Votre entreprise vient d’être victime d’une attaque par ransomware. Vos services informatiques etde cybersécurité s’empressent de mettre en œuvre votre plan d’intervention en cas d’incident. Soudain, tout le monde se rend compte qu’il est impossible de se connecter à quoi que ce soit. Active Directory doit être hors ligne !? Les outils d’authentification etd’autorisation de votre entreprise sont affectés.
Après des heures passées à trier les informations età évaluer l’ampleur du problème, votre équipe d’intervention en cas de cyberincident vous informe que la restauration des services fondamentaux d’Active Directory, d’authentification etd’autorisation prendra plus d’une semaine, si tout se passe bien.
Vous pensiez que votre plan de résilience, comprenant des sauvegardes d’Active Directory etune plateforme d’identité SaaS, était suffisant. Mais même avec le SaaS, la reprise est complexe etmanuelle, ce qui retarde le retour à un niveau configuration minimale requisealors que chaque minute compte.La résilience signifie que vous pouvez rétablir l’authentification etl’autorisation rapidement, de manière prévisible etfiable, que la perturbation soit due à une activité malveillante, à une panne ou à une erreur de configuration accidentelle.
Comprendre la menace
Les attaquants ciblent Active Directory car il s’agit du plan de contrôle des identités. Une fois qu’ils ont pris pied, ils s’assurent souvent une persistance en créant des comptes fantômes ou des comptes de porte dérobée, puis récoltent les identifiants etélèvent leurs privilèges. Forts de cetaccès privilégié, ils se déplacent latéralement à travers les systèmes etles applications, restant parfois inactifs suffisamment longtemps pour que le premier signe évident soit l’échec des authentifications.
Ils acquièrent ainsi une connaissance approfondie du réseau, du personnel etdes applications de l’organisation. Et lorsqu’ils sont prêts à maximiser leur impact, ils peuvent chiffrer ou corrompre la forêt Active Directory, perturbant les connexions etcompliquant la Recovery dans l’ensemble de l’environnement.
Pourquoi l’identité (etpourquoi AD en premier) ?
Il est courant que la pile d’identités d’une organisation, en particulier AD etEntra ID, devienne complexe au fil du temps. Les forêts s’étendent, les autorisations prolifèrent, les politiques héritées s’accumulent etles processus jugés « suffisants » se transforment souvent en dérive de sécurité à long terme. Cette complexité crée des angles morts, etles défenseurs perdent une visibilité claire sur l’évolution des rôles, des privilèges etdes politiques.
Et il ne s’agit jamais « simplement d’AD ». L’identité est un écosystème : les solutions de gouvernance des identités etdes accès (IGA), les accès privilégiés, l’identité client, les fournisseurs d’identité, les bases de données d’authentification etl’authentification unique sont tous liés à une même réalité. C’est pourquoi les incidents liés à l’identité (etmême les erreurs de configuration quotidiennes) peuvent causer des perturbations disproportionnées par rapport à de nombreuses autres défaillances d’infrastructure.
C’est au niveau du défi de la reprise que la plupart des plans sont mis à nu. Même avec des sauvegardes, la reprise d’une forêt est un processus en plusieurs étapes aux enjeux considérables, où les instructions pour une reprise manuelle peuvent comporter entre 50 et100 (voire plus) étapes individuelles etprendre de plusieurs jours à plusieurs semaines, selon la complexité de l’environnement etle niveau de préparation.
La vraie question n’est pas « disposons-nous de sauvegardes ? », mais « les équipes sont-elles capables d’exploiter ces sauvegardes pour agir de manière rigoureuse sous pression, etles guides d’intervention ont-ils été testés etvalidés afin que la reprise ne se transforme pas en une course effrénée source d’erreurs au pire moment possible ? »
La solution
La nécessité de disposer d’un plan de Recovery est impérieuse. Celui-ci doit être testé etvalidé. Les entreprises doivent savoir etcomprendre que leur plateforme de gestion des identités est la cible n° 1 des cybercriminels etdes attaques. Elle doit donc être protégée en conséquence. Elle doit faire l’objetde sauvegardes, être testée etsa capacité de Recovery doit être validée. Il s’agit notamment de
- Des sauvegardes des plateformes AD, Entra ID etIGA.
- Des plans de Recovery testés etvalidés.
- Des environnements de Recovery isolés etCleanroom.
- Un workflow etune automatisation de la Recovery pour Active Directory.
Une gouvernance etune surveillance rigoureuses des identités restent essentielles, mais elles ne constituent qu’une partie de l’équation. Vous devez être en mesure de détecter rapidement tout comportement suspect lié aux identités, de le contenir sans délai etde restaurer le système en toute confiance lorsqu’un changement inattendu survient (qu’il s’agisse d’une activité malveillante ou d’une modification accidentelle perturbant l’authentification).
Cela signifie également que vous devez intégrer les comptes d’identité etl’activité des utilisateurs dans vos opérations de sécurité (SecOps) etsurveiller en permanence les signaux tels que la création de comptes non autorisés, les modifications de privilèges etles schémas d’authentification anormaux, tout en disposant d’un parcours de Recovery éprouvé, reproductible etsans faille.
Commvault etDeloitte : un partenariat pour la résilience des identités
La résilience des identités est un enjeu métier qui nécessite une gouvernance solide, des processus, des contrôles etdes technologies adaptées. C’est pourquoi Deloitte etCommvault se sont associés pour proposer des programmes complets de protection, de Recovery etde résilience des identités auxquels les organisations peuvent faire confiance lorsque cela compte le plus.
Deloitte apporte une expertise approfondie en matière de cyber-risques, de résilience d’entreprise etde gestion des identités etdes accès pour aider les organisations classées du Fortune 100 au Fortune 1 000 à concevoir, mettre en œuvre etopérationnaliser des programmes de résilience des identités.
Ces programmes aident les clients à évaluer leur posture de sécurité, à améliorer leurs capacités de détection etde réponse, età définir les exigences minimales viables pour l’entreprise, puis à élaborer des plans de Recovery testés etvérifiés, assortis de calendriers clairs etd’une répartition des responsabilités entre les parties prenantes métier etinformatiques. Deloitte transforme la résilience des identités en un programme concretgrâce à des manuels d’intervention, des tests etdes exercices de Readiness, afin que les équipes sachent à quoi ressemble une « préparation » effective en situation de crise.
Commvault rend les programmes de résilience opérationnels grâce à une protection intégrée età des workflows de Recovery automatisés sur l’ensemble des systèmes d’identité, ainsi qu’à Commvault AirGapetCleanroom pour garantir une reprise reproductible, propre etvalidée lorsque cela compte le plus. Commvault fournit la base technologique avec des capacités de résilience des identités qui incluent :
- La protection des systèmes d’identité critiques, notamment AD etEntra ID, ainsi que la comparaison ponctuelle etla prise en charge de la restauration en cas de modifications indésirables ou accidentelles.
- Des fonctions d’audit etde détection pour mettre en évidence rapidement les modifications suspectes (qui a modifié quoi, etquand), contribuant ainsi à réduire la fenêtre d’opportunité dont disposent les attaquants pour se propager ou persister.
- Des workflows de Recovery automatisés, y compris l’automatisation de la Recovery au niveau de la forêt, afin de réduire la charge de travail manuelle etle risque d’erreur lors de la Recovery des identités.
- Commvault Cleanroom pour valider la restauration des identités en environnement isolé avant de rétablir la confiance dans l’environnement de production.
- Commvault AirGappour aider à conserver des copies de sauvegarde immuables etisolées (air-gapped), créant ainsi une base protégée qui prend en charge une restauration propre etdes tests en « cleanroom » lorsque l’identité (ou l’environnement qui l’entoure) n’est pas fiable.
Passez à l’action
Si vous souhaitez tester la Readiness de votre plan de reprise après incident informatique, commencez par un atelier Deloitte sur Active Directory afin de cartographier les dépendances etd’élaborer un plan clair etconcretpour restaurer AD etles charges de travail en production. Validez-le ensuite de la bonne manière : utilisez Commvault pour simuler la restauration en « cleanroom » avant d’en avoir réellement besoin lors d’un incident réel.
Pour les organisations prêtes à franchir une nouvelle étape, nous pouvons étendre cette démarche à un projetpilote de 30 jours qui meten œuvre une Recovery etdes tests en « salle blanche » à l’aide d’artefacts réels etavec des résultats mesurables. Contactez votre représentant Deloitte à l’adresse commvaultsalesteam@deloitte.com ou votre représentant Commvault à l’adresse deloittealliance@commvault.com pour plus d’informations.
Dave Nowak est responsable de la cyberdéfense etde la résilience chez Deloitte, etMichael Fasulo est directeur senior du marketing de portefeuille chez Commvault.
