Votre entreprise vient d’être victime d’une attaque par ransomware. Vos services informatiques et de cybersécurité s’empressent de mettre en œuvre votre plan d’intervention en cas d’incident. Soudain, tout le monde se rend compte qu’il est impossible de se connecter à quoi que ce soit. Active Directory (AD) serait hors ligne !? Les outils d’authentification et d’autorisation de votre entreprise sont affectés.
Après des heures passées à trier les informations et à évaluer l’ampleur du problème, votre équipe d’intervention en cas de cyberincident vous informe que la restauration des services fondamentaux d’Active Directory, d’authentification et d’autorisation prendra plus d’une semaine, si tout se passe bien.
Vous pensiez que votre plan de résilience, comprenant des sauvegardes d’Active Directory et une plateforme d’identité SaaS, était suffisant. Mais même avec le SaaS, la reprise est complexe et manuelle, ce qui retarde le retour à un niveau minimal de fonctionnement alors que chaque minute compte.
La résilience signifie que vous pouvez rétablir l’authentification et l’autorisation rapidement, de manière prévisible et fiable, que la perturbation soit due à une activité malveillante, à une panne ou à une erreur de configuration accidentelle.
Comprendre la menace
Les attaquants ciblent Active Directory (AD) car il s’agit du centre de contrôle des identités. Une fois qu’ils ont pris pied, ils s’assurent souvent une persistance en créant des comptes fantômes ou des comptes de porte dérobée, puis récoltent les identifiants et élèvent leurs privilèges. Forts de cet accès privilégié, ils se déplacent latéralement à travers les systèmes et les applications, restant parfois inactifs suffisamment longtemps pour que le premier signe évident soit l’échec des authentifications.
Ils acquièrent ainsi une connaissance approfondie du réseau, du personnel et des applications de l’organisation. Et lorsqu’ils sont prêts à maximiser leur impact, ils peuvent chiffrer ou corrompre la forêt Active Directory, perturbant les connexions et compliquant la Recovery dans l’ensemble de l’environnement.
Pourquoi l’identité (et pourquoi AD en premier lieu) ?
Il est courant que la pile d’identités d’une organisation, en particulier AD et Entra ID, devienne complexe au fil du temps. Les forêts s’étendent, les autorisations prolifèrent, les politiques héritées s’accumulent et les processus jugés « suffisants » se transforment souvent en failles de sécurité à long terme. Cette complexité crée des angles morts, et les responsables de la sécurité perdent une visibilité claire sur l’évolution des rôles, des privilèges et des politiques.
Et il ne s’agit jamais « simplement d’AD ». L’identité est un écosystème : les solutions de gouvernance des identités et des accès (IGA), les accès privilégiés, l’identité client, les fournisseurs d’identité, les bases de données d’authentification et l’authentification unique sont tous liés à une même réalité. C’est pourquoi les incidents liés à l’identité (et même les erreurs de configuration quotidiennes) peuvent entraîner des perturbations disproportionnées par rapport à de nombreuses autres défaillances d’infrastructure.
C’est face au défi de la reprise que la plupart des plans sont mis à nu. Même avec des sauvegardes, la reprise d’une forêt est un processus en plusieurs étapes aux enjeux considérables, où les instructions pour une reprise manuelle peuvent comporter entre 50 et 100 (voire plus) étapes individuelles et prendre de plusieurs jours à plusieurs semaines, selon la complexité de l’environnement et le niveau de préparation.
La vraie question n’est pas « disposons-nous de sauvegardes ? », mais « les équipes sont-elles capables d’exploiter ces sauvegardes pour agir de manière rigoureuse sous pression, et les guides d’intervention ont-ils été testés et validés afin que la reprise ne se transforme pas en une course effrénée source d’erreurs au pire moment possible ? »
La solution
Il est impératif de disposer d’un plan de Recovery. Celui-ci doit être testé et validé. Les entreprises doivent savoir et comprendre que leur plateforme de gestion des identités est la cible n° 1 des cybercriminels et des attaques. Elle doit donc être protégée en conséquence. Elle doit faire l’objet de sauvegardes, être testée et sa capacité de Recovery doit être validée. Il s’agit notamment de
- Des sauvegardes des plateformes AD, Entra ID et IGA.
- Des plans de Recovery testés et validés.
- Des environnements de Recovery isolés et Cleanroom Recovery.
- Un workflow et une automatisation de la Recovery pour AD.
Une gouvernance et une surveillance rigoureuses des identités restent essentielles, mais elles ne constituent qu’une partie de l’équation. Vous devez être en mesure de détecter rapidement tout comportement suspect lié aux identités, de le contenir sans délai et de restaurer le système en toute confiance lorsqu’un changement inattendu survient (qu’il s’agisse d’une activité malveillante ou d’une modification accidentelle perturbant l’authentification).
Cela signifie également que vous devez intégrer les comptes d’identité et l’activité des utilisateurs dans vos opérations de sécurité (SecOps) et surveiller en permanence les signaux tels que la création de comptes non autorisés, les modifications de privilèges et les schémas d’authentification anormaux, tout en disposant d’un processus de Recovery éprouvé, reproductible et sans faille.
Commvault et Deloitte : un partenariat pour la résilience des identités
La résilience des identités est un enjeu métier qui nécessite une gouvernance solide, des processus, des contrôles et des technologies adaptés. C’est pourquoi Deloitte et Commvault se sont associés pour proposer des programmes complets de protection, de Recovery et de résilience des identités auxquels les organisations peuvent faire confiance lorsque cela compte le plus.
Deloitte apporte une expertise approfondie en matière de cyber-risques, de résilience d’entreprise et de gestion des identités et des accès pour aider les organisations classées du Fortune 100 au Fortune 1 000 à concevoir, mettre en œuvre et opérationnaliser des programmes de résilience des identités.
Ces programmes aident les clients à évaluer leur posture de sécurité, à améliorer leurs capacités de détection et de réaction, et à définir les exigences minimales viables pour l’entreprise, puis à élaborer des plans de Recovery testés et vérifiés, assortis de calendriers clairs et d’une répartition des responsabilités entre les parties prenantes métier et informatiques. Deloitte concrétise la résilience des identités en un programme tangible grâce à des manuels d’intervention, des tests et des exercices de Readiness, afin que les équipes sachent à quoi ressemble une « préparation » efficace en situation de crise.
Commvault rend les programmes de résilience opérationnels grâce à une protection intégrée et à des workflows de Recovery automatisés sur l’ensemble des systèmes d’identité, ainsi qu’à Commvault AirGap et Cleanroom Recovery pour garantir une reprise reproductible, propre et validée lorsque cela compte le plus. Commvault fournit la base technologique avec des capacités de résilience des identités qui incluent :
- La protection des systèmes d’identité critiques, notamment AD et Entra ID, ainsi que la comparaison ponctuelle et la prise en charge de la restauration en cas de modifications indésirables ou accidentelles.
- Des fonctions d’audit et de détection permettant d’identifier rapidement les modifications suspectes (qui a modifié quoi, et quand), contribuant ainsi à réduire la fenêtre d’opportunité dont disposent les attaquants pour se propager ou persister.
- Des workflows de Recovery automatisés, y compris l’automatisation de la Recovery au niveau de la forêt, afin de réduire la charge de travail manuelle et le risque d’erreur lors de la Recovery des identités.
- Commvault Cleanroom pour valider la restauration des identités dans un environnement isolé avant de rétablir la confiance dans l’environnement de production.
- Commvault AirGap pour aider à conserver des copies de sauvegarde immuables et isolées (air-gapped), créant ainsi une base protégée qui prend en charge une restauration propre et des tests en « cleanroom » lorsque l’identité (ou l’environnement qui l’entoure) n’est pas fiable.
Passez à l’action
Si vous souhaitez tester l’état de Readiness de votre plan de reprise après incident informatique, commencez par un atelier Deloitte sur Active Directory afin de cartographier les dépendances et d’élaborer un plan clair et concret pour restaurer AD et les charges de travail en production. Validez-le ensuite comme il se doit : utilisez Commvault pour simuler la restauration en « Cleanroom » avant d’en avoir réellement besoin lors d’un incident réel.
Pour les organisations prêtes à franchir une nouvelle étape, nous pouvons étendre cette démarche à un projet pilote de 30 jours qui met en œuvre la Recovery et des tests en « salle blanche » à l’aide d’artefacts réels et avec des résultats mesurables. Contactez votre représentant Deloitte à l’adresse commvaultsalesteam@deloitte.com ou votre représentant Commvault à l’adresse deloittealliance@commvault.com pour plus d’informations.
Dave Nowak est responsable de la cyberdéfense et de la résilience chez Deloitte, et Michael Fasulo est directeur senior du marketing de portefeuille chez Commvault.
