Une évaluation des risques liés aux identités chez un fournisseur de services cloud gérés a établi que son architecte de support senior, l’une des six personnes occupant ce rôle, avait accès aux environnements de production de quarante-sept organisations clientes. Cet accès était adapté au rôle : les architectes de support seniors traitaient des escalades complexes pouvant concerner n’importe quel client, et le provisionnement préalable des accès évitait des retards lors d’incidents critiques. Les contrôles d’accès de chaque environnement client étaient bien conçus. Ce que l’évaluation des risques a quantifié pour la première fois, c’est la conséquence globale de la compromission d’un seul identifiant : si les identifiants de cette personne étaient obtenus par hameçonnage, par bourrage d’identifiants ou par une attaque de la chaîne d’approvisionnement visant sa chaîne d’outils de développement, l’attaquant disposerait simultanément d’un accès administrateur en production à quarante-sept organisations clientes. Le rayon d’impact d’un seul identifiant était de quarante-sept environnements de production d’entreprise. L’évaluation a également établi qu’aucun contrôle compensatoire calibré selon ce rayon d’impact précis n’existait : les seuils de surveillance, la fréquence de revue des sessions et la détection des accès anormaux étaient configurés de façon uniforme pour l’ensemble du personnel de support, sans tenir compte du fait que les identifiants des architectes de support seniors représentaient une concentration de risque que ceux du personnel de support junior ne représentaient pas.
Qu’est-ce que le rayon d’impact d’une compromission d’identité, réellement ?
Le rayon d’impact est l’étendue des systèmes, des données et des capacités qui deviennent accessibles à un attaquant lorsqu’il compromet un identifiant d’identité donné. C’est la réponse à la question : si cet identifiant était volé maintenant, que pourrait faire un attaquant avec ? Le rayon d’impact est déterminé par les accès que détient l’identifiant (les systèmes sur lesquels il peut s’authentifier, les données qu’il peut lire ou modifier, les actions qu’il peut effectuer) et il est élargi par les accès permanents, les mécanismes de persistance et la capacité à utiliser l’accès initial pour établir des points d’appui supplémentaires.
La gouvernance du rayon d’impact consiste à appliquer les principes du moindre privilège à la dimension des conséquences dans la conception des accès : il ne s’agit pas seulement de se demander si l’accès est autorisé, mais quelle serait la conséquence d’une compromission et si cette conséquence est proportionnée à la valeur opérationnelle de l’accès. Un identifiant qui doit avoir accès à quarante-sept environnements parce que cet accès est nécessaire en cas d’urgence dans n’importe lequel d’entre eux a été conçu pour le besoin opérationnel le plus défavorable. Il a été conçu avec un rayon d’impact de quarante-sept environnements. Un identifiant limité aux environnements faisant actuellement l’objet d’un support actif a un rayon d’impact proportionné au besoin opérationnel actuel plutôt qu’au besoin maximal théorique.
Le lien avec l’accès juste à temps constitue la solution architecturale à la gestion du rayon d’impact. L’accès JIT supprime le rayon d’impact permanent en ne fournissant l’accès qu’en cas de besoin : l’identifiant existe au moment de l’accès et il est révoqué à la fin de la session. Le rayon d’impact à un instant donné correspond à l’accès effectivement provisionné, et non à l’accès théoriquement possible. Pour les environnements où l’accès JIT est réalisable sur le plan opérationnel, il transforme le rayon d’impact d’un risque permanent en un risque transitoire. Pour les environnements où un accès permanent est nécessaire sur le plan opérationnel, la gouvernance du rayon d’impact exige de comprendre l’exposition permanente et d’appliquer des contrôles compensatoires qui lui sont proportionnés.
- Concentration des accès multiclients : identifiants uniques donnant accès simultanément à de nombreux environnements clients
- Accès permanent au périmètre maximal possible : accès provisionné pour le besoin opérationnel le plus défavorable plutôt que pour le besoin actuel
- Aucune évaluation du rayon d’impact : revues d’accès individuelles confirmant l’autorisation sans quantifier les conséquences d’une compromission
- Contrôles compensatoires uniformes : surveillance et détection calibrées de façon uniforme plutôt que selon le rayon d’impact individuel
- Aucun accès JIT pour les identifiants à fort rayon d’impact : accès permanent là où l’accès JIT réduirait l’exposition
Pourquoi c’est important
Le rayon d’impact est important pour la TPRM parce que les relations multiclients avec les fournisseurs rendent possibles des attaques de la chaîne d’approvisionnement à identifiant unique, dans lesquelles la compromission d’une seule identité de fournisseur donne un accès simultané à plusieurs environnements clients. C’est le schéma d’attaque qui rend les violations chez les fournisseurs de services gérés fondamentalement différentes des violations touchant une seule organisation : le rayon d’impact d’un seul identifiant peut couvrir tout un portefeuille de clients.
La dimension des conséquences réglementaires et contractuelles amplifie le risque. Un fournisseur dont la compromission d’un seul identifiant entraîne des violations simultanées chez quarante-sept clients fait face à quarante-sept obligations simultanées de notification de violation, quarante-sept réponses aux incidents côté clients et quarante-sept enquêtes réglementaires. Les capacités de réponse aux incidents, les capacités juridiques et les relations commerciales du fournisseur sont mises sous tension simultanément sur l’ensemble de sa base de clients. La gouvernance du rayon d’impact est donc autant une question de résilience du fournisseur qu’une question de sécurité des identités.
Là où la plupart des équipes se trompent
L’échec le plus constant consiste à évaluer les décisions d’accès individuelles sans les agréger en indicateurs de rayon d’impact. Chaque octroi d’accès est examiné et approuvé individuellement. La conséquence globale de tous les octrois pour une même identité, à savoir les quarante-sept environnements auxquels l’architecte de support senior peut accéder, n’est jamais calculée ni déclarée comme indicateur de gouvernance. Le rayon d’impact n’est pas visible à partir des revues d’autorisations individuelles. Il exige une agrégation.
- Évaluer les autorisations individuelles sans agrégation du rayon d’impact
- Aucun indicateur de rayon d’impact : périmètre d’accès maximal des identités individuelles non calculé
- Contrôles compensatoires uniformes non calibrés selon le rayon d’impact individuel
- Aucun recours à JIT envisagé pour les identifiants à fort rayon d’impact
- Concentration des accès multiclients non identifiée comme concentration de risque
À quoi ressemblent les bonnes pratiques
Les programmes matures de gouvernance du rayon d’impact calculent le rayon d’impact de chaque identifiant disposant d’accès significatifs, repèrent les concentrations qui dépassent des seuils définis, appliquent des contrôles compensatoires renforcés proportionnés au rayon d’impact et exigent un accès JIT ou une réduction du périmètre pour les identités au rayon d’impact le plus large.
- Indicateur de rayon d’impact pour toutes les identités à privilèges : périmètre d’accès maximal calculé pour chaque identifiant à privilèges élevés
- Seuils de rayon d’impact : limites définies du nombre d’environnements clients auxquels un même identifiant peut accéder simultanément
- Contrôles renforcés pour les identités à fort rayon d’impact : surveillance, authentification et gouvernance des sessions calibrées selon le rayon d’impact
- Accès JIT pour les identifiants à fort rayon d’impact : rayon d’impact permanent rendu transitoire lorsque c’est possible
- Limites du périmètre d’accès multiclient : politique limitant le nombre d’environnements clients auxquels un même identifiant peut accéder
Outils
Analytique des identités : Veza, SailPoint IdentityAI
Les plateformes d’analytique des identités calculent le périmètre d’accès effectif de chaque identifiant, en montrant ce que chaque identité peut atteindre sur l’ensemble des systèmes connectés. Pour l’évaluation du rayon d’impact, ces plateformes fournissent l’agrégation nécessaire pour convertir des registres d’autorisations individuelles en indicateurs complets de périmètre d’accès. Pour les praticiens de la TPRM, demander si le fournisseur utilise l’analytique des identités pour calculer le rayon d’impact effectif des identités à privilèges élevés constitue une question précise de gouvernance du rayon d’impact.
PAM avec JIT : CyberArk, BeyondTrust
L’accès JIT au moyen de plateformes PAM transforme le rayon d’impact permanent en exposition transitoire : l’accès est provisionné en cas de besoin et révoqué à la fin de la session, ce qui supprime l’accès permanent à plusieurs environnements à l’origine des rayons d’impact étendus. Pour les praticiens de la TPRM, demander si les identifiants de support et d’administration à fort rayon d’impact utilisent l’accès JIT constitue la question la plus directe en matière de réduction du rayon d’impact.
Enjeux de gouvernance
Le défi de gouvernance du rayon d’impact est le problème du calcul. Le rayon d’impact dans un environnement complexe et multisystème exige de comprendre non seulement les autorisations directes d’un identifiant, mais aussi les accès indirects que ces autorisations permettent, par les chaînes d’appartenance à des groupes, les capacités d’endossement de rôles, l’accès aux magasins d’identifiants et les relations de réplication. Cela exige le type d’analyse du graphe d’autorisations décrit dans l’article sur le déplacement latéral : le rayon d’impact est, en pratique, l’ensemble des destinations atteignables par le graphe d’autorisations à partir d’un identifiant de départ donné.
- Calculer le rayon d’impact de toutes les identités de fournisseurs à privilèges élevés : périmètre d’accès maximal, y compris l’accès multiclient
- Définir des seuils de rayon d’impact : nombre maximal d’environnements clients auxquels un même identifiant devrait pouvoir accéder
- Appliquer l’accès JIT aux identifiants qui dépassent les seuils de rayon d’impact
- Calibrer la surveillance et la détection selon le rayon d’impact : intensité plus élevée pour un rayon d’impact plus large
- Intégrer le rayon d’impact dans la notation des risques liés aux identités : le périmètre d’accès comme facteur d’amplification du risque
Si vous êtes une petite équipe
Posez à vos fournisseurs de services gérés une question qui calcule l’indicateur de rayon d’impact le plus important : quel est le nombre maximal d’environnements clients auxquels un même identifiant d’ingénieur de support peut accéder simultanément, et votre fournisseur a-t-il envisagé un accès JIT ou des limites de périmètre pour les identifiants au-delà d’un seuil défini ? La réponse quantifie l’impact maximal, sur la chaîne d’approvisionnement, du vol d’un seul identifiant et montre si le rayon d’impact a été évalué comme dimension de gouvernance.
- Demander le nombre maximal d’environnements clients accessibles à partir d’un même identifiant
- Demander si un accès JIT est utilisé pour les identifiants donnant accès à plusieurs environnements clients
- Demander si la surveillance est calibrée selon le rayon d’impact de chaque identifiant
- Interroger sur les seuils de rayon d’impact : périmètre d’accès maximal défini pour un même identifiant
Ce qu’il faut exiger
Demandez directement :
« Quel est le nombre maximal d’environnements clients auxquels un même identifiant d’ingénieur de support de votre organisation peut accéder simultanément, et votre organisation a-t-elle évalué des seuils de rayon d’impact pour les identités au périmètre étendu ? »
« Pour les identifiants qui donnent accès à plusieurs environnements clients, utilisez-vous un provisionnement des accès juste à temps pour limiter l’exposition permanente, ou ces identifiants donnent-ils un accès persistant à tous les environnements, quel que soit le besoin opérationnel du moment ? »
Preuves attendues
- Périmètre maximal d’accès aux environnements clients par identifiant
- Politique de seuils de rayon d’impact, si elle est définie
- Accès JIT pour les identifiants à fort rayon d’impact
- Surveillance renforcée calibrée selon le rayon d’impact de l’identifiant
Il convient de demander précisément à un fournisseur qui confirme un accès approprié fondé sur les rôles quel est le rayon d’impact maximal de son identifiant au périmètre le plus large, c’est-à-dire combien d’environnements clients peuvent être atteints à partir d’un seul identifiant compromis. L’adéquation des rôles décrit l’autorisation. Le rayon d’impact décrit la conséquence. Les deux doivent être évalués avant que la compromission ne survienne.
Comment le prouver
- Registres d’évaluation du rayon d’impact des identifiants de fournisseurs à privilèges élevés
- Documentation du périmètre d’accès multiclient
- Accès JIT ou limitation du périmètre pour les identifiants à fort rayon d’impact
- Registres de calibrage de la surveillance renforcée
À retenir
La compromission d’un identifiant n’est pas une question de « si ». C’est une question de « quand » et de « combien ». Le rayon d’impact, c’est le « combien ». Quarante-sept environnements clients accessibles à partir d’un seul identifiant, c’est un rayon d’impact de quarante-sept environnements. Le moindre privilège qui restreint chaque octroi d’accès est nécessaire mais pas suffisant : c’est le périmètre global de tous les octrois d’accès d’un même identifiant qui détermine le rayon d’impact dont l’attaquant hérite lors de la compromission. Calculez le rayon d’impact. Définissez des seuils. Appliquez l’accès JIT aux identifiants qui dépassent le seuil. Calibrez la surveillance selon le rayon d’impact. La décision de gouvernance sur l’ampleur des dommages qu’une seule compromission peut causer se prend maintenant, avant la compromission, dans les décisions de provisionnement des accès qui déterminent le rayon d’impact. Après la compromission, c’est l’attaquant qui décide du rayon d’impact.