Netwrix Innovation Week: Les attaques par IA vont plus vite que votre SIEM ne peut les consigner

L’IA réduit le délai entre un identifiant volé et un compte privilégié compromis, et une boucle de détection conçue pour des analystes humains ne peut pas réagir à ce rythme. Les équipes peuvent réduire cette exposition en déplaçant les identifiants vers un coffre-fort chiffré, en limitant l’accès par rôle, en exigeant une approbation avant tout accès privilégié et en journalisant chaque action sur les identifiants. La prévention ferme la voie d’entrée la plus facile, et le SIEM peut alors se concentrer sur ce qui reste.

Découvrez toutes les conversations de l’Innovation Week pour entendre Netwrix et des experts du secteur parler de la sécurité des données et des identités.

La plupart des plans de réponse aux incidents supposent que le défenseur a le temps. Une alerte se déclenche, un analyste consulte les journaux, l’équipe décide et quelqu’un réagit. Les attaquants qui utilisent l’IA travaillent plus vite que cette séquence ne le permet, de sorte que le plan doit comporter une étape qui intervient avant l’alerte.

Dans la détection, c’est la décision qui prend du temps

La journalisation est la partie rapide de la boucle de détection. L’analyse et la décision prennent plus de temps, et les équipes ont conçu cette boucle à l’époque où les attaquants avaient encore besoin de temps. La reconnaissance prenait des jours et le déplacement latéral des heures, ce qui laissait aux défenseurs une marge de manœuvre.

L’IA a supprimé l’essentiel de cette marge. Avec des outils automatisés, un attaquant peut cartographier un annuaire, tester des identifiants volés sur une douzaine de systèmes et atteindre un compte privilégié pendant que la première alerte attend dans une file. Le credential stuffing était autrefois une attaque par force brute bruyante, et les bots ajustent désormais leur vitesse et leurs empreintes en temps réel pour ressembler à des utilisateurs légitimes.

Les identités compromises sont le point d’entrée le plus courant

Les attaquants n’ont pas besoin de casser le chiffrement ni de trouver une faille zero-day lorsqu’un seul identifiant valide est disponible. Le rapport 2026 sur la sécurité des données et des identités de Netwrix a constaté que 75 % des expositions de données sensibles commencent par des identités compromises ou des autorisations mal configurées.

Une attaque récente contre un opérateur d’infrastructures critiques a suivi ce chemin. Le point d’entrée était un compte VPN d’accès à distance inutilisé et jamais désactivé, sans MFA, dont le mot de passe figurait déjà dans un ensemble d’identifiants divulgués. Les opérations se sont arrêtées pendant plusieurs jours.

Des mots de passe réutilisés après d’anciennes failles, des identifiants partagés conservés dans des feuilles de calcul et des comptes privilégiés connus de 10 personnes parce que personne ne veut assumer la rotation créent tous la même brèche. L’IA repère ce type de faiblesses à grande échelle, sans que personne ne saisisse de mots de passe à la main.

La MFA réduit le risque, mais ne l’élimine pas. Les attaquants envoient des demandes push à répétition jusqu’à ce qu’un utilisateur en approuve une pour faire cesser les notifications, et un contrôle qui repose sur le refus d’une personne fatiguée au bon moment laisse une marge mince.

La prévention supprime l’avantage du temps

La détection confirme après coup que quelque chose s’est produit. La prévention bloque une étape sensible tant que quelqu’un ne l’a pas approuvée, supprimant la brèche sur laquelle comptent les attaquants. Les équipes ont besoin des deux.

L’accès permanent et non surveillé est à l’origine de cet avantage. Le même rapport a constaté que 76 % des organisations ne peuvent pas révoquer immédiatement un accès permanent lorsqu’il n’est plus nécessaire.

Comment réduire l’accès permanent aux identifiants

Les mots de passe conservés dans les navigateurs, les documents partagés et les messages directs ne peuvent pas être gouvernés, car personne ne peut tous les voir. Un coffre-fort central et chiffré offre aux équipes un point de départ unique.

L’accès basé sur les rôles limite chaque personne aux identifiants que requiert son rôle, de sorte qu’un identifiant volé ne peut faire que ce que son propriétaire était autorisé à faire.

Les administrateurs de domaine, les propriétaires de bases de données et les comptes de service justifient une décision humaine. Un demandeur sollicite l’accès, une seconde personne l’approuve, et ce n’est qu’alors que l’identifiant devient disponible. La rotation régulière des mots de passe raccourcit ensuite la durée de vie de tout identifiant divulgué.

La journalisation de chaque action sur les identifiants relie la prévention à la détection. Une demande de privilèges refusée à 2 h du matin apparaît comme un événement significatif, et non comme une ligne parmi des milliers de connexions de routine, ce qui offre aux analystes des alertes moins nombreuses et plus pertinentes.

Les agents IA et les automatisations ont eux aussi besoin d’identifiants, notamment des clés d’API, des comptes de service et des jetons dotés de réels privilèges. Le rapport a constaté que 41 % des organisations exécutent déjà de l’IA agentique en production, alors que 19 % seulement affirment gouverner pleinement les identités non humaines. Les agents ne se fatiguent pas et ne remettent pas en question les instructions, de sorte que leurs identifiants méritent au moins le même traitement que ceux d’un administrateur humain : conservés dans un coffre-fort, limités en portée et approuvés avant tout usage privilégié. Les équipes qui prévoient d’utiliser l’IA agentique dans le SOC devraient conserver ses clés au même endroit gouverné que celles de tous les autres.

Objections courantes à cette approche

Les étapes d’approbation ralentissent les gens. Pour la plupart des utilisateurs, rien ne change, car ils ne touchent jamais aux comptes privilégiés. Les rares qui remarquent l’étape supplémentaire détiennent les clés les plus sensibles, et une courte attente pour obtenir une approbation coûte moins cher qu’une compromission.

Les équipes qui disposent déjà d’une solution PAM devraient la conserver si elle couvre les comptes privilégiés de bout en bout. Si la couverture est partielle, la première tâche consiste à identifier ce qui n’est pas couvert. Dans tous les cas, l’outil doit fonctionner avec Active Directory, Entra ID ou l’annuaire utilisé par l’organisation, afin que la gouvernance des accès suive les identités déjà présentes dans l’annuaire.

Comment Netwrix Password Secure prend en charge l’accès au moindre privilège

Netwrix Password Secure prend en charge chacune de ces étapes. Les identifiants sont stockés dans un coffre-fort central et chiffré, et l’accès basé sur les rôles limite les utilisateurs à ce dont ils ont besoin. Des workflows d’approbation précèdent l’accès privilégié, et une piste d’audit complète indique qui a accédé à quoi, et quand. L’intégration à Active Directory et à Entra ID rattache l’accès aux identités existantes. Les équipes peuvent travailler depuis un poste de travail, le web et le mobile, et déployer la solution sur site, dans le cloud ou en mode hybride selon leurs besoins d’infrastructure et de conformité.

Les attaques à la vitesse de l’IA réussissent dans le laps de temps qui sépare un événement du moment où quelqu’un le remarque. Mettez d’abord les identifiants permanents hors de portée, et le SIEM détectera ce qui reste.

Découvrez Password Secure en action