Pourquoi l'approche Zero Standing Privileges est meilleure pour le Privileged Access

Les droits d'administrateur sont une épée à double tranchant : bien que les professionnels de l'IT nécessitent des droits élevés pour effectuer leur travail, ces privilèges peuvent être mal utilisés par les administrateurs eux-mêmes — ainsi qu'abusés par des adversaires qui ont compromis leurs comptes.

La première étape pour se défendre contre ces risques est assez simple : Réduire le nombre de comptes administrateurs en refusant les droits d'administrateur local aux utilisateurs métier. Bien que les utilisateurs résistent souvent à cette mesure, ils n'ont généralement pas réellement besoin de droits d'administrateur local pour effectuer leur travail, et retirer ces droits limite le pouvoir que les adversaires obtiendront en prenant le contrôle de leur compte. Par exemple, ils ne pourront pas installer de keyloggers ou exécuter des logiciels malveillants.

Mais cela laisse tous les autres comptes hautement privilégiés dans l'environnement informatique, qui représentent un risque encore plus grand. Ces comptes accordent des droits dont leurs propriétaires ont réellement besoin pour effectuer leurs tâches assignées, telles que l'ajustement des configurations d'infrastructure, la création de comptes pour de nouveaux employés ou la réinitialisation des mots de passe des utilisateurs. Par conséquent, les organisations ne peuvent pas simplement révoquer ces droits élevés de la même manière qu'elles suppriment les droits d'administrateur local ; elles ont également besoin d'un mécanisme pour fournir des privilèges élevés lorsque cela est nécessaire.

Une approche efficace pour résoudre ce défi est les privilèges zéro permanent (ZSP). ZSP remplace les comptes privilégiés risqués par un accès temporaire, just-in-time. Cet article explique comment fonctionne ZSP et comment il surmonte les défis inhérents aux approches traditionnelles de Privileged Access Management (PAM).

Pourquoi les solutions traditionnelles de Privileged Access Management laissent une vaste zone d'attaque

Les solutions traditionnelles de Privileged Access Management sont conçues pour aider les organisations à sécuriser les comptes disposant de droits d'accès élevés. Les organisations ont généralement des dizaines ou même des centaines de ces comptes. Les solutions PAM traditionnelles stockent souvent les informations d'identification des comptes privilégiés dans un coffre-fort de mots de passe. Les individus autorisés retirent ensuite leurs informations d'identification chaque jour pour obtenir un accès administratif aux systèmes qu'ils gèrent, tels qu'une base de données particulière ou un système comme Active Directory.

Cependant, essayer de contrôler strictement l'accès privilégié en utilisant des techniques traditionnelles de Privileged Access Management (PAM) comme un coffre-fort de mots de passe laisse un risque de sécurité béant. Lorsque des comptes puissants existent en permanence, ces privilèges constants sont toujours vulnérables à être mal utilisés par leurs propriétaires ou pris en charge par des attaquants.

De plus, même si de solides contrôles d'accès sont en place, ceux-ci ont tendance à accumuler beaucoup plus de droits que nécessaire. En conséquence, ils sont mûrs pour un usage abusif par leurs propriétaires et une prise de contrôle par des adversaires. En effet, les identifiants d'administrateur sont une cible privilégiée des acteurs malveillants car ils leur permettent d'obtenir un accès privilégié à des données sensibles, à des systèmes et à d'autres ressources informatiques critiques.

Qu'est-ce que les Zero Standing Privileges ?

Les privilèges permanents zéro représentent une approche moderne de Privileged Access Management qui surmonte les lacunes des outils traditionnels. L'objectif est de réduire le nombre de comptes avec des privilèges élevés au plus près de zéro possible. Au lieu de cela, l'accès privilégié est accordé uniquement lorsqu'il est nécessaire, délimité précisément pour la tâche à accomplir et retiré automatiquement juste après. En conséquence, une stratégie ZSP vous permet de réduire considérablement votre surface d'attaque et de diminuer le risque de data breaches et de perturbations des affaires. Et en contrôlant strictement l'accès privilégié, les outils ZSP sont un composant précieux dans un modèle de cybersécurité Zero Trust.

Le rôle d'un caissier dans une entreprise de vente au détail offre une analogie utile. La plupart du temps, la caisse enregistreuse reste verrouillée. Elle ne s'ouvre que lorsqu'une transaction nécessite que le caissier y accède. Une fois la transaction terminée, le tiroir se verrouille à nouveau automatiquement. Comme avec ZSP, il n'y a pas de bouton constamment présent que le caissier peut appuyer pour l'ouvrir quand il le souhaite.

Exemple ZSP

Pour comprendre le fonctionnement de ZSP, suivons ce qui se passe lorsqu'un administrateur nommé Alex doit obtenir un accès privilégié à une ressource informatique sensible afin d'effectuer une tâche qui lui a été assignée :

1. Alex soumet une demande qui détaille la tâche et les privilèges nécessaires pour la compléter.
2. Lorsque la demande est approuvée, la solution ZSP crée une identité temporaire avec juste assez de privilèges pour réaliser la tâche.
3. La tâche est effectuée soit de manière interactive par Alex (par exemple, en utilisant RDP vers un serveur) soit par le système en son nom (par exemple, en redémarrant un serveur).
4. Lorsque la tâche est terminée, l'identité temporaire est supprimée automatiquement.

Éléments clés de ZSP

Comme l'exemple l'illustre, le modèle ZSP repose sur la fourniture d'un accès limité pendant une fenêtre de temps limitée. Par conséquent, les outils ZSP doivent offrir à la fois un accès juste-à-temps (JIT) et des privilèges strictement nécessaires (moindre privilège).

• Accès JIT — Les utilisateurs n'ont pas de comptes privilégiés permanents. Au lieu de cela, ils se voient accorder des droits d'accès élevés lorsqu'ils en ont besoin, et uniquement pour le temps nécessaire à l'exécution de leur tâche spécifique.
• Privilège juste-nécessaire — Le principe du moindre privilège dicte que chaque compte ne doit recevoir que les droits d'accès nécessaires pour les tâches qui lui sont assignées. Les solutions ZSP doivent respecter ce principe lors de la provision JIT des privilèges et n'accorder à l'utilisateur que les droits d'accès dont il a besoin pour les applications spécifiques, systèmes ou autres ressources informatiques requises pour la tâche à accomplir.

Capacités supplémentaires précieuses de ZSP

Les solutions ZSP avancées offrent des capacités supplémentaires précieuses, telles que :

• Workflows de demande et d'approbation — Dans la plupart des cas, une demande de session privilégiée doit être examinée par le personnel approprié, qui peut l'approuver ou la refuser. Les workflows automatisés rationalisent ce processus et peuvent donc être essentiels pour l'acceptation et l'adoption de la solution.
• Surveillance en temps réel des sessions — La surveillance continue de l'activité privilégiée est essentielle pour la détection et l'atténuation en temps réel des comportements suspects, des erreurs et d'autres actions potentiellement nuisibles.
• Enregistrement et lecture des sessions — Pouvoir revoir les enregistrements de sessions est inestimable pour les enquêtes et la responsabilité individuelle. Et disposer d'un historique d'audit complet de l'activité privilégiée peut être requis lors des audits de conformité.

Comment Netwrix peut aider

La solution Netwrix Privileged Access Management (PAM) vous permet de mettre en œuvre les meilleures pratiques de PAM et de réduire les risques associés à l'accès privilégié. Cette solution PAM de pointe identifiera les privilèges permanents et les remplacera par un accès juste-à-temps, juste-suffisant. Elle fournit également des flux de travail automatisés de demande/approbation et vous permet de surveiller, enregistrer et rejouer les sessions privilégiées afin de pouvoir intercepter les menaces avant qu'elles ne s'aggravent. De plus, sa suite complète de fonctionnalités de pointe constitue une partie précieuse d'une stratégie Zero Trust plus large.