Lacunes de la journalisation des accès aux données

Un fournisseur de technologies au service d'un grand assureur disposait d'un programme de contrôle d'accès bien conçu : rôles définis par fonction, accès accordés sur approbation, revus chaque trimestre et alignés sur le principe du moindre privilège. Pendant deux ans, un analyste de données senior a extrait et exporté des dossiers de polices de clients (noms, dates de naissance, détails des polices, antécédents médicaux) via la plateforme de reporting du fournisseur. L'accès était autorisé. L'analyste disposait d'un accès légitime au reporting dans le cadre de son rôle. Il n'était en revanche pas autorisé à exporter des enregistrements en masse ni à les partager à l'extérieur. Le fournisseur n'avait aucune journalisation des accès aux données sur la plateforme de reporting. Le schéma d'activité, un analyste exécutant des centaines d'exportations massives sur deux ans, était invisible. La violation a été découverte lorsque l'assureur a constaté que les données de ses clients étaient vendues sur un forum du dark web. L'investigation forensique a tenté de reconstituer ce qui avait été dérobé. Sans journaux d'accès, l'étendue n'a pas pu être déterminée. La notification de la violation décrivait une étendue inconnue. L'autorité de régulation a relevé l'absence de surveillance comme circonstance aggravante.

Que recouvre réellement le problème des lacunes de journalisation des accès aux données ?

La journalisation des accès aux données consiste à enregistrer systématiquement quel utilisateur ou quel processus a accédé à quelles données, quand, depuis quel emplacement et quelle opération a été effectuée (lecture, écriture, exportation, suppression, requête). C'est la couche d'observabilité de la sécurité des données : sans elle, les contrôles d'accès déterminent qui peut atteindre les données, mais ne produisent aucune trace de ce que les personnes autorisées ont réellement fait des données auxquelles elles pouvaient accéder. L'écart entre disposer de contrôles d'accès et disposer d'une visibilité sur les accès est la brèche par laquelle les menaces internes, les identifiants compromis et les abus de privilèges opèrent sans être détectés jusqu'à ce que leur impact soit révélé par une découverte externe.

Le modèle de menace auquel répond la journalisation des accès est précisément celui de la menace par accès autorisé, c'est-à-dire les scénarios dans lesquels l'acteur dispose d'identifiants légitimes et où ses actions passent les contrôles d'accès tout en constituant un usage abusif, une exfiltration ou un détournement. Les attaquants externes qui franchissent le périmètre sont traités par la détection des intrusions et la sécurité des terminaux. L'initié qui travaille dans l'organisation depuis trois ans, dispose d'un accès approprié fondé sur son rôle et exporte sélectivement des dossiers clients pendant des mois est invisible pour tous les contrôles, à l'exception de la journalisation. Le compte compromis d'un utilisateur légitime n'est visible qu'à travers des anomalies comportementales, qui ne peuvent être détectées que s'il existe une référence de comportement d'accès normal à laquelle les comparer, référence dont l'établissement exige une journalisation des accès.

C'est dans la distinction entre la journalisation des accès au niveau applicatif et la journalisation au niveau de l'infrastructure que naissent la plupart des lacunes d'évaluation. Les journaux d'infrastructure (journaux d'accès aux serveurs, journaux VPN, journaux d'activité des API cloud) enregistrent quand les systèmes ont été consultés, mais généralement pas quelles données ont été consultées dans ces systèmes. Les journaux de requêtes des bases de données enregistrent le code SQL exécuté, mais pas forcément les enregistrements précis renvoyés. La journalisation des accès aux données au niveau applicatif enregistre l'événement pertinent pour l'activité (l'utilisateur X a consulté le dossier client Y, l'utilisateur X a exporté 500 enregistrements de la requête Z) au niveau de granularité nécessaire pour détecter des schémas anormaux. La plupart des organisations disposent d'une journalisation de l'infrastructure. La journalisation des accès aux données au niveau applicatif, qui permet de détecter les menaces internes, est mise en œuvre de manière bien moins systématique.

Les lacunes de journalisation des accès aux données se concentrent autour de cinq types précis de défaillances :

• Journalisation au niveau applicatif absente : les journaux d'infrastructure enregistrent les accès aux systèmes, tandis que les événements au niveau applicatif (quels enregistrements ont été consultés, quelles requêtes ont renvoyé quelles données) ne sont pas journalisés du tout
• Événements d'exportation et de requêtes massives non journalisés : les accès en lecture à des enregistrements individuels sont journalisés, tandis que les opérations à haut risque d'exportation massive et de requêtes de masse sont traitées de la même manière que la lecture d'un seul enregistrement
• Journaux ni examinés ni surveillés : les journaux d'accès sont générés mais stockés sans examen actif, sans alertes ni détection d'anomalies, ce qui offre une capacité forensique après les violations mais aucune détection préventive
• Accès des utilisateurs privilégiés non journalisés séparément : administrateurs de bases de données, analystes de données et autres utilisateurs disposant de privilèges élevés accédant aux données par des voies qui contournent la journalisation au niveau applicatif
• Conservation insuffisante pour l'investigation : les journaux d'accès sont conservés pendant des durées inférieures au temps habituel de présence d'un attaquant lors d'une violation, ce qui détruit les preuves avant que la découverte de la violation ne permette l'investigation

Pourquoi c’est important

La journalisation des accès aux données est importante pour la TPRM, car la menace interne, à savoir un employé du fournisseur qui abuse de son accès légitime aux données des clients, est l'une des catégories de menaces les plus lourdes de conséquences et les moins détectables du paysage du risque lié aux tiers. Un fournisseur doté de contrôles d'accès solides mais sans surveillance des accès dispose d'une barrière que les utilisateurs autorisés peuvent franchir à volonté, sans aucune trace de ce qu'ils ont fait de l'autre côté. Les données du client sont protégées des attaquants externes par les contrôles de périmètre du fournisseur. Elles ne sont protégées des propres employés du fournisseur que par des contrôles d'accès qui empêchent les accès non autorisés, et les contrôles d'accès ne peuvent pas distinguer l'usage légitime de l'usage abusif d'un accès autorisé.

La conséquence pour l'investigation de la violation est directe. Lorsqu'une violation chez un fournisseur est découverte par des canaux externes (annonces sur le dark web, schémas de fraude chez les clients, notification réglementaire par un tiers), l'investigation forensique doit reconstituer ce qui s'est passé, quelles données ont été dérobées et sur quelle période. Sans journaux d'accès, cette reconstitution est impossible. La notification de la violation décrit une étendue inconnue. L'autorité de régulation demande quelle surveillance était en place. La réponse (des contrôles d'accès solides, aucune journalisation des accès) décrit un programme qui contrôlait l'entrée mais n'avait aucune visibilité sur ce que faisaient les utilisateurs autorisés une fois à l'intérieur.

Pour les professionnels de la TPRM, la question de la journalisation des accès touche au cœur du problème : le fournisseur peut-il détecter une utilisation abusive des données par un initié avant qu'elle n'atteigne l'ampleur d'une violation à déclarer ? Un fournisseur dont le programme de journalisation des accès comprend une détection des anomalies sur les événements d'exportation massive, les schémas de requêtes inhabituels et les accès en dehors des heures de travail par certaines populations d'utilisateurs a une réelle chance de détecter un usage abusif interne avant qu'il ne se transforme en exfiltration sur plusieurs années. Un fournisseur dont les contrôles d'accès sont excellents mais dont la journalisation est absente n'a protégé les données contre les menaces que la journalisation aurait pu détecter que sur le papier.

Là où la plupart des équipes se trompent

La défaillance la plus constante consiste à considérer la robustesse des contrôles d'accès comme un substitut à la surveillance des accès. Des contrôles d'accès solides réduisent le nombre d'utilisateurs qui peuvent atteindre les données. Ils ne produisent aucune trace de ce que ces utilisateurs font des données qu'ils peuvent atteindre. Les deux contrôles répondent à des menaces différentes (les contrôles d'accès répondent aux accès non autorisés, la journalisation des accès répond à l'usage abusif autorisé), et l'un ne peut pas remplacer l'autre. Les évaluations TPRM qui documentent des contrôles d'accès solides et concluent que l'accès aux données est correctement encadré n'ont évalué que la moitié du tableau.

La deuxième défaillance consiste à considérer la journalisation de l'infrastructure comme équivalente à la journalisation des accès aux données au niveau applicatif. Un fournisseur qui confirme disposer d'une journalisation exhaustive décrit peut-être des journaux d'API cloud, des journaux d'accès aux serveurs et des journaux de trafic réseau, tous utiles pour la sécurité de l'infrastructure, mais qui n'enregistrent pas les événements pertinents pour l'activité qu'exige la détection des menaces internes. La distinction entre savoir qu'un utilisateur s'est authentifié sur le serveur d'applications et savoir qu'un utilisateur a exporté cinq cents dossiers clients, c'est la différence entre la visibilité sur l'infrastructure et la visibilité sur la sécurité des données.

• Considérer la robustesse des contrôles d'accès comme équivalente à la surveillance des accès : les contrôles déterminent qui entre, la journalisation enregistre ce que les personnes font
• Accepter la journalisation de l'infrastructure comme journalisation des accès aux données : journaux d'accès aux systèmes contre événements d'accès aux enregistrements au niveau applicatif
• Ne pas s'informer de la journalisation des exportations massives et des requêtes de masse, les événements d'accès les plus risqués dans les scénarios de menace interne
• Aucune alerte ni détection des anomalies sur les journaux d'accès : les journaux existent mais ne sont pas activement surveillés pour repérer des schémas suspects
• Durée de conservation non évaluée : les journaux d'accès sont conservés pendant des durées inférieures au temps habituel de présence d'un attaquant lors d'une violation

À quoi ressemblent les bonnes pratiques

Les programmes matures de surveillance des accès aux données des fournisseurs enregistrent les événements d'accès pertinents pour l'activité au niveau applicatif, appliquent une analyse comportementale pour détecter les schémas anormaux, déclenchent des alertes sur les événements à haut risque tels que les exportations massives, et conservent les journaux pendant des durées suffisantes pour étayer les investigations de violations dont le temps de présence de l'attaquant est long.

• Journalisation des accès aux données au niveau applicatif : identité de l'utilisateur, enregistrement consulté, opération effectuée, horodatage et contexte d'accès journalisés pour chaque événement d'accès aux données
• Alertes sur les exportations massives et les requêtes de masse : alertes automatisées sur les événements d'accès qui dépassent des seuils définis de volume d'enregistrements, de portée des requêtes ou de fréquence des exportations
• Détection des anomalies comportementales : référence des schémas d'accès normaux par rôle utilisateur, avec alertes automatisées lorsque l'accès s'écarte de cette référence
• Surveillance des utilisateurs privilégiés : journalisation distincte et renforcée pour les administrateurs de bases de données et les autres utilisateurs disposant de privilèges élevés et d'un accès direct aux données
• Conservation des journaux pendant plus de 90 jours : durées de conservation calibrées sur les besoins des investigations plutôt que sur l'optimisation des coûts de stockage
• Examen régulier des journaux et intégration au SIEM : les journaux d'accès sont intégrés au SIEM avec une cadence d'examen définie et des règles de corrélation automatisées

Outils

Une surveillance efficace des accès aux données exige des outils au niveau des applications et des bases de données qui enregistrent les événements pertinents pour l'activité et permettent une analyse comportementale.

Surveillance de l'activité des bases de données : Imperva, IBM Guardium, McAfee DAM

Les plateformes DAM surveillent l'activité des requêtes sur les bases de données au niveau du réseau ou d'un agent, en enregistrant chaque requête, l'utilisateur ou l'application qui l'a exécutée, les tables consultées et le nombre d'enregistrements renvoyés. Imperva fournit spécifiquement une détection des anomalies et des alertes sur les schémas de requêtes inhabituels, les accès massifs aux données et l'activité des utilisateurs privilégiés en dehors des heures de travail. Pour les professionnels de la TPRM, demander si le fournisseur utilise une solution DAM sur les bases de données contenant des données clients constitue une question précise et très révélatrice sur la capacité de détection des menaces internes.

SIEM avec analyse du comportement des utilisateurs : Microsoft Sentinel, Splunk SIEM, Exabeam

Les plateformes SIEM dotées de capacités UBA établissent des références comportementales pour chaque utilisateur et signalent les écarts : un utilisateur qui consulte habituellement cinquante enregistrements par jour et en consulte cinq mille présente une anomalie que les contrôles d'accès fondés sur des règles ne peuvent pas détecter, mais que l'analyse comportementale peut détecter. Exabeam est spécialisé dans l'analyse du comportement des utilisateurs et des entités appliquée aux schémas d'accès aux données. Pour les professionnels de la TPRM, demander si le SIEM du fournisseur comprend une analyse du comportement des utilisateurs appliquée aux événements d'accès aux données permet de savoir s'il existe une détection des anomalies au-delà des alertes fondées sur des règles.

Gestion de la posture de sécurité des données : Cyera, Varonis, Laminar

Les plateformes DSPM assurent une surveillance continue des schémas d'accès aux données dans les environnements de données cloud, en détectant les accès inhabituels à des données sensibles, les modifications des politiques d'accès ou l'apparition de nouvelles voies d'accès aux données sensibles. Varonis se concentre spécifiquement sur la surveillance des accès aux fichiers et aux bases de données avec analyse comportementale. Pour les professionnels de la TPRM, demander si le fournisseur utilise une solution DSPM avec surveillance comportementale sur les données contenant des dossiers clients constitue une question complète sur la visibilité des accès aux données.

Enjeux de gouvernance

Le défi de gouvernance de la journalisation des accès aux données tient au volume. Une grande application d'entreprise génère des millions d'événements d'accès aux données par jour. Stocker, traiter et examiner un tel volume exige un investissement en infrastructure et une attention opérationnelle qui doivent être justifiés au regard d'autres priorités de sécurité. La solution pratique est une journalisation hiérarchisée selon le risque : une journalisation exhaustive pour les catégories de données sensibles les plus critiques, une journalisation fondée sur des seuils pour les accès aux données standard, et des configurations limitées aux alertes pour les contextes moins sensibles. L'objectif n'est pas de tout journaliser de la même manière, mais de faire en sorte que les schémas d'accès les plus risqués (exportations massives, accès privilégiés en dehors des heures de travail, volumes de requêtes inhabituels) déclenchent des alertes, quel que soit le niveau de données concerné.

Pour les programmes de TPRM, la question de gouvernance est de savoir si le fournisseur a relié la journalisation des accès à la détection des anomalies, c'est-à-dire si les journaux générés sont activement surveillés pour repérer les schémas révélateurs d'une menace interne plutôt que simplement conservés comme capacité forensique. Des journaux qui existent mais ne sont jamais examinés offrent une capacité d'investigation après la violation. Des journaux qui alimentent une analyse comportementale offrent une capacité de détection avant la violation. La différence entre ces deux programmes, c'est la différence entre reconstituer ce qui s'est passé et l'empêcher.

• S'informer de la détection des anomalies sur les journaux d'accès : non seulement si des journaux existent, mais s'ils sont surveillés pour repérer des schémas inhabituels
• Poser des questions précises sur la journalisation et les alertes relatives aux exportations massives, le schéma d'accès le plus risqué en matière de menace interne
• Confirmer la durée de conservation des journaux au regard des besoins des investigations : 90 jours au minimum pour enquêter sur le temps de présence d'un attaquant
• S'informer de la surveillance des accès des utilisateurs privilégiés : une journalisation renforcée distincte pour les utilisateurs disposant d'un accès direct aux bases de données
• Intégrer la journalisation des accès à l'évaluation de la réponse aux incidents : les journaux d'accès ont-ils servi à la dernière investigation de sécurité ?

Si vous êtes une petite équipe

Posez à vos fournisseurs les plus à risque une question qui fait immédiatement apparaître la lacune de surveillance : si l'un de vos employés disposant d'un accès légitime aux données commençait à exporter massivement les dossiers de nos clients pendant plusieurs semaines, qu'est-ce qui le détecterait et en combien de temps ? La réponse à cette question décrit la capacité réelle de détection des menaces internes mieux que toute documentation des contrôles. Un fournisseur capable de décrire une alerte automatisée sur les événements d'exportation massive dispose d'une capacité de détection. Un fournisseur qui vante la robustesse de ses contrôles d'accès en réponse à une question sur la surveillance a confirmé la lacune.

• Poser la question du scénario de détection des menaces internes à chaque fournisseur disposant d'un accès important aux dossiers clients
• Demander précisément si les exportations massives de données déclenchent des alertes automatisées
• Confirmer la durée de conservation des journaux : couvre-t-elle le temps moyen de présence d'un attaquant lors d'une violation, soit plus de 200 jours ?
• Demander si les journaux d'accès alimentent un SIEM doté d'une analyse du comportement des utilisateurs

Ce qu’il faut exiger

Demandez directement :

« Si l'un de vos employés disposant d'un accès légitime aux données commençait à exporter massivement des dossiers clients pendant plusieurs semaines, quel contrôle détecterait cette activité et en combien de temps le sauriez-vous ? »

« Les événements d'accès aux données, en particulier les exportations massives, les requêtes de masse et les accès en dehors des heures de travail par des utilisateurs privilégiés, sont-ils journalisés au niveau applicatif avec l'identité de l'utilisateur et la portée des enregistrements, et ces journaux alimentent-ils des alertes automatisées ou une analyse comportementale ? »

« Quelle est votre durée de conservation des journaux d'accès aux données, et a-t-elle été calibrée pour permettre d'enquêter sur des violations dont le temps de présence de l'attaquant est long ? Plus précisément, pouvez-vous enquêter sur un incident qui a commencé il y a six mois ? »

Preuves attendues

• Description de la capacité de détection des menaces internes : le contrôle précis qui détecterait une activité d'exportation massive
• Confirmation de la journalisation des accès au niveau applicatif avec alertes sur les exportations massives
• Durée de conservation des journaux et base de son calibrage
• Confirmation de l'intégration d'une analyse comportementale ou d'une fonction UBA du SIEM

Un fournisseur qui répond au scénario de menace interne par « nos contrôles d'accès empêchent les accès non autorisés » a confirmé le contrôle qui ne répond pas au scénario. Une exportation massive par un utilisateur autorisé est un accès autorisé. Demandez ce qui détecte l'usage abusif d'un accès autorisé. Le silence qui précède la réponse, c'est la lacune.

Comment le prouver

La surveillance des accès aux données est traitée par le principe de responsabilité du GDPR, l'exigence 10 de la norme PCI-DSS, la spécification de mise en œuvre relative aux contrôles d'audit de la HIPAA et les contrôles AU du NIST SP 800-53. Démontrer sa diligence raisonnable exige de prouver que la capacité de surveillance des accès a été évaluée au-delà de la documentation des contrôles d'accès.

• Dossiers d'évaluation des fournisseurs documentant les questions sur la journalisation des accès, les alertes sur les exportations massives et la détection des anomalies
• Confirmation de la capacité de détection des menaces internes pour les fournisseurs dont l'accès aux données présente le plus de risques
• Documentation de la durée de conservation des journaux
• Confirmation de l'intégration au SIEM ou à une analyse comportementale

À retenir

Les contrôles d'accès déterminent qui peut atteindre les données. La journalisation des accès enregistre ce que les utilisateurs autorisés font des données qu'ils peuvent atteindre. La menace interne, l'employé disposant d'identifiants légitimes qui exfiltre des enregistrements depuis des mois, passe tous les contrôles d'accès, car son accès est autorisé. Le seul contrôle qui détecte l'usage abusif d'un accès autorisé est la surveillance. Un fournisseur dont les contrôles d'accès sont excellents mais dont la journalisation des accès est absente dispose d'un programme bien conçu pour des menaces qui ne sont pas les plus dangereuses. La plus dangereuse est déjà à l'intérieur. Demandez ce qui la détecte.