Bring Your Own Vault : pourquoi le « rip and replace » n'est pas la seule option

Partie 3 sur 3 de notre série Rethinking Privileged Access. Lisez d'abord la Partie 1 : Le mot de passe n'a jamais été le seul problème et la Partie 2 : Au-delà du coffre.

Toute équipe de sécurité ayant exploité un déploiement PAM mature connaît la vérité inconfortable du changement d'outil : la technologie est rarement la partie difficile. Vous avez passé des années, et souvent un budget conséquent, à bâtir des workflows, des intégrations et des réflexes institutionnels autour de votre coffre PAM historique. Demander à cette équipe de « tout migrer d'un coup » ouvre une discussion sur la conduite du changement et les risques, et la plupart des organisations s'en détournent à juste titre.

Les parties 1 et 2 de cette série ont défendu le PAM moderne : éliminer les privilèges permanents plutôt que de se contenter de mettre le mot de passe qui les protège sous coffre. Elles ont aussi montré la part du catalogue d'attaques sur les identifiants Windows/AD que cela neutralise. L'objection évidente est que cela ressemble à un remplacement complet de plateforme. Mais ce n'est pas forcément le cas.

Netwrix Privilege Secure (NPS) propose une fonctionnalité conçue précisément pour cette réalité : Bring Your Own Vault (BYOV).

Ce que fait BYOV

BYOV permet à NPS de se connecter directement au coffre que vous avez déjà (un coffre PAM historique, CyberArk, BeyondTrust, HashiCorp Vault ou Microsoft LAPS) et de traiter les comptes qui y sont stockés exactement comme les comptes gérés par NPS.

Les comptes stockés dans votre coffre actuel bénéficient de l'ensemble du traitement de session de NPS, en complément de ce que fait déjà votre outil actuel :

• Activer et désactiver le compte autour de la session
• Accorder le privilège au début de la session (par exemple en ajoutant le compte aux Admins du domaine, aux administrateurs locaux ou à un groupe sudo) et retirer ce privilège dès la fin de la session
• Activer RDP uniquement pendant la durée de la session, puis le désactiver
• Appliquer toutes les autres Activities définies par vos politiques NPS, y compris la purge des tickets Kerberos et l'analyse des comptes non autorisés décrites dans les Parties 1 et 2

Une fois la session terminée, NPS réécrit le nouveau mot de passe, renouvelé, dans le coffre d'origine, qui reste le système de référence. Le rôle de votre coffre existant ne change pas : il continue de stocker et de renouveler l'identifiant. Le changement porte sur tout ce qui se passe autour de cet identifiant pendant qu'il est utilisé. C'est là que NPS ajoute la couche de PAM moderne que le PAM historique n'a jamais été conçu pour offrir, en supprimant les privilèges permanents autour de la session elle-même.

Deux façons dont les clients utilisent BYOV

En pratique, BYOV s'utilise de deux manières différentes, et les deux sont valables.

Défense en profondeur. Certains clients n'ont aucune intention de quitter leur coffre actuel. Ils en sont satisfaits, il est profondément ancré dans leur environnement et rien ne justifie de le changer. Pour eux, BYOV ajoute des contrôles de sécurité au niveau de la session à un outil PAM historique conçu avant tout pour protéger les identifiants.

Une voie de migration sans rupture brutale. D'autres clients cherchent à quitter leur outil actuel, souvent pour des raisons de coût, mais ne peuvent pas supporter une bascule brutale. Un rip-and-replace complet impose de réintégrer chaque compte, chaque workflow et chaque intégration en une seule fois, avec tout le risque opérationnel que cela implique. BYOV permet aux clients de mettre immédiatement en service la nouvelle capacité sur leur coffre existant. Ils migrent ensuite progressivement comptes et groupes d'utilisateurs vers des comptes gérés par NPS ou éphémères, au rythme que leur équipe d'exploitation peut absorber, tout en retirant peu à peu la plateforme PAM historique.

Pourquoi cela compte aussi pour le budget

Le coût pèse autant que l'architecture. NPS est généralement moins cher que les outils PAM historiques auxquels il est le plus souvent associé, et CyberArk en particulier affiche une prime bien connue sur ce marché. Pour un client qui supporte déjà ce coût, BYOV permet de démontrer immédiatement la valeur du PAM moderne, sans attendre la fin d'un projet de migration complet pour justifier la dépense ni défendre une ligne budgétaire du type « on jette ce qu'on a déjà payé ».

C'est là tout l'intérêt de BYOV : il dissocie adopter une meilleure sécurité de session de remplacer votre infrastructure existante.

Conclusion de la série

Tout au long de cette série, nous avons démontré que :

• Partie 1 : le privilège permanent, avec le mot de passe qui le protège, constitue la véritable surface d'attaque. C'est là que le modèle historique coffre et extraction se distingue du modèle session et Activities du PAM moderne avec NPS.
• Partie 2 : éliminer ce privilège permanent neutralise bien plus du catalogue d'attaques sur les identifiants Windows/AD que la seule mise sous coffre : Pass-the-Hash, Pass-the-Ticket, Kerberoasting et d'autres. L'article est aussi honnête sur ce qu'il ne couvre pas (Golden Tickets, abus d'AD CS, vol de la clé de sauvegarde DPAPI).
• Partie 3 : vous n'avez pas besoin d'un projet de rip-and-replace pour commencer à en tirer profit. BYOV permet à votre coffre existant de continuer à remplir la mission pour laquelle il a été conçu, pendant que NPS ajoute la couche que le PAM historique n'a jamais été conçu pour fournir, au rythme que votre équipe d'exploitation peut absorber.

Le fil conducteur est là : le mot de passe n'a jamais été le seul problème. Le privilège qui se cache derrière, en attente indéfinie d'être utilisé, en était le reste.