Nous avons passé des années à nous concentrer sur la sécurité des identités dans le contexte des personnes : qui a accès, ce qu’elles peuvent faire et comment contrôler cela. Ce modèle était pertinent lorsque la plupart des activités au sein de l’environnement étaient menées par des utilisateurs humains. Mais ce n’est plus le cas aujourd’hui.
Les identités machine — applications, services, API et charges de travail automatisées — jouent désormais un rôle central dans le fonctionnement des systèmes modernes. Elles s’authentifient, communiquent et exécutent des tâches, souvent sans supervision directe. Et dans de nombreux environnements, elles sont déjà nettement plus nombreuses que les identités humaines.
Dans cet épisode de STRIVE, je m’entretiens avec Dan Conrad, technologue principal et collègue CTO de terrain chez Commvault. Nous examinons de plus près ce que signifie cette évolution — non seulement du point de vue de la sécurité, mais aussi de celui de la gouvernance. Et nous explorons les raisons pour lesquelles tant d’organisations continuent de considérer cela comme une préoccupation secondaire.
Regardez laépisode.
Points clés : vers quoi le risque évolue-t-il ?
- Le nombre d’identités de machines augmente plus rapidement que celui des identités humaines, souvent de plusieurs ordres de grandeur.
- Les modèles de gouvernance n’ont pas suivi le rythme, ce qui a créé des lacunes en matière d’accès et de contrôle.
- La visibilité constitue le principal défi. De nombreuses équipes ne comprennent pas pleinement le fonctionnement des identités des machines.
- La prolifération des privilèges ne se limite pas aux utilisateurs, les identités des machines bénéficiant souvent d’un accès permanent.
- La résilience passe par la compréhension et la gestion du champ d’action de ces identités de machines avant qu’elles ne deviennent un problème.
Le modèle d’identité a évolué
Pendant longtemps, la gestion des identités était relativement simple. Il était possible d’associer des utilisateurs à des rôles, de définir des politiques d’accès et de mettre en place des contrôles basés sur des comportements prévisibles. Même face à la complexité, ce modèle restait ancré dans l’activité humaine. Les identités des machines ont bouleversé ce modèle.
Elles sont créées de manière dynamique, souvent dans le cadre de processus de développement ou de déploiement. Elles interagissent entre les systèmes d’une manière qui n’est pas toujours visible, bien documentée ou auditée. Et contrairement aux utilisateurs humains, elles ne suivent pas un cycle de vie bien défini : leur intégration et leur désintégration ne s’effectuent pas de la même manière structurée.
Cela crée un tout autre type de défi. Il ne s’agit plus seulement de contrôler l’accès. Il s’agit de comprendre comment cet accès est utilisé, comment il évolue et comment il s’articule au sein de l’environnement.
Aperçu : impossible de se faire passer pour une identité non humaine
Dans cet extrait de la discussion STRIVE, Dan explique que les attaquants ne ciblent pas directement les identités non humaines par le biais du phishing â ce sont des acteurs malveillants qui utilisent des comptes humains compromis grâce à l’ingénierie sociale, comme tremplin pour élever leurs privilèges et usurper l’identité d’identités machine puissantes. Une fois infiltrés, des techniques telles que le « pass-the-hash » et les comptes de service dotés de privilèges excessifs permettent aux attaquants de se déplacer latéralement et verticalement, même après la réinitialisation des mots de passe.
Le déficit de gouvernance
Le véritable enjeu n’est pas l’existence même des identités des machines, mais la manière dont elles sont gérées. Dans la plupart des organisations, il existe un processus bien défini pour gérer l’accès des personnes :
- Les demandes sont approuvées.
- Les autorisations sont vérifiées.
- Les modifications sont suivies.
Il existe un certain niveau de rigueur qui découle d’années consacrées à l’identité des utilisateurs. Cependant, les identités des machines échappent souvent à cette structure. Elles sont créées rapidement pour prendre en charge des applications ou des processus d’automatisation. On leur accorde les autorisations nécessaires à leur fonctionnement, parfois au-delà du strict nécessaire. Et au fil du temps, ces autorisations persistent. Ces accès surdimensionnés sont rarement contrôlés, revus et, surtout, rarement réduits.
C’est là que se forme l’écart. Il devient difficile de répondre à des questions élémentaires concernant l’accès. Non pas parce que les informations n’existent pas, mais parce qu’elles n’ont pas été organisées ni gérées de manière à en faciliter l’utilisation.
La visibilité avant le contrôle
Lorsque les organisations commencent à s’attaquer à ce problème, leur premier réflexe est souvent de renforcer les contrôles.
- Limiter les autorisations
- Restreindre l’accès
- Appliquer les nouvelles politiques
Mais le contrôle sans visibilité ne sert pas à grand-chose. Si vous ne comprenez pas comment les identités sont utilisées, ni leur contexte métier (où elles se connectent, avec quoi elles interagissent et comment elles circulent d’un système à l’autre), alors toute tentative visant à les restreindre deviendra une mesure réactive et pourrait entraîner un ralentissement des opérations métier. C’est pourquoi la visibilité doit être une priorité.
Une fois que vous pouvez observer le comportement des identités machine, des tendances commencent à se dessiner. Vous pouvez alors identifier les accès excessifs, les dépendances et les zones de concentration des risques. À partir de là, la gouvernance peut gagner en précision et en efficacité.
Un problème de privilège d’un autre genre
La prolifération des privilèges nât pas un phénomène nouveau. La plupart des organisations sâefforcent depuis des années de gérer les accès excessifs accordés aux utilisateurs humains.
Les identités des machines posent un problème similaire, mais selon une dynamique différente. Leur accès est souvent intégré aux systèmes. Il est permanent, automatisé et rarement remis en question une fois mis en place. Cela le rend plus difficile à détecter et plus facile à négliger. Et lorsque quelque chose tourne mal, ces identités peuvent servir de porte d’entrée aux acteurs malveillants pour exploiter la situation
Par où commencer ?
Pour la plupart des organisations, le défi ne réside pas dans la prise de conscience, mais dans le fait de savoir par où commencer. La première étape n’est pas une transformation majeure. Il s’agit avant tout de clarifier la situation : comprendre combien d’identités machine existent, où elles sont créées, Quelles autorisations elles possèdent. Comment elles sont utilisées. Et surtout, s’assurer qu’un utilisateur humain est associé à un ensemble d’identités non humaines à des fins d’audit et de responsabilité.
Ces questions semblent simples, mais il est souvent difficile d’y répondre. Et c’est précisément pour cela qu’elles sont importantes. Car une fois que vous êtes en mesure d’y répondre, vous n’agissez plus à l’aveuglette.
Regardez l’épisode dans son intégralité
Dans cet épisode de STRIVE, nous examinons plus en détail comment les identités des machines transforment la manière dont les organisations doivent envisager les questions d’accès, de gouvernance et de résilience. Il s’agit d’une discussion concrète sur la situation actuelle â et sur les changements qui s’imposent pour l’avenir.Regardez-le dès maintenant.
Ressources
Si ce sujet vous intéresse, consultez cet e-book suridentités non humaines.
FAQ
Q : Qu’est-ce qu’une identité de machine ?
R : Une identité de machine est une identité non humaine utilisée par des applications, des services ou des systèmes pour s’authentifier et interagir avec d’autres ressources.
Q : Pourquoi les identités des machines représentent-elles un risque de plus en plus important ?
R : Parce qu’ils sont de plus en plus nombreux, qu’ils disposent souvent d’un accès permanent et qu’ils ne sont pas toujours soumis à des règles aussi strictes que les utilisateurs humains.
Q : En quoi diffèrent-elles des identités d’utilisateur ?
R : Elles fonctionnent en continu, sont intégrées à des flux de travail automatisés et ne bénéficient souvent pas d’une gestion structurée de leur cycle de vie.
Q : Quel est le principal défi auquel sont confrontées les organisations en matière de gestion des identités non humaines ?
R : La visibilité. De nombreuses équipes n’ont pas une idée précise du nombre d’identités de machines créées, utilisées ou interconnectées.
Q : Quel est l’impact de cela sur la résilience ?
R : En cas de compromission, les identités des machines peuvent permettre à un acteur malveillant de se déplacer rapidement d’un système à l’autre, ce qui rend les incidents plus difficiles à maîtriser et à résoudre.
Q : Par où les organisations devraient-elles commencer ?
R : En identifiant les identités des machines, en comprenant leurs autorisations et en mettant en place des pratiques de gouvernance adaptées à leur ampleur et à leur complexité. Et surtout, en s’assurant qu’un utilisateur humain est associé à un ensemble d’identités non humaines, à des fins d’auditabilité et de responsabilité.
Vidya Shankaran est directeur technique (CTO) sur le terrain chez Commvault.
