Avant toute chose, il est essentiel de faire la distinction entre les deux grandes catégories de solutions de gestion des comptes utilisateurs. Il y a celles qui assurent la gestion des comptes utilisateurs standards et celles qui gèrent la gestion des comptes utilisateurs à privilèges, soit les comptes dits « Administrateurs ».
La première catégorie d’applications est à mettre dans le groupe des solutions d’IAG pour Identity and Access Gouvernance ou encore IAM pour Identity and Access Management et la seconde catégorie dans le groupe des applications de PAM pour Privileged Access Management ou Privileged Account Management ou encore PSM, pour Privileged Session Management.
A l’origine, la gestion des comptes à privilèges (PAM), s’articulait autour du concept de coffre-fort des mots de passe. Cela répondait aux exigences de conformité de l’époque (début des années 2000). Cette sécurisation des mots de passe ne permettait pas pour autant de répondre au besoin de contrôler l’utilisation qui était faite de ces profils à privilèges élevés.
A mesure qu’évoluaient les organisations et par conséquent la complexité du système d’information, l’utilisation des coffres-forts ne suffisait plus à mettre en place une stratégie de contrôle de l’usage fait des comptes à privilèges. C’est ainsi que les solutions de « PAM » ont évolué. Elles permettent aujourd’hui de répondre plus largement aux besoins de traçabilité et de contrôle des accès à ces profils à privilèges ainsi qu’aux règlementations en matière de sécurité.
Les solutions de gestion des comptes à privilèges sont aujourd’hui, encore plus qu’hier, indispensables dans la mise en place d’une politique Ad Hoc de sécurité du système d’information.
Découvrez les atouts liés aux solutions de PAM – Privileged Access Management.
Les risques liés à la gestion des comptes à privilèges
Avec l’expansion de l’entreprise ou de l’organisation, le nombre de comptes à privilèges peut parfois dépasser celui du nombre de collaborateurs… Cette situation est l’héritage d’une accumulation de création de comptes pour répondre à des demandes internes comme provenant de prestataires informatiques externes pour réaliser des opérations de maintenance.
Ainsi se développent des vulnérabilités critiques au travers de certains profils qui pourraient contourner toutes les procédures de sécurité mises en place. Exemples, réaliser des modifications non autorisées sur des ressources (systèmes, Active Directory, domaines, etc.), accéder à des données confidentielles, supprimer les traces des actions réalisées, etc.
Cette prolifération des comptes à privilèges fait exploser la surface d’exposition aux risques pour les organisations et les entreprises. Combien d’identifiants circulent ainsi « dans la nature » entre prestataires ou collaborateurs ?
Les bénéfices des solutions de PAM
En premier lieu, c’est la centralisation des points d’accès des comptes à privilèges au travers d’une seule et même application. Ainsi, la mise en œuvre d’une solution de PAM verrouille tous les points d’accès pour n’en proposer plus qu’un. C’est déjà en soi un moyen de limiter les intrusions dans le système d’information des organisations, entreprises en réduisant la surface d’exposition. Les demandes d’accès peuvent faire l’objet de notifications pour éviter bien sûr une présence permanente d’un administrateur de la solution de PAM.
Les solutions de Privileged Access Management vont permettre de créer des comptes à privilèges à la volée en fonction des demandes, des besoins et des autorisations accordées par ceux qui auront la charge d’assurer la supervision de ces demandes et de contrôler les accès. Ces comptes seront automatiquement supprimés après l’intervention voire après l’exécution d’une commande. Le nombre de comptes à privilèges dans l’Active Directory s’en trouve ainsi fortement réduit. Par ailleurs, les identifiants des comptes à privilèges dans l’Active Directory sont masqués. Les solutions de PAM génèrent automatiquement des identifiants qui seront automatiquement supprimés après chaque utilisation.
Pour finir, certaines solutions permettent de créer des domaines avec des ressources pour permettre de ne pas mettre tous les œufs dans le même panier. Elles offrent également un enregistrement vidéo de toutes les sessions actives avec ces comptes à privilèges. Il est donc possible de revoir ce qui a été fait par un prestataire externe par exemple, même si l’administrateur n’était pas disponible pour assurer le suivi de la prestation au moment où elle a été réalisée.
Chaque solution de PAM proposera un certain nombre de fonctions avancées pour faciliter la vie des Administrateurs et renforcer de façon évidente la sécurité informatique des organisations et des entreprises.
Qu’est-ce qu’une autorisation « just-in-time » ?
Un modèle d’autorisation « just-in-time » est, comme son nom l’indique, une autorisation « juste à temps ». Cette dernière permet de réduire la surface d’attaque, car les permissions sont activées seulement au moment où l’utilisateur en a besoin.
Lorsqu’un utilisateur doit effectuer une activité nécessitant une autorisation élevée, il effectue une demande décrivant la nature de la tâche et les ressources dont il a besoin pour l’accomplir. Si la demande est approuvée, il reçoit une identité temporaire avec juste assez de privilèges pour remplir la tâche. Une fois la tâche terminée, l’identité est désactivée ou supprimée.
Cependant, il est important de savoir que toutes les solutions d’accès temporaires ne réduisent pas totalement la surface d’attaque. Certains fournisseurs créent des comptes qui sont fournis aux utilisateurs sur demande. Toutefois, ces comptes restent actifs après utilisation, avec toutes leurs autorisations intactes, au lieu d’être désactivés ou supprimés.
Pourquoi les autorisations juste-à-temps sont-elles importantes pour votre organisation ?
Ces permissions temporaires offrent de multiples avantages comme :
- Une cybersécurité plus forte. Les autorisations « just-in-time » réduisent considérablement le risque de vol d’identifiants par des hackers. Elles diminuent le risque de mauvaise utilisation des informations d’identification, par malveillance ou par négligence, par les propriétaires de comptes.
- Une administration simplifiée. La gestion des comptes à privilèges est facilitée et permet aux administrateurs d’accéder rapidement aux ressources dont ils ont besoin tout en éliminant toutes les tâches de gestion associées aux comptes permanents, comme les changements fréquents de mot de passe.
- Une conformité accrue. Le principe du moindre privilège ainsi que le contrôle des comptes à privilèges sont des exigences décrites dans les réglementations afin de prouver la conformité de l’entreprise. Les auditeurs accordent une attention particulière à ces points et les lacunes peuvent entraîner de lourdes amendes.
Quelle approche retenir des comptes à privilèges ?
Dans le cadre de la gestion continue des risques et de la stratégie de sécurité des données de votre organisation, vous devriez vous efforcer d’atteindre l’objectif de zéro privilèges permanents. L’élimination de l’accès privilégié « permanent » permet de garantir que les systèmes et les données ne sont accessibles que lorsqu’il existe une raison valable d’y accéder.
Toutefois, votre approche doit être celle qui concilie le mieux les objectifs de votre entreprise en matière de sécurité, de risque et d’exploitation. Voici 3 différentes approches :
- L’élévation de droits temporaires : le compte d’un utilisateur se voit accordé des autorisations supplémentaires pour une durée limitée. À la fin de cette période, l’accès supplémentaire est révoqué.
- Le coffre-fort : un ou plusieurs comptes privilégiés permanents sont créés et leurs informations d’identification sont stockées dans un coffre-fort central. Les utilisateurs doivent fournir une justification lorsqu’ils demandent à utiliser l’un de ces comptes pour accéder à des systèmes spécifiques pendant une durée déterminée.
- Privilège permanent zéro pour un risque zéro : ici, il n’y a pas de comptes privilégiés permanents. Au lieu de cela, des comptes privilégiés temporaires sont activés ou créés en fonction de besoins spécifiques. Ils sont ensuite détruits ou désactivés après utilisation. L’accès privilégié doit être demandé pour la durée nécessaire à l’accomplissement de la tâche. Si la demande est approuvée, l’accès est accordé. Une fois la tâche terminée, l’accès est révoqué.
En résumé, le privilège permanent zéro permet :
– La séparation des tâches : aucun utilisateur ou dispositif ne doit avoir un accès complet à toutes les ressources informatiques. Les utilisateurs et les dispositifs ne peuvent accéder qu’aux ressources dont ils ont besoin.
– La micro-segmentation : l’environnement informatique doit être divisé en différentes zones de sécurité qui nécessitent des autorisations distinctes.
– L’accès « juste à temps » : les utilisateurs et les appareils n’obtiennent un accès privilégié que lorsque cela est nécessaire et pour la durée déterminée.
– L’audit et le suivi : un journal est tenu pour chaque demande d’accès élevé pour savoir si cet accès a été accordé et quand il a été révoqué.
Découvrez SbPAM
SbPAM est une solution qui génère automatiquement des comptes éphémères pour chaque administrateur. Elle ajoute et supprime dynamiquement des autorisations qui correspondent à l’activité demandée. Cette démarche réduit considérablement la surface d’attaque offerte par les comptes à privilèges permanents. SbPAM supprime les comptes au repos ainsi que la surcharge que représentent les groupes de contrôle d’accès complexes.
SbPAM est une solution rapide à mettre en œuvre et très simple d’utilisation. Son déploiement, contrairement à d’autres solutions, ne nécessite que très peu de journées de prestations.
Pour en savoir plus sur SbPAM, demandez-nous une démo live.
