Comment lutter contre la menace liée aux utilisateurs à privilèges ?
Alors que la cyber-menace augmente dans le monde numérique d’aujourd’hui, elle est de plus en plus souvent liée aux utilisateurs à privilèges. Pourquoi ce phénomène ? Comment y faire face ? Nous avons posé ces questions à Julien Patriarca, expert en cybersécurité et Directeur du Support et des Services Professionnels au sein de WALLIX.
Bonjour Julien, on lie de plus en plus les utilisateurs à privilèges aux risques de cybersécurité. Pourquoi cette tendance ?
Cette tendance est liée à la place grandissante du numérique dans notre quotidien. Quel que soit le service que nous utilisons – impôts, commandes en ligne, etc., toutes nos actions numériques sont retranscrites sous forme de données. Aujourd’hui nos numéros de cartes bancaires, nos données d’identité, ou encore les données des entreprises sont stockées sur des serveurs gérés par des personnes détenant, comme je le dis souvent, les « clés du royaume », c’est-à-dire qu’elles ont accès à toutes nos données numériques – rarement chiffrées d’ailleurs, ou bien dans un format généralement simple à décoder. De plus en plus, les individus prennent conscience que ces données sont stockées sur des serveurs accessibles à certains utilisateurs, c’est pourquoi il devient impératif de pouvoir savoir qui accède à ces données ou serveurs, quand et pourquoi afin d’être certain d’éviter la fuite de données, qu’elle soit intentionnelle ou non. Ce point est d’ailleurs important à souligner ; on parle souvent de malveillance mais il n’y a pas que la malveillance, il y a aussi la négligence. Donc, le fait d’avoir une surveillance des personnes qui ont les clés du royaume, les utilisateurs à privilèges, permet de savoir ce qu’elles ont fait ou non sur les systèmes d’information.
Peut-on dire que les utilisateurs à privilèges représentent la menace la plus importante sur le système d’information d’une entreprise ?
Ils en font partie. La menace liée aux utilisateurs à privilèges devient plus importante si l’on considère la menace interne. On entend souvent parler de vilains pirates qui rôdent sur Internet et attaquent les serveurs mais pour les entreprises, la menace interne liée aux administrateurs représente certainement la ou l’une des plus grandes menaces actuelles. Pour autant, il ne faut pas diaboliser ces utilisateurs privilégiés. Je pense que l’enjeu principal est de responsabiliser les individus ; comme je le disais, il n’y a pas que des personnes malveillantes, mais il y a souvent des personnes négligentes. C’est là la réelle menace. La négligence fait partie de la menace interne, donc le fait d’avoir un monitoring des activités avec éventuellement un enregistrement de sessions privilégiées pour savoir ce qu’il s’est passé, pouvoir revenir sur un incident, rétablir un service, etc. est nécessaire pour diminuer voire mettre un terme à la négligence informatique.
Aujourd’hui, la menace interne ne me semble pour autant pas être la raison première qui pousse les entreprises à adopter une solution de cybersécurité. Lorsque les clients viennent vers nous, ils souhaitent d’abord répondre à un enjeu de conformité et d’audit : qui a accès à quoi, où, quand et comment. La malhonnêteté ou la malveillance sont des problématiques qui surviennent généralement dans un deuxième temps. Je n’ai dans mon souvenir jamais été en discussion avec une personne qui souhaitait absolument mettre en place une solution de surveillance parce qu’elle avait peur de sa population d’administrateurs. D’ailleurs, on ne parle généralement pas de surveillance mais de monitoring. La solution de cybersécurité doit d’abord permettre aux entreprises d’éviter la négligence ou de parer au plus vite à une négligence, de revenir sur un incident et de faire du post-mortem afin de rétablir le service, et éventuellement bien sûr d’avoir une visibilité sur l’activité des administrateurs. Toutefois, nous ne partons pas du principe que les populations d’administrateurs sont malveillantes. Cela peut bien sûr arriver, mais ce n’est pas sous cet angle qu’une politique de cybersécurité doit être appréhendée, car le résultat est souvent le même que l’on parle de négligence ou de malveillance.
Plusieurs solutions existent pour sécuriser les actifs critiques des organisations, dont la solution de gestion des accès à privilèges ou PAM (Privileged Access Management).
En quoi ce type de solution répond aux enjeux posés par les utilisateurs à privilèges ?
La solution de PAM y répond parfaitement. Chez WALLIX, la première chose que l’on demande lorsqu’on met en place la solution est d’interdire les flux directs (les connexions directes des administrateurs sur le serveur). Si on laisse le choix aux utilisateurs, dans 100 % des cas, ils ne passeront pas par la solution. La solution de PAM permet par un moyen de droits granulaires (par horaire, serveur, protocole, etc.) puis grâce à des fonctionnalités facultatives d’enregistrement des sessions de s’intercaler entre les administrateurs et les serveurs. Elle supprime les connexions directes qui ne peuvent plus être effectuées qu’au travers de la solution qui offre alors une protection des systèmes d’information non négligeable en évitant les incidents de sécurité, en réduisant les downtimes et en revenant très rapidement sur les incidents pour rétablir le service ou apporter des correctifs sur le système de sécurité en place. La solution WALLIX apporte cet aspect de monitoring des activités des utilisateurs à privilèges et les responsabilise. Lorsqu’une personne sait qu’elle peut être observée ou que ces actions peuvent être revisionnées dans le cadre d’un audit, elle est responsabilisée et sa négligence diminue.
La solution de PAM, notamment grâce à la gestion des sessions privilégiées est d’autant plus essentielle aujourd’hui.
La majorité des entreprises a recours à des services de tierce maintenance applicative (TMA). Résultat : lorsque qu’une personne se connecte aux systèmes d’une entreprise, il est difficile de savoir qui détient les accès, qui se connecte, quand il se connecte ou ce qu’il fait lorsqu’il est connecté. De fait, une solution de gestion des accès et des sessions à privilèges est indispensable pour monitorer les tiers mainteneurs. Encore une fois, la solution WALLIX responsabilise les tiers mainteneurs qui devront – si ce n’était pas déjà le cas, remplir leurs obligations correctement car l’entreprise pourra inévitablement savoir ce qu’il s’est passé ou non sur ses systèmes en cas de problème.
Il est très important pour une entreprise de savoir au minimum ce que font les personnes qui se connectent à ses systèmes,
encore plus dans le cas de parties venant de l’extérieur, finalement peu ou pas connues. J’ai notamment le souvenir d’un client qui avait contractualisé avec une société en Inde pour faire de la tierce maintenance. Le client s’est aperçu qu’il y avait des adresses de pays qui se connectaient sur son système d’information qu’il ne connaissait pas. Après analyse, il a su que le tiers mainteneur avec qui il avait contractualisé avait sous-traité le contrat à des personnes près des Philippines. En plus de cela, la société avait une activité extrêmement sensible car appartenant au secteur bancaire, donc donner les accès root ou administrateur sur des serveurs bancaires à des personnes à l’autre bout du monde était absolument invraisemblable ! C’est un exemple vraiment concret de pourquoi il faut faire passer les tiers mainteneurs en premier par une solution de PAM, comme celle que propose WALLIX.
Pour en savoir plus, rendez-vous sur www.wallix.com ou cliquez ci-dessous :
