter l’ensemble du groupe.

Les cadres de référence nomment la faiblesse. Les environnements la produisent, généralement par huit lacunes récurrentes.

Causes des politiques de mots de passe faibles

Les politiques de mots de passe faibles découlent rarement d’une seule mauvaise configuration. La plupart des environnements vulnérables combinent plusieurs lacunes de contrôle qui se renforcent mutuellement, transformant ce qui pourrait être une faiblesse mineure isolée en un vecteur d’attaque fiable.

1. Aucune application d’une longueur minimale

Le non-respect des recommandations de longueur minimale du NIST, ou de l’objectif opérationnel de 15 caractères du CISA, permet directement des schémas d’attaque par force brute associés à CWE-521. Les critères de conformité du NIST indiquent que la longueur d’un secret mémorisé est la métrique la plus fiable pour déterminer sa robustesse.

2. Autorisation de mots de passe connus comme faibles ou courants

Les applications qui autorisent des mots de passe comme "Password1" ou "admin/admin" sans vérification par rapport à des listes de mots de passe connus comme mauvais sont vulnérables, quels que soient les autres contrôles de politique. Les directives d’authentification de l’OWASP recommandent de tester au minimum les pires mots de passe les plus courants.

3. Aucun mécanisme de limitation de débit ou de verrouillage

Sans limitation, brute force attacks réussissent indépendamment des exigences de complexité. La limitation de débit et la robustesse des mots de passe sont des contrôles indépendants, et leurs défaillances se cumulent.

4. Stockage faible ou non sécurisé des mots de passe

Le stockage en texte brut, chiffré (réversible) ou avec un hachage faible (MD5, SHA-1 sans salt, NTLM) convertit une surface d’attaque uniquement en ligne en une surface hors ligne, supprimant toute limitation d’authentification de l’équation.

5. Mécanismes inefficaces de récupération des identifiants

Selon l’OWASP, les questions de sécurité fondées sur la connaissance "cannot be made safe". CWE-640, Weak Password Recovery Mechanism, signifie qu’une politique de mot de passe robuste peut être entièrement contournée par un flux de récupération faible.

6. MFA absente ou inefficace

La classification A07 de l’OWASP liste explicitement l’absence d’authentification multifacteur (MFA) comme une condition directe de vulnérabilité. NIST SP 800-63B établit que les mots de passe seuls ne sont appropriés que pour des contextes à faible niveau d’assurance.

7. Règles contre-productives de complexité et de rotation obligatoire

L’OWASP note que la rotation obligatoire et la complexité de composition des caractères encouragent les utilisateurs à réutiliser des mots de passe faibles et à créer des schémas prévisibles. NIST SP 800-63-3 a officiellement déconseillé ces pratiques en 2017.

8. Défaillances de gestion organisationnelle et du cycle de vie

Les défaillances d’hygiène des identifiants, les comptes dormants, les identifiants partagés et les comptes d’utilisateurs partis représentent des faiblesses opérationnelles auxquelles aucune règle de complexité des mots de passe ne répond. CIS Control 5 les répertorie comme des faiblesses distinctes.

Huit lacunes, chacune mineure prise isolément. Ensemble, elles expliquent pourquoi un seul identifiant faible devient un risque métier au lieu d’un ticket d’assistance.

Impact et risque des politiques de mots de passe faibles

L’impact des politiques de mots de passe faibles s’étend du compromis d’un compte individuel aux violations complètes de l’organisation, aux sanctions réglementaires et aux atteintes à la réputation.

Impact financier

Un rapport IBM de 2024 a constaté que le coût moyen mondial d’une violation a atteint 4,88 millions de dollars.

Délais d’identification

Les violations basées sur les identifiants présentent l’un des délais d’identification les plus longs : jusqu’à 186 jours pour les identifier, selon les données 2025 d’IBM. Pendant cette période, les adversaires opérant avec des identifiants valides se fondent dans le trafic légitime, un schéma que SANS décrit comme "living off the land." Rien de ce qu’ils font ne ressemble à une attaque, car un outil basé sur les signatures n’a aucune signature pour une connexion réussie.

Exposition réglementaire

Les cadres réglementaires considèrent désormais les politiques de mots de passe faibles comme des manquements mesurables à la conformité. FAQ PCI DSS a fixé une longueur minimale obligatoire des mots de passe pour les environnements de cartes de paiement à compter de  mars 2025. Le Product Security and Telecommunications Infrastructure Act du Royaume-Uni interdit les mots de passe par défaut comme "admin" pour les appareils IoT, avec des sanctions financières en cas de non-conformité.

Risque aggravé lié aux appareils non gérés

Le Verizon 2025 DBIR a révélé que des connexions d’entreprise figuraient dans des journaux d’infostealers collectés à partir d’appareils que l’entreprise n’a jamais gérés. Ces identifiants sont volés en dehors de vos contrôles et utilisés à l’intérieur de ceux-ci, ce qui ne laisse rien sur quoi s’appuyer à un modèle centré sur le périmètre.

Les attaquants n’improvisent rien de tout cela. Ils choisissent dans un ensemble documenté et éprouvé de techniques.

Comment les attaquants exploitent les politiques de mots de passe faibles

Toutes les techniques d’attaque des identifiants relèvent de MITRE ATT&CK, la technique parente étant T1110, Brute Force. Chaque sous-technique cible une lacune de politique différente, et les attaquants sélectionnent l’approche qui correspond le mieux aux faiblesses qu’ils découvrent pendant la reconnaissance.

Deviner les mots de passe (T1110.001)

Les attaquants essaient systématiquement des mots de passe contre des comptes cibles, en se concentrant sur le SSO, les applications cloud et les points de terminaison d’authentification fédérée. L’ entrée T1110.001 de MITRE documente qu’APT28 effectue des tentatives répétées par compte ciblé pendant des heures ou des jours.

• Faiblesse de politique exploitée : Aucune politique de verrouillage, longueur minimale courte, identifiants par défaut inchangés.

Pulvérisation de mots de passe (T1110.003)

Un mot de passe, ou une petite liste, est testé sur des milliers de comptes, en restant sous les seuils de verrouillage par compte. L’ entrée T1110.003 de MITRE documente plusieurs groupes nommés utilisant cette technique, notamment APT28, APT29 et Midnight Blizzard.

• Faiblesse de politique exploitée : Modèles de mots de passe prévisibles, Season+Year et CompanyName+Number, aucune identification des échecs distribués entre les comptes, aucune MFA sur les services exposés à Internet.

Credential Stuffing (T1110.004)

Des identifiants provenant de dumps de violations tiers sont testés contre des services d’entreprise, exploitant la réutilisation des mots de passe. La vue d’ensemble du credential stuffing d’OWASP note que les attaquants utilisent également les données de violation pour contourner les mécanismes de récupération des identifiants à l’aide de numéros de téléphone, d’adresses e-mail et de réponses aux questions de sécurité exposés.

• Faiblesse de politique exploitée : Aucune application contre la réutilisation des mots de passe entre services, aucune vérification des identifiants compromis à la connexion, absence de MFA.

Craquage de mots de passe (T1110.002)

Il s'agit d'une attaque en deux phases. D'abord, les attaquants extraient les hachages de mots de passe des magasins d’identifiants, de NTDS.dit et de /etc/shadow. Ensuite, ils cassent les hachages hors ligne sur une infrastructure accélérée par GPU à l’aide d’outils comme Hashcat et John the Ripper, entièrement hors de portée de la victime. Le T1110.002 entry de MITRE documente FIN6 extrayant des hachages de mots de passe de ntds.dit pour un cassage hors ligne et Salt Typhoon cassant des mots de passe de chiffrement faibles à partir de fichiers de configuration d’équipements réseau.

• Faiblesse de politique exploitée : Les mots de passe courts réduisent le temps de cassage. Les algorithmes de hachage hérités, MD5, NTLM, et SHA-1 sans salt permettent des attaques précalculées.

Kerberoasting (T1558.003)

Tout utilisateur de domaine authentifié peut demander des tickets de service Kerberos pour des comptes avec des Service Principal Names. Ces tickets sont chiffrés avec le hachage du mot de passe du compte de service. Les attaquants exportent les tickets et les cassent hors ligne. Aucun privilège élevé n’est requis, et aucune interaction réseau supplémentaire n’est nécessaire après la collecte des tickets.

• Faiblesse de politique exploitée : Comptes de service avec des mots de passe faibles, absence de surveillance des requêtes SPN en masse et comptes de service exemptés des exigences de complexité au niveau utilisateur.

Cinq techniques, un prérequis : chacune d’entre elles nécessite un mot de passe qu’une politique plus stricte aurait rejeté. C’est le point d’appui. Son application dépend des systèmes exposés.

Qui est affecté par les politiques de mots de passe faibles ?

Les politiques de mots de passe faibles affectent chaque organisation et système qui utilise une authentification basée sur un mot de passe. Cependant, l’exposition varie selon le secteur, le type de système et le modèle de déploiement.

Types d’applications les plus vulnérables

La documentation MITRE ATT&CK identifie des services et protocoles spécifiques que les attaquants ciblent régulièrement :

Secteurs les plus à risque

Le point commun entre les services ci-dessus est qu’ils exposent directement l’authentification à des réseaux que les attaquants peuvent atteindre. Le risque se concentre davantage dans certains secteurs.

• Les opérateurs d’infrastructures critiques font face à une exposition réglementaire provenant à la fois des Cybersecurity Performance Goals (CPG) 2.0 de la CISA et des avis de renseignement sur les menaces opérationnelles. 
• Les services de santé et les services financiers combinent des données de grande valeur avec des environnements hérités complexes. 
• Les agences gouvernementales sont soumises aux exigences de surveillance continue de la Federal Information Security Modernization Act (FISMA) et à la conformité NIST SP 800-63B-4.
• Les environnements IoT et de technologie opérationnelle (OT) sont confrontés à un problème structurel : les appareils sont souvent livrés avec des identifiants codés en dur ou par défaut que les administrateurs ne peuvent pas modifier. La CISA a publié un ICS advisory concernant un appareil GPS SinoTrack dont le mot de passe par défaut était publiquement connu, sans mécanisme imposant un changement.
• Les petites et moyennes entreprises ne disposent généralement pas d’équipes de sécurité dédiées pour auditer les politiques de mot de passe, appliquer la MFA ou surveiller les attaques d’identifiants, ce qui les rend disproportionnellement vulnérables malgré leur surface d’attaque plus réduite.

Exemples concrets d’exploitation de politiques de mot de passe faibles

Rien de tout cela n’est théorique. Chacun des incidents suivants a commencé par un seul identifiant, montrant comment des politiques de mot de passe faibles se traduisent par des dommages opérationnels et financiers dans différents secteurs et types de systèmes.

Attaque de la chaîne d’approvisionnement SolarWinds (2020)

Un mot de passe faible sur le serveur de mise à jour SolarWinds, exposé de juin 2018 à novembre 2019, a accordé un accès qui a permis une compromission de la chaîne d’approvisionnement touchant des départements et agences fédéraux américains.

Attaque par rançongiciel contre Colonial Pipeline (2021)

Le plus grand pipeline de produits pétroliers raffinés des États-Unis a été arrêté après que des attaquants ont compromis un seul identifiant sur un ancien compte VPN sans MFA. L’entreprise a payé 4,4 millions de dollars de rançon en Bitcoin.

Un audit DOI OIG simultané a constaté que le département de l’Intérieur des États-Unis n’avait pas mis en œuvre la MFA sur les actifs, autorisait la réutilisation des mots de passe sur plusieurs comptes et ne désactivait pas en temps voulu les comptes inactifs, confirmant que le schéma de défaillance de Colonial Pipeline était systémique dans les organisations fédérales.

Target Corporation (2013)

Cette violation a exposé des dizaines de millions d’enregistrements de cartes de paiement. Une évaluation de sécurité post-violation rapportée par KrebsOnSecurity a révélé que la politique de mot de passe de Target n’était pas appliquée, que des fichiers contenant des identifiants réseau valides étaient stockés sur plusieurs serveurs et que les systèmes utilisaient partout des mots de passe faibles ou par défaut. Les évaluateurs ont obtenu immédiatement un accès administrateur système en utilisant ces mots de passe faibles.

Violation de données RockYou (2009)

Une vulnérabilité par SQL injection a exposé des mots de passe en texte clair, plus de trois décennies après l’invention du hachage des mots de passe. La violation a produit la liste de mots "rockyou.txt", qui reste un dictionnaire standard de cassage dans les tests d’intrusion et les attaques réelles.

Chronologie et historique des vulnérabilités des politiques de mot de passe

Les faiblesses des politiques de mot de passe sont exploitées depuis les premiers jours de l’informatique. La chronologie suivante retrace les étapes clés depuis l’invention de l’authentification par mot de passe jusqu’aux changements réglementaires et normatifs les plus récents.

Les normes sont correctes depuis des années. L’écart se situe au niveau du déploiement. Le combler commence par savoir où les politiques faibles résident réellement dans votre environnement.

Comment détecter les politiques de mots de passe faibles

L’identification des mots de passe faibles nécessite à la fois un audit proactif des identifiants existants et une surveillance en temps réel de l’activité d’authentification. Aucune méthode unique n’est suffisante.

Audit proactif des hachages de mots de passe

Extrayez les hachages de mots de passe de NTDS.dit ou de /etc/shadow et faites-les passer dans des outils de cassage pour trouver les mots de passe cassables avant les attaquants. Il s’agit d’une technique purple team, consistant à exécuter selon une base planifiée les mêmes outils que les adversaires utilisent contre vos propres magasins d’identifiants. Cela est particulièrement critique pour les comptes de service avec des SPN, qui sont des cibles de Kerberoasting. 

Surveillez l’utilisation du chiffrement RC4 dans les requêtes de ticket Kerberos et auditez les requêtes SPN en masse, deux indicateurs d’une reconnaissance Kerberoasting active. Un avis CISA a confirmé ce risque : l’équipe a cassé le mot de passe faible d’un compte de service privilégié à l’aide d’une liste de mots courante après avoir trouvé un /etc/shadow lisible dans une sauvegarde accessible globalement.

Corrélation des anomalies d’authentification basée sur le SIEM

Les signatures clés à corréler dans une plateforme SIEM incluent :

• Credential stuffing: Authentifications échouées multiples utilisant des paires nom d’utilisateur/mot de passe distinctes depuis une seule IP.
• Spraying: Rafales d’authentifications échouées avec rotation des noms d’utilisateur.
• Insider threat: Exécution d’outils d’audit de mots de passe dans l’environnement.

La corrélation de ces signaux nécessite une ingestion centralisée des journaux et une rétention suffisante pour faire émerger les campagnes lentes. Lorsque les seuils par compte ne parviennent pas à détecter les attaques distribuées, les approches comportementales comblent cette lacune.

Analyse comportementale des attaques d’identifiants

Les contrôles basés sur le verrouillage ne peuvent pas traiter le spraying distribué, une seule tentative par compte et par jour, ni le stuffing à grande échelle. L’analyse comportementale fonctionne sur le modèle plutôt que sur le seuil. 

Elle signale des caractéristiques d’appareil anormales, des flux d’interaction non humains, des emplacements d’accès inhabituels et des connexions simultanées depuis un seul compte.

Vérification par corpus de violations

Métriques FISMA FY2025 de la CISA exigent que les agences vérifient en continu si des comptes peuvent être compromis à l’aide d’identifiants issus de violations précédentes et de mots de passe connus comme faibles, y compris des mots du dictionnaire et le propre nom d’utilisateur de l’utilisateur. Cela présente la vérification par corpus de violations comme un contrôle obligatoire et continu, et non comme une vérification ponctuelle.

Réponse aux menaces liées à l’identité

Le SANS analyse des attaques d’identité définit l’Identity Threat Detection and Response (ITDR) comme un ensemble d’outils et de bonnes pratiques visant à défendre les systèmes d’identité, détecter les compromissions et permettre une remédiation efficace. Le principal défi est que les attaquants utilisant des identifiants valides se fondent dans l’activité légitime. ITDR nécessite une visibilité sur les identités dans les environnements cloud, sur site et hybrides, couvrant tous les utilisateurs, tous les comptes, humains et de service, tous les droits d’accès et toutes les configurations.

Une fois que vous savez comment trouver la faiblesse, l’étape suivante consiste à mettre en place des contrôles préventifs.

Comment prévenir les politiques de mots de passe faibles

La prévention exige d’aligner votre politique de mots de passe sur les normes réglementaires actuelles tout en traitant chacune des huit causes profondes.

Appliquer une longueur minimale de mot de passe de 15 caractères

Avis 2025 de la CISA associe explicitement les politiques de moins de 15 caractères à la facilitation des attaques T1110.001, .002, .003 et .004. Il s’agit du seuil le plus fondé sur le plan opérationnel parmi toutes les sources faisant autorité. FAQ PCI DSS exige une longueur minimale de mot de passe pour les environnements de cartes de paiement.

Déployer une MFA résistante au phishing pour tous les points d’accès

Les directives 2025 de la CISA précisent une MFA résistante au phishing, et pas simplement n’importe quelle mise en œuvre de MFA. PCI DSS v4.0.1 exige la MFA pour tous les accès à l’environnement des données des titulaires de carte et accepte les clés d’accès FIDO2 conformément à la FAQ 1595. NIST SP 800-63B-4 exige la MFA au niveau 2 d’assurance de l’authentificateur (AAL2) et AAL3, AAL3 exigeant en outre une résistance à l’usurpation du vérificateur et à la compromission du vérificateur.

Vérifier les mots de passe par rapport aux corpus de violations

Vérifiez tous les mots de passe nouveaux et modifiés par rapport à des valeurs compromises connues, à des mots du dictionnaire et au propre nom d’utilisateur de l’utilisateur. OWASP recommande au minimum de tester par rapport aux pires mots de passe les plus courants. Les métriques FISMA de la CISA exigent une surveillance continue, et non des vérifications ponctuelles. Remplacez les obligations de rotation obligatoire par cette approche de vérification continue.

Éliminer le stockage non sécurisé et établir la rotation des identifiants

Interdisez le stockage des mots de passe en texte clair et effectuez régulièrement des audits à ce sujet. Utilisez des algorithmes de hachage robustes avec salage : bcrypt, scrypt et Argon2. Une analyse SANS de la rotation des identifiants indique que les organisations doivent être capables de faire tourner les identifiants sur une cadence hebdomadaire. L’incapacité à le faire indique une hygiène opérationnelle des identifiants insuffisante. Cette capacité nécessite une infrastructure dédiée de gestion des secrets.

Désactiver les comptes dormants sous 45 jours

CIS Controls exigent la suppression ou la désactivation des comptes dormants après 45 jours d’inactivité. SANS identifie la désactivation immédiate des comptes inactifs comme une pratique d’hygiène fondamentale de la gestion des identités et des accès (IAM).

Mettre en œuvre le moindre privilège avec des comptes administrateur dédiés

Limitez les privilèges administrateur à des comptes d’administration dédiés. Effectuez les activités informatiques générales, la navigation, les e-mails et la productivité à partir de comptes non privilégiés. CISA CPG fait référence à NIST SP 800-53 Rev 5 AC-5, Separation of Duties, et AC-6, Least Privilege, comme contrôles de gouvernance.

Déployer des gestionnaires de mots de passe d’entreprise

Les directives sur les mots de passe de la CISA recommandent de déployer un gestionnaire de mots de passe à l’échelle de l’entreprise pour imposer des identifiants uniques par ressource.

C’est la politique. L’outillage est ce qui permet de la faire tenir sur dix mille comptes.

Outils de détection et de prévention

Traiter les politiques de mots de passe faibles à grande échelle nécessite une combinaison d’outils d’audit proactif, de surveillance de l’authentification et d’infrastructure d’application des politiques. Les catégories suivantes couvrent le principal paysage des outils.

Outils d’audit et de cassage de mots de passe (proactifs)

• Hashcat : audit de mots de passe accéléré par GPU et principal outil de cassage proactif de hachages.
• John the Ripper: Outil gratuit et open source d’audit de mots de passe prenant en charge plusieurs formats d’identifiants.

Ces outils révèlent quels identifiants dans votre environnement céderaient aux mêmes techniques que celles utilisées par les attaquants. Une fois que vous savez ce qui peut être cassé, vous avez besoin de visibilité sur les tentatives d’exploitation actives.

Surveillance du réseau et de l’authentification

• Plateformes SIEM: Corrèlent les événements d’authentification sur les terminaux, les magasins d’identités et les services cloud afin de détecter les schémas de spraying, stuffing et force brute.
• Solutions ITDR: Protection des identités conçue spécifiquement pour le cas où l’attaquant détient déjà un identifiant valide et se fond dans l’activité normale.

La surveillance met en évidence les attaques en cours, mais ne les empêche pas. Les outils d’application comblent les lacunes des politiques que la surveillance révèle.

Application des politiques

• Stratégie de groupe Active Directory : Appliquez la longueur minimale du mot de passe, la complexité et les contrôles d’historique dans les environnements Windows.
• Gestion des accès privilégiés (PAM) : Placez en coffre-fort et faites pivoter automatiquement les identifiants privilégiés, en traitant l’hygiène des mots de passe des comptes de service et des administrateurs.

Ces catégories traitent indépendamment l’audit, la surveillance et l’application des politiques. SentinelOne unifie ces fonctions au sein d’une plateforme unique.

Comment SentinelOne peut aider

La Singularity™ Platform couvre la chaîne d’attaque des identifiants au niveau du magasin d’identités, sur le terminal et dans la réponse.

• Protection des identités. Singularity Identity détecte l’utilisation abusive des identifiants et les activités d’authentification anormales dans Active Directory et les magasins d’identités cloud. Lorsque des attaquants utilisent des identifiants valides obtenus par force brute ou credential stuffing, l’IA comportementale fait remonter l’anomalie sans nécessiter de signature connue.
• IA comportementale sur le terminal. L’IA comportementale basée sur agent de SentinelOne analyse le comportement des processus au niveau de l’appareil. Elle détecte les mouvements latéraux et l’élévation de privilèges qui suivent une attaque réussie sur les identifiants.
• Storyline technology. Storyline Active Response (STAR)™ reconstitue l’ensemble de la chaîne d’attaque, depuis l’abus initial d’identifiants jusqu’au mouvement latéral et à l’accès aux données, offrant aux analystes un contexte forensique complet. Lorsqu’un adversaire opère pendant des semaines à l’aide d’identifiants valides, Storyline relie l’activité dans un récit unifié au lieu de laisser les analystes corréler manuellement les événements entre des outils déconnectés.
• Purple AI™ pour l’investigation. Purple AI™ accélère l’investigation des incidents liés aux identifiants en permettant des requêtes en langage naturel dans Singularity Data Lake. Une étude de IDC found que les clients de Purple AI obtiennent une identification des menaces 63 % plus rapide et une réduction de 55 % du délai moyen de réponse (MTTR). Les analystes peuvent demander les anomalies d’authentification liées aux comptes de service et recevoir des résultats corrélés en quelques secondes au lieu de passer des heures à interroger plusieurs plateformes.
• AI SIEM et Data Lake. Le data lake et l’AI SIEM de SentinelOne assurent une ingestion en temps réel depuis n’importe quelle source avec normalisation Open Cybersecurity Schema Framework (OCSF). AI SIEM fonctionne 100x plus vite que les solutions SIEM héritées, ce qui vous permet de corréler les signaux de force brute, de password spraying et de credential stuffing à travers la télémétrie d’identité, de terminal et de cloud pendant que l’attaque est encore en cours.
• Réponse autonome. Lorsque les attaques basées sur les identifiants sont confirmées, le moteur de réponse autonome de SentinelOne isole les terminaux compromis et stoppe les mouvements latéraux sans attendre une intervention humaine. Dans les 2024 MITRE ATT&CK Evaluations, SentinelOne a généré 88 % d’alertes en moins que les solutions concurrentes. Cela représente beaucoup moins de bruit à analyser pendant qu’un incident lié aux identifiants se déroule.

Demander une démo pour voir comment la Singularity Platform détecte et stoppe les attaques basées sur les identifiants dans l’ensemble de votre environnement.

Réduire les risques liés à l'identité dans l'ensemble de votre organisation

Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.

Obtenir une démonstration

Vulnérabilités associées

Les politiques de mots de passe faibles s’inscrivent dans une famille plus large de faiblesses liées à l’authentification et à la gestion des identifiants. Comprendre les classes de vulnérabilités associées vous oriente vers les expositions adjacentes dans votre propre environnement.

• CWE-798: Utilisation d’identifiants codés en dur. Le logiciel contient des identifiants compilés dans le code source, impossibles à modifier par les administrateurs. Aucune politique opérationnelle de mot de passe ne peut corriger un identifiant intégré dans un binaire. CWE-798 doit être traité au niveau du cycle de vie du développement logiciel. La page CWE-259 traite spécifiquement des mots de passe codés en dur, où des classes Java compilées peuvent être décompilées pour révéler des chaînes d’identifiants.
• CWE-287: Authentification incorrecte. Couvre les cas où le mécanisme d’authentification lui-même peut être contourné. La page CWE-287 documente CVE-2017-14623, où un package LDAP permet de contourner l’authentification à l’aide d’un mot de passe vide. Même une politique de mot de passe extrêmement robuste n’offre aucune protection lorsque le mécanisme est entièrement contourné.
• CWE-262: Non-utilisation de l’expiration des mots de passe. Décrit l’échec de l’application de l’expiration des mots de passe. Il convient de noter que ce CWE occupe une position inhabituelle : sa remédiation, l’expiration obligatoire, est elle-même désormais remise en question en tant que bonne pratique dans le cadre de NIST SP 800-63-4. La page CWE-262 cite une discussion communautaire de 2021 intitulée "Time to retire CWE-262 and CWE-263."
• CWE-263: Expiration des mots de passe avec une longue durée de validité. L’échec opposé à CWE-262 : une politique est présente mais configurée de manière si permissive qu’elle n’impose aucune contrainte significative sur la durée de vie des identifiants.
• CWE-307: Restriction inappropriée des tentatives d’authentification excessives. Mappé conjointement avec CWE-521 sous OWASP A07, couvrant l’absence de limitation du débit ou de mécanismes de verrouillage.
• CWE-640: Mécanisme faible de récupération de mot de passe. Une politique de mot de passe robuste entièrement contournée par un flux de récupération faible utilisant des questions de sécurité basées sur la connaissance.

Si vous suivez les divulgations réelles de vulnérabilités, vous pouvez également voir à quelle fréquence cette faiblesse apparaît dans les CVE des produits.

CVE associés

Le tableau suivant documente les CVE liés à des politiques de mot de passe faibles, à des identifiants par défaut et à des vulnérabilités d’identifiants codés en dur. 

Toutes les entrées renvoient vers des pages vérifiées dans la base de données de vulnérabilités SentinelOne et sont classées de la plus récente à la plus ancienne. Les vulnérabilités connues comme exploitées de la CISA sont indiquées le cas échéant.

À retenir

Les politiques de mot de passe faibles restent l’une des défaillances d’authentification les plus systématiquement exploitées, car elles donnent aux attaquants un accès légitime. Les contrôles qui permettent d’y remédier sont déjà documentés et déjà disponibles : des longueurs minimales plus importantes, MFA résistante au phishing, le filtrage par corpus de violations, le hachage salé et l’analyse basée sur le comportement. 

Chaque élément de cette liste est une décision que quelqu’un dans votre organisation peut prendre ce trimestre. Prenez-les, et un identifiant valide cesse d’être une voie d’accès à l’ensemble de l’environnement.