Nous avons passé des années à nous concentrer sur la sécurité des identités dans le contexte des personnes : qui a accès, ce qu’elles peuvent faire et comment contrôler cela. Ce modèle était pertinent lorsque la plupart des activités au sein de l’environnement étaient menées par des utilisateurs humains. Mais ce n’est plus le cas aujourd’hui.
Les identités machines – applications, services, API et charges de travail automatisées – jouent désormais un rôle central dans le fonctionnement des systèmes modernes. Elles s’authentifient, communiquent et exécutent des tâches, souvent sans supervision directe. Et dans de nombreux environnements, elles sont déjà bien plus nombreuses que les identités humaines.
Dans cet épisode de STRIVE, je m’entretiens avec Dan Conrad, technologue principal et directeur technique sur le terrain chez Commvault. Nous examinons de plus près ce qu’implique cette évolution – non seulement du point de vue de la sécurité, mais aussi de celui de la gouvernance. Et nous explorons les raisons pour lesquelles tant d’organisations continuent de considérer cela comme une préoccupation secondaire. Regardez l’épisode dans son intégralité.
Points clés : vers quoi le risque évolue-t-il ?
- Le nombre d’identités de machines augmente plus rapidement que celui des identités humaines, souvent de plusieurs ordres de grandeur.
- Les modèles de gouvernance n’ont pas suivi le rythme, ce qui a créé des lacunes en matière d’accès et de contrôle.
- La visibilité constitue le principal défi. De nombreuses équipes ne comprennent pas pleinement le fonctionnement des identités des machines.
- La prolifération des privilèges ne se limite pas aux utilisateurs, les identités des machines bénéficiant souvent d’un accès permanent.
- La résilience passe par la compréhension et la gestion du champ d’action de ces identités de machines avant qu’elles ne deviennent un problème.
Le modèle d’identité a évolué
Pendant longtemps, la gestion des identités était relativement simple. Il était possible d’associer des utilisateurs à des rôles, de définir des politiques d’accès et de mettre en place des contrôles autour de comportements prévisibles. Même face à la complexité, le modèle restait ancré dans l’activité humaine. Les identités des machines ont bouleversé ce modèle. Elles sont créées de manière dynamique, souvent dans le cadre de processus de développement ou de déploiement. Elles interagissent entre les systèmes d’une manière qui n’est pas toujours visible, bien documentée ou contrôlée. Et contrairement aux utilisateurs humains, elles ne suivent pas un cycle de vie bien défini : leur intégration et leur désintégration ne s’effectuent pas selon la même méthode structurée.
Cela crée un tout autre type de défi. Il ne s’agit plus seulement de contrôler l’accès. Il s’agit de comprendre comment cet accès est utilisé, comment il évolue et comment il s’articule au sein de l’environnement.
Aperçu : impossible de se faire passer pour une identité non humaine
Dans cet extrait de la discussion STRIVE, Dan explique que les attaquants ne ciblent pas directement les identités non humaines par le biais du phishing : ce sont des acteurs malveillants qui utilisent des comptes humains compromis grâce à l’ingénierie sociale, comme tremplin pour élever leurs privilèges et usurper l’identité de puissantes entités machines. Une fois infiltrés, des techniques telles que le « pass-the-hash » et les comptes de service dotés de privilèges excessifs permettent aux attaquants de se déplacer latéralement et verticalement, même après la réinitialisation des mots de passe.
Le déficit de gouvernance
Le véritable enjeu n’est pas l’existence même des identités de machines, mais la manière dont elles sont gérées. Dans la plupart des organisations, il existe un processus bien défini pour gérer l’accès des personnes :
- Les demandes sont approuvées.
- Les autorisations sont vérifiées.
- Les modifications sont suivies.
Une certaine rigueur s’est instaurée au fil des années, grâce à l’attention portée à l’identité des utilisateurs. Cependant, les identités machine échappent souvent à cette structure. Elles sont créées rapidement pour prendre en charge des applications ou des processus d’automatisation. On leur accorde les autorisations nécessaires à leur fonctionnement, parfois au-delà du strict nécessaire. Et au fil du temps, ces autorisations persistent. Ces accès surdimensionnés sont rarement audités, revus et, surtout, rarement réduits.
C’est là que se creuse l’écart. Il devient difficile de répondre à des questions élémentaires concernant l’accès. Non pas parce que les informations n’existent pas, mais parce qu’elles n’ont pas été organisées ni gérées de manière à en faciliter l’utilisation.
La visibilité avant le contrôle
Lorsque les organisations commencent à s’attaquer à ce problème, leur premier réflexe est souvent de renforcer les contrôles.
- Limiter les autorisations
- Restreindre l’accès
- Appliquer les nouvelles politiques
Mais le contrôle sans visibilité ne sert pas à grand-chose. Si vous ne comprenez pas comment les identités sont utilisées, ni leur contexte métier (où elles se connectent, avec quoi elles interagissent et comment elles circulent d’un système à l’autre), alors toute tentative visant à les restreindre deviendra une mesure réactive et pourrait entraîner un ralentissement des opérations métier. C’est pourquoi la visibilité doit être une priorité.
Une fois que vous pouvez observer le comportement des identités machine, des tendances commencent à se dessiner. Vous pouvez alors identifier les accès excessifs, les dépendances existantes et les zones de concentration des risques. À partir de là, la gouvernance peut gagner en précision et en efficacité.
Un problème de privilèges d’un autre genre
La prolifération des privilèges n’est pas un phénomène nouveau. La plupart des organisations s’efforcent depuis des années de gérer les accès excessifs accordés aux utilisateurs humains.
Les identités machine posent un problème similaire, mais avec une dynamique différente. Leurs accès sont souvent intégrés aux systèmes. Ils sont persistants, automatisés et rarement remis en question une fois mis en place. Cela les rend plus difficiles à détecter et plus faciles à négliger. Et lorsque quelque chose tourne mal, ces identités peuvent servir de porte d’entrée aux acteurs malveillants pour exploiter la situation
Par où commencer ?
Pour la plupart des organisations, le défi ne réside pas dans la prise de conscience, mais dans le fait de savoir par où commencer. La première étape n’est pas une transformation majeure. Il s’agit d’apporter de la clarté. Comprendre combien d’identités de machines existent. Où elles sont créées. De quelles autorisations elles disposent. Comment elles sont utilisées. Et surtout, de confirmer qu’un utilisateur humain est associé à un ensemble d’identités non humaines à des fins d’auditabilité et de responsabilité.
Ces questions semblent simples, mais il est souvent difficile d’y répondre. Et c’est précisément pour cela qu’elles sont importantes. Car une fois que vous pouvez y répondre, vous n’agissez plus à l’aveuglette.
Regardez l’épisode dans son intégralité
Dans cet épisode de STRIVE, nous examinons plus en détail comment les identités des machines transforment la manière dont les organisations doivent aborder les questions d’accès, de gouvernance et de résilience. Il s’agit d’une discussion concrète sur la situation actuelle et sur les changements qui s’imposent pour l’avenir. Regardez-le dès maintenant.
Ressources
Si ce sujet vous intéresse, n’hésitez pas à consulter cet e-book consacré aux identités non humaines.
FAQ
Q : Qu’est-ce qu’une identité de machine ?
R : Une identité de machine est une identité non humaine utilisée par des applications, des services ou des systèmes pour s’authentifier et interagir avec d’autres ressources.
Q : Pourquoi les identités des machines représentent-elles un risque de plus en plus important ?
R : Parce qu’elles sont de plus en plus nombreuses, qu’elles disposent souvent d’un accès permanent et qu’elles ne sont pas toujours soumises à des règles aussi strictes que les utilisateurs humains.
Q : En quoi diffèrent-elles des identités d’utilisateur ?
R : Elles fonctionnent en continu, sont intégrées à des flux de travail automatisés et ne bénéficient souvent pas d’une gestion structurée de leur cycle de vie.
Q : Quel est le principal défi auquel sont confrontées les organisations en matière de gestion des identités non humaines ?
R : La visibilité. De nombreuses équipes n’ont pas une idée précise du nombre d’identités de machines créées, utilisées ou interconnectées.
Q : Quel est l’impact de cette situation sur la résilience ?
R : En cas de compromission, les identités des machines peuvent permettre à un acteur malveillant de se déplacer rapidement d’un système à l’autre, ce qui rend les incidents plus difficiles à maîtriser et à résoudre.
Q : Par où les organisations devraient-elles commencer ?
R : En identifiant les identités des machines, en comprenant leurs autorisations et en mettant en place des pratiques de gouvernance adaptées à leur ampleur et à leur complexité. Et surtout, en s’assurant qu’un utilisateur humain est associé à un ensemble d’identités non humaines, à des fins d’auditabilité et de responsabilité.
Vidya Shankaran est directrice technique sur le terrain chez Commvault.
