Netwrix Innovation Week : innovations en sécurité des identités

Quelques modifications de configuration, comme une stratégie d'accès conditionnel assouplie ou un attribut utilisateur modifié, peuvent transformer un compte administrateur Entra ID compromis en accès durable. Ces changements laissent la MFA activée et rien ne semble cassé, ils passent donc facilement inaperçus. Les repérer, ainsi que les paramètres à risque et les comptes de service qui les entourent, est ce sur quoi nos équipes produit se sont concentrées dans les dernières mises à jour de Netwrix Threat Manager et Netwrix PingCastle.

Lors d'une récente conversation avec Joe Dibley, responsable produit senior pour PingCastle, nous avons examiné en détail la manière dont les attaquants abusent d'Entra ID, comment les équipes peuvent obtenir de la visibilité sur les comptes de service et comment les deux produits y répondent.

Découvrez toutes les conversations de l'Innovation Week pour écouter les dirigeants de Netwrix et des experts du secteur parler de la sécurité des données et des identités.

Nouvelles détections Entra ID dans Netwrix Threat Manager

Les détections que nous ajoutons à Threat Manager couvrent les modifications des règles qui régissent Entra ID, comme l'allongement de la durée de vie des jetons, la réduction de l'audit et les rôles personnalisés pouvant créer des portes dérobées. Ces modifications ne représentent qu'une poignée d'événements dans un très grand volume de journaux, il est donc réaliste de les surveiller. Au total, nous en ajouterons plus de 30 au cours des prochains trimestres, dans quatre domaines : altération des contrôles, élévation de privilèges et persistance, attaques sur les identifiants, et modifications des applications et des identités de charge de travail.

L'injection dans un groupe dynamique, l'une des techniques les moins courantes de cet ensemble, montre à quel point ce type de modification passe facilement inaperçu. Les groupes dynamiques ajoutent des membres automatiquement selon un attribut de compte : un attaquant disposant de droits de modification sur un compte peut ainsi, par exemple, définir son service sur la finance, rejoindre le groupe finance et hériter de tout ce qui l'accompagne. Le groupe lui-même ne change jamais, donc aucune étape d'approbation ne se déclenche. Threat Manager voit déjà la modification d'attribut, et nous prévoyons de l'améliorer pour qu'il reconnaisse quand cette modification correspond à la règle d'un groupe dynamique associé à un groupe ou un rôle sensible.

Un tableau de bord des comptes de service dans Threat Manager

Dans les environnements que nous côtoyons, les comptes de service disposent généralement de privilèges excessifs et échappent à la MFA, car ce ne sont pas des utilisateurs humains. Ils fonctionnent souvent avec des mots de passe qui n'expirent jamais et, comme ils s'authentifient par programmation, leurs connexions attirent moins l'attention que celles d'une personne.

Le nouveau tableau de bord des comptes de service de Threat Manager offre aux équipes une vue unique de tous les comptes de service de leur parc, avec des accès rapides à l'activité récente, aux menaces et aux types de chiffrement faibles. Nous les identifions d'emblée, et les équipes peuvent ajouter ceux qui nous échappent par convention de nommage ou par unité d'organisation.

Aujourd'hui, le tableau de bord couvre les comptes locaux, mais les comptes de service existent tout autant dans Entra ID. La dernière version y identifie déjà les identités d'agents, et nous prévoyons d'étendre le tableau de bord à Entra ID afin que les principaux de service, les identités d'agents et les autres identités non humaines apparaissent dans une seule vue.

PingCastle 4.0 ajoute une évaluation des risques Entra ID

La nouvelle évaluation couvre 102 risques, avec pour objectif d'atteindre la parité avec notre évaluation Active Directory. Elle inclut les configurations hybrides, comme les comptes de synchronisation d'annuaire disposant de privilèges étendus, ainsi que les paramètres de consentement des utilisateurs, les méthodes MFA, les liens de partage SharePoint et la configuration d'Azure Key Vault.

Chaque risque possède son propre fichier de définition : notre équipe de recherche sur les menaces peut ainsi prototyper en JSON, et les clients peuvent voir l'évolution d'un risque d'une version à l'autre, le modifier ou publier les leurs.

La recherche sur les menaces derrière les deux produits

Les deux produits s'appuient sur la même source. Notre équipe de recherche sur les menaces étudie les attaques réelles et les techniques employées contre Entra ID, et Joe et moi travaillons régulièrement avec elle pour prioriser ce qui entrera dans les prochaines versions.

Notre newsletter de recherche en sécurité, Threat Lab Quarterly, vous permet de suivre ce travail. Chaque numéro présente ce que l'équipe surveille et ce que cela peut signifier pour les défenseurs. La première édition est disponible dès maintenant.

Innovation Week chez Netwrix

Netwrix Innovation Week se déroule du 19 au 23 octobre et réunit experts techniques et défenseurs pour des analyses approfondies de la sécurité des identités et des données. La semaine comprend des interviews vidéo, des démos, des diffusions en direct, une table ronde d'experts et un défi capture the flag basé sur l'IA.