Points clés à retenir
- L’infrastructure d’identité constitue une surface d’attaque majeure qui, si elle venait à être compromise, pourrait paralyser les activités de l’entreprise.
- L’évaluation des vulnérabilités proposée par Commvault permet de mettre en évidence les erreurs de configuration et les paramètres à risque grâce à des indicateurs clairs de vulnérabilité et à des recommandations de correction.
- L’audit en temps réel permet aux équipes de détecter les modifications malveillantes les plus subtiles dès qu’elles se produisent et de suivre l’activité des attaquants en temps réel.
- La restauration en un clic permet d’annuler rapidement les modifications non autorisées, ce qui contribue à réduire au minimum les temps d’arrêt et à limiter la propagation des attaques.
La cybersécurité et l’importance de l’identité
Lorsque la plupart des gens pensent à la cybersécurité, ils imaginent des fichiers volés ou des bases de données chiffrées. Mais il existe, sous tout cela, une couche qui, si elle est compromise, rend tout le reste sans importance : votre infrastructure d’identité.Les systèmes de gestion des identités tels qu’Active Directory (AD), Entra ID et Okta déterminent qui peut se connecter, à quoi les utilisateurs ont accès, et si votre entreprise peut fonctionner ou non. Lorsque des attaquants s’y introduisent, les utilisateurs ne peuvent plus s’authentifier, les applications cessent de fonctionner et les opérations sont paralysées. À ce stade, il ne s’agit plus d’un problème de données, mais d’un problème de contrôle. La restauration automatisée des environnements grâce à des réinstallations propres du système d’exploitation permet aux entreprises de restaurer leurs systèmes d’identité en toute sécurité, sans réintroduire de menaces. Voici comment procéder.
Identifiez vos points faibles avant que les pirates ne le fassent
L’évaluation des vulnérabilités de Commvault attribue un score de sécurité à votre environnement AD. Considérez cela comme un bilan de santé de votre annuaire. La plupart des environnements sont plus exposés qu’on ne le pense, et cette évaluation le met en évidence.
Notre outil permet de mettre en évidence les indicateurs d’exposition (IOE), qui correspondent à des erreurs de configuration spécifiques ou à des paramètres à risque susceptibles d’être exploités. Un exemple courant est celui des comptes dont les mots de passe sont configurés pour ne jamais expirer. Les identifiants obsolètes et non renouvelés constituent l’un des moyens les plus courants utilisés par les attaquants pour conserver un accès à long terme à un environnement.
Commvault ne se contente pas de signaler le problème : il aide à identifier les comptes concernés, guide l’utilisateur tout au long des étapes de résolution et permet d’exporter la liste afin de faciliter la création d’un script de correction.
Ne manquez pas cette présentation en direct !
La première étape consiste à identifier ses vulnérabilités. La deuxième étape consiste à repérer quand quelqu’un en tire activement parti. La fonction d’audit de la gestion des identités de Commvault permet de suivre en temps réel chaque modification apportée aux systèmes d’identité tels qu’Active Directory et Entra ID, en fournissant des informations détaillées telles que l’auteur de la modification, la date et l’heure, le lieu d’où elle a été effectuée, ainsi que les valeurs avant et après la modification.
En général, les pirates ne s’introduisent pas de manière spectaculaire ; ils procèdent à des modifications subtiles et ciblées. Un compte compromis peut par exemple créer un utilisateur « porte dérobée », l’ajouter discrètement au groupe des administrateurs du domaine, puis associer un objet de stratégie de groupe (GPO) malveillant conçu pour déployer un rançongiciel, et chacune de ces étapes apparaît dans le flux d’audit.
Dès que vous repérez un compte suspect, le filtrage peut vous aider à afficher instantanément toutes les modifications jamais effectuées par ce compte, ce qui vous permet d’avoir une vue d’ensemble complète de tout ce que l’attaquant a modifié.
Réparer rapidement les dégâts
La détection n’a d’intérêt que si elle permet d’agir en conséquence. Depuis cette même interface d’audit, vous pouvez annuler une modification malveillante d’un simple clic, ce qui permet de rétablir l’environnement dans son dernier état connu comme étant correct, sans avoir à passer d’un outil à l’autre ni à écrire de script personnalisé. L’objectif est de contribuer à réduire au minimum les temps d’arrêt et à limiter l’ampleur de la propagation de l’attaque avant qu’elle ne soit détectée.
Quand le pire arrive : la régénération des forêts
Il arrive parfois qu’une attaque parvienne à passer, et qu’il faille alors tout reconstruire à partir de zéro. La restauration d’une forêt Active Directory, c’est-à-dire la reconstruction de l’ensemble de votre environnement d’annuaire après une attaque par ransomware, est réputée pour sa complexité ; elle implique souvent entre 50 et plus de 100 étapes distinctes, selon le nombre de domaines et de contrôleurs de domaine dont vous disposez.
Commvault permet d’automatiser ce processus grâce à des guides d’exécution orchestrés qui définissent l’ordre de chaque étape : reconstruction des contrôleurs de domaine dans le bon ordre en fonction de leurs rôles FSMO (Flexible Single Master Operation), restauration de SYSVOL, vérification des métadonnées et rétablissement de la relation de confiance entre les domaines. Une vue topologique de l’ensemble de la forêt Active Directory permet de voir clairement quels contrôleurs de domaine doivent être remis en ligne en premier.
La fonctionnalité phare ici est ce que Commvault appelle la « Clean OS Recovery » (Recovery propre du système d’exploitation). Au lieu de restaurer des machines virtuelles potentiellement compromises, elle reconstruit les contrôleurs de domaine sur des machines virtuelles flambant neuves. La restauration d’une machine infectée risque de réintroduire le logiciel malveillant. La restauration sur une infrastructure vierge signifie que vous ne récupérez pas seulement vos données ; vous repartez véritablement de zéro.
Un tableau de bord unique pour les environnements sur site et dans le cloud
Aujourd’hui, la plupart des entreprises n’utilisent plus exclusivement des infrastructures sur site ou exclusivement le cloud : elles ont adopté un modèle hybride, dans lequel Active Directory gère les accès traditionnels et Entra ID prend en charge les identités modernes dans le cloud. Le plan de contrôle unifié de Commvault permet de gérer ces deux aspects à partir d’une seule console : évaluations, audits, détection et restauration sur les deux plateformes.
L’intérêt est évident : moins d’outils, moins de complexité et un argumentaire plus clair à présenter à la direction lorsqu’elle demande comment l’infrastructure d’identité est protégée de bout en bout. La résilience des identités mérite qu’on lui consacre un débat spécifique, distinct de la question des sauvegardes et de celle de la protection des terminaux. La combinaison d’une analyse proactive des vulnérabilités, d’un audit des modifications en temps réel, d’une restauration rapide et d’une récupération complète de la forêt permet à votre organisation de considérer son infrastructure d’annuaire comme une priorité de sécurité à part entière.
FAQ
Q : Pourquoi l’infrastructure d’identité revêt-elle une importance cruciale en matière de sécurité ?
R : Les systèmes d’identité gèrent l’authentification et les accès au sein d’une organisation. S’ils sont compromis, les attaquants peuvent paralyser complètement les opérations, rendant ainsi les autres mesures de sécurité inutiles.
Q : Que sont les indicateurs d’exposition (IOE) ?
R : Les IOE sont des erreurs de configuration spécifiques ou des paramètres à risque dans les environnements de gestion des identités, que les attaquants peuvent exploiter. Leur détection permet de mettre en évidence les faiblesses et d’aider les équipes à les corriger.
Q : En quoi l’audit en temps réel contribue-t-il à prévenir les attaques ?
R : L’audit en temps réel permet de suivre chaque modification apportée aux systèmes d’identité, notamment qui l’a effectuée et en quoi elle consiste. Cette visibilité aide les équipes de sécurité à détecter rapidement les comportements suspects et à enquêter sur l’ensemble d’une attaque.
Q : Est-il vraiment possible d’annuler rapidement des modifications malveillantes ?
R : Oui, Commvault permet d’annuler directement les modifications non autorisées depuis la même interface. Cela permet de réduire le temps de réponse et de restaurer les systèmes dans un état sûr sans avoir à recourir à des scripts complexes.
Q : Pourquoi la restauration d’une forêt Active Directory est-elle si difficile ?
R : La reconstruction d’une forêt Active Directory implique de nombreuses étapes interdépendantes, notamment la restauration des contrôleurs de domaine et le rétablissement des relations de confiance. La complexité augmente avec la taille de l’environnement.
Q : Qu’est-ce que la fonctionnalité « Clean OS Recovery » de Commvault, et en quoi est-elle importante ?
R : « Clean OS Recovery » permet de reconstruire des contrôleurs de domaine sur de nouveaux systèmes sains, plutôt que de restaurer des machines infectées. Cette approche permet d’éliminer les logiciels malveillants résiduels et peut contribuer à une restauration sécurisée.
Nico Guerrera est responsable marketing technique senior chez Commvault.
