L’abus de privilège : un risque sous-estimé
L'abus de privilège, qui survient quand un utilisateur peut accéder à des données auxquelles il ne devrait pas, est l'une des premières menaces de cyber-sécurité. Les conséquences peuvent être désastreuses.
L’abus de privilège arrive souvent en tête des classements des menaces de cyber-sécurité les plus dangereuses, et ce n’est pas sans raison. Les comptes à privilèges donnent aux utilisateurs la capacité potentielle de compromettre le réseau, les systèmes et les données d’une entreprise. Or, la découverte de tels incidents peut prendre des mois, voire des années. Les conséquences directes d’un abus de privilège, telles que la perte de données sensibles ou la corruption des systèmes, peuvent être redoutables. Et pour les entreprises, cela se traduit également souvent par des dépenses supplémentaires – par exemple les coûts associés aux investigations de sécurité, aux mesures de correction et aux poursuites légales engagées par des clients ou des employés mécontents – et des dégâts sur leur réputation et image de marque.
Top 5 des menaces accentuées par une mauvaise gestion des comptes privilégiés
Typiquement, un abus de privilège survient dans une entreprise lorsque le contrôle des accès présente des faiblesses. Les utilisateurs disposent de plus de droits d’accès qu’ils n’en ont besoin pour leur travail quotidien, et l’entreprise n’applique pas de contrôle strict sur les changements critiques et ne surveille pas les activités des utilisateurs au sein de l’environnement IT. L’organisation devient alors vulnérable face aux menaces suivantes :
1. Les accès autorisés des partenaires et des fournisseurs de l’entreprise. Imaginons une compagnie financière qui gère un grand nombre de dossiers confidentiels et qui doit se conformer aux réglementations en vigueur tout en garantissant la disponibilité permanente de ses systèmes pour assurer la fidélité de ses clients. Contrôler l’activité de ses employés n’est pas suffisant, car les partenaires et fournisseurs externes peuvent également accéder à ses systèmes internes, et représentent donc la même menace pour les données sensibles. Dans ce cas, l’enregistrement vidéo automatisé peut être une solution car il donnera à l’équipe IT la possibilité de voir exactement ce que fait chaque utilisateur, et de réagir rapidement à toute violation des règles de sécurité.
2. Les ex-employés quittent l’entreprise avec des données confidentielles. Les anciens employés et les travailleurs temporaires représentent une menace pour l’intégrité des données et peuvent créer des failles de sécurité. Il s’agit d’un problème très important pour n’importe quelle entreprise, particulièrement dans le secteur de l’éducation où le turnover très élevé du personnel et des étudiants facilite l’utilisation abusive de leur compte par les employés qui quittent un établissement, et qui peuvent dérober des données sans que l’alerte ne soit donnée. Il est donc indispensable de contrôler constamment les activités des utilisateurs pour identifier les événements anormaux et réagir si des activités non autorisées surviennent, comme la manipulation de dossiers.
3. Des privilèges sont attribués par erreur. Il peut arriver que des accès soient attribués à des utilisateurs par erreur. Ce qui peut entrainer des pertes de données ou des arrêts de systèmes si un utilisateur utilise accidentellement ou à dessein ses privilèges, ou si un hacker ou un malware prend la main sur le compte. Par exemple, si une entreprise utilise des bases de données SQL pour stocker les informations client destinées à la facturation, le département IT doit contrôler attentivement les changements critiques liés à ces bases de données, comme l’attribution de droits DBA à des utilisateurs n’en ayant pas besoin. Elle doit alors être en mesure de réagir immédiatement pour protéger les données sensibles.
4. Le faible provisionnement de compte surexpose les données. Lorsque des employés changent de rôle dans l’organisation (transfert, promotion, …), leurs privilèges doivent être mis à jour sans délai. Le contrôle régulier des autorisations des utilisateurs et des changements d’autorisations et de groupe d’appartenance permet de réduire significativement le risque de surexposition des données et d’abus de privilège.
5. Allégations fallacieuses en cas de faille de sécurité. Si vous être un responsable IT – et encore plus si vous êtes le seul dans l’entreprise – vous pouvez être en situation de devoir prouver qu’une faille de sécurité n’est pas de votre faute. La bonne gestion des comptes privilégiés permet de disposer de la preuve que tous les contrôles nécessaires sont en place et que vous avez tout fait pour prévenir les incidents de sécurité.
Comment réduire le risque d’abus de privilèges ?Malheureusement, il n’existe pas de protection 100% sûre contre les abus de privilèges. Les comptes utilisateurs dotés de privilèges élevés seront toujours une cible tentante pour les cyber-criminels, et les collaborateurs malveillants représenteront toujours l’une des plus grandes menaces de sécurité – qu’ils utilisent à mauvais escient leurs privilèges intentionnellement ou par erreur. Toutefois, certaines pratiques peuvent aider à minimiser ces risques et simplifier la détection d’incidents de sécurité causés par l’abus de privilège :
1. Évaluer constamment les privilèges attribués. Le provisionnement de privilèges ne doit jamais être fait une fois pour toutes. Les droits d’accès doivent être vérifiés chaque fois que le rôle d’un utilisateur change et les autorisations non-indispensables doivent être supprimées selon le principe du moindre privilège.
2. Analyser le comportement des utilisateurs. Les données doivent être collectées sur l’ensemble de l’environnement IT, et elles doivent être comprises. En particulier, vous devez être capable d’identifier rapidement les informations critiques qui nécessitent votre attention, et comprendre précisément quels utilisateurs peuvent représenter une menace réelle pour les données sensibles. L’analyse du comportement des utilisateurs permet de distinguer les comportements normaux et les activités anormales, et de détecter les violations de sécurité qui seraient passées inaperçues.
3. Visibilité sur l’environnement IT. Le contrôle des changements critiques et des activités des utilisateurs est essentiel pour pouvoir réagir rapidement aux cyber-menaces. La visibilité sur tous les niveaux de l’environnement IT aide à vérifier toutes les actions qui pourraient indiquer un abus de privilège, comme les modifications non-autorisées d’un groupe de sécurité ou un nombre anormalement élevé de tentatives échouées d’accès à une base de données critique.