La sécurité des identités est sous les projecteurs ces derniers temps, et l’on comprend facilement pourquoi. Le plus récent rapport Verizon Data Breach Investigations Report a révélé que 61 % de toutes les fuites de données impliquent des identifiants.
Que ces identifiants aient été dérobés sur des terminaux, obtenus par ingénierie sociale ou achetés sur le dark Web, le message reste le même : s’infiltrer dans un réseau à l’aide d’une identité compromise est une tactique très efficace pour les attaquants d’aujourd’hui. Tant que les entreprises n’auront pas prouvé qu’elles peuvent systématiquement l’empêcher, les attaquants auront peu de raisons d’abandonner cette méthode.
Une grande partie des discussions sur les identités porte sur les identités des utilisateurs. Et si ces dernières sont vulnérables, les réseaux actuels abritent littéralement des milliards d’entités non humaines.
En 2020, Cisco a publié un rapport estimant qu’en 2023, près de 30 milliards d’appareils connectés seraient utilisés dans le monde, contre 18 milliards quelques années auparavant. Les identités non humaines sont désormais nettement plus nombreuses que les utilisateurs humains, et la plupart des communications actuelles sur Internet ne se font pas entre humains, mais entre machines.
Malheureusement, une identité de machine compromise peut avoir des conséquences tout aussi graves qu’une identité humaine compromise. C’est un problème que les entreprises d’aujourd’hui doivent reconnaître — et traiter — avant qu’il ne soit trop tard.
À lire aussi : The Successful CISO: How to Build Stakeholder Trust
Comprendre les identités des machines
Le terme identité utilisateur est assez intuitif, mais identité machine peut désigner un large éventail d’appareils, d’applications et de processus.
Par essence, une identité machine est tout ce qui permet d’utiliser Internet ou de communiquer sur Internet, et qui n’est pas un être humain. Cela inclut les smartphones, les ordinateurs portables, les applications web, les serveurs, les bases de données, les systèmes de contrôle industriels et d’innombrables autres entités non humaines. Ces appareils communiquent en permanence entre eux, ce qui signifie qu’ils doivent pouvoir vérifier que l’entité avec laquelle ils communiquent est bien celle qu’elle prétend être.
Combien de fois l’utilisateur moyen s’est-il connecté à un compte en ligne depuis un nouvel ordinateur portable — ou même simplement un nouveau navigateur — et a-t-il été accueilli par le message « cet appareil n’est pas reconnu » ? Dans ce cas, le système invite l’utilisateur à s’authentifier de nouveau. Une fois l’identité du titulaire du compte vérifiée, l’application conserve alors l’identifiant du nouvel appareil et le reconnaît à l’avenir.
La nécessité d’une bonne authentification est encore plus évidente lorsqu’on considère des secteurs comme les infrastructures critiques. Une usine peut compter des centaines de machines différentes travaillant sur une chaîne de montage, et il existe généralement un système structuré qui sert de contrôleur à plusieurs systèmes sous-jacents.
Ces systèmes doivent pouvoir authentifier chaque appareil présent dans l’usine. Après tout, lorsqu’un appareil reçoit une instruction, il doit être certain que le système qui la lui transmet dispose de l’autorisation nécessaire. Sans cette authentification, il serait facile pour un intrus de donner à un appareil des instructions incorrectes, voire dommageables.
À lire aussi : Secure Access Service Edge: Big Benefits, Big Challenges
Pourquoi les attaquants ciblent les identités des machines
Lorsqu’une identité machine est compromise, elle ouvre la voie à plusieurs types d’attaques. Les attaquants peuvent utiliser l’appareil pour mener des attaques de type homme du milieu, ou écouter les données qui circulent sur le réseau et dérober des informations. D’autres peuvent commettre des actes de sabotage, comme dans l’exemple de l’usine. D’autres encore peuvent exploiter l’identité compromise pour se déplacer latéralement sur le réseau, de la même manière qu’avec une identité utilisateur compromise.
Le système qui relie ces identités aux accès dûment autorisés aux ressources légitimes est l’Active Directory (AD) de Microsoft. C’est un peu comme un GPS : un répertoire de sources d’information à la structure particulièrement complexe. Plus de 90 % des entreprises utilisent aujourd’hui AD comme service d’identité, et les attaquants ciblent souvent AD pour tenter d’élever encore davantage leurs privilèges.
Le nombre croissant d’identités machines utilisées aujourd’hui les rend beaucoup plus difficiles à sécuriser. Il n’est pas facile de veiller à ce que chaque système soit corrigé et mis à jour en continu. Les identités sont sécurisées au moyen de certificats numériques, qui doivent eux aussi être gérés. Certaines entreprises utilisent aujourd’hui des millions de ces certificats, et suivre les dates d’expiration et de renouvellement peut représenter un défi de taille à grande échelle.
Les outils automatisés ont contribué à résoudre certains de ces problèmes, mais ils ajoutent aussi une couche de complexité qui crée ses propres vulnérabilités. Après tout, plus un système est complexe, plus il est difficile de remarquer qu’un élément ne va pas. La plupart des entreprises manquent déjà de visibilité sur les identités machines présentes sur leurs réseaux, ce qui signifie qu’un attaquant qui en compromet une pourrait recueillir des données là où personne ne regarde, souvent pendant une longue période.
À lire aussi : Les meilleurs scanners de sites web
Sécuriser les identités des machines
L’automatisation est particulièrement utile pour identifier et suivre les vulnérabilités. Les identités machines se comptant par millions, il est tout simplement impossible de les répertorier manuellement une par une. Les entreprises peuvent plutôt utiliser des outils modernes de cybersécurité pour automatiser le suivi des identifiants.
En outre, bien que la nature d’Active Directory le rende notoirement difficile à sécuriser, il existe des outils automatisés capables de surveiller AD afin de détecter les chemins d’attaque potentiels, voire les attaques en cours. La sécurité des identités machines exige de pouvoir surveiller en permanence AD et les autres secteurs à la recherche de vulnérabilités et de mauvaises configurations. Détecter et corriger ces problèmes avant qu’un attaquant puisse les exploiter reste l’un des moyens les plus efficaces de sécuriser les identités — machines ou autres.
Les attaquants peuvent usurper des identités machines de nombreuses façons, mais la capacité à fermer les chemins d’attaque potentiels et à détecter les comportements anormaux en temps réel peut réduire considérablement le niveau de risque auquel une entreprise est exposée. Les attaquants ne cesseront pas de cibler les identités de sitôt, et les entreprises avisées doivent s’assurer que leurs outils de sécurité des identités disposent de la visibilité et des protections nécessaires pour protéger leurs identités machines aussi bien que celles de leurs utilisateurs.
À propos de l’auteur :
Tony Cole, directeur technique de Attivo Networks