Pendant des années, les opérations liées à l’identité et à la sécurité ont souvent été considérées comme des disciplines distinctes, et les équipes chargées de l’identité se concentraient sur une question familière : « Qui devrait avoir accès à quoi ? » Le SOC, quant à lui, se concentrait sur une autre question : « Que se passe-t-il dans notre environnement, et cette activité est-elle malveillante ? »

Dans un monde dominé par le cloud, le SaaS, l’accès à distance, les comptes privilégiés, les API, les identités machine et les identités basées sur l’IA, les attaquants n’ont pas toujours besoin de « s’introduire » au sens traditionnel du terme. Parfois, il leur suffit simplement de se connecter.

À mon sens, cela modifie le rôle de l’identité. Celle-ci est devenue une source essentielle de contexte, de contrôle et de capacité de réaction pour le SOC moderne.

Pourquoi le SOC a-t-il besoin de l’identité pour établir le contexte ?

Une connexion réussie confirme qu’un compte a été authentifié. Elle ne permet toutefois pas de déterminer si la personne ou le processus qui l’utilise est légitime, si ses autorisations sont appropriées ou si l’activité qui s’ensuit est digne de confiance.

Les équipes chargées des opérations de sécurité collectent des données télémétriques provenant des terminaux, des réseaux, des plateformes cloud et des applications. Les plateformes de gestion des informations et des événements de sécurité (SIEM) et de détection et de réponse étendues (XDR) permettent de regrouper ces signaux.

Mais un événement dépourvu de contexte d’identité ne peut révéler qu’une partie de la réalité.

Prenons l’exemple d’un compte privilégié qui se connecte avec succès. L’authentification en elle-même peut sembler légitime, mais les équipes de sécurité doivent se poser des questions plus précises :

• S’agit-il d’une identité humaine, d’un compte de service, d’une charge de travail, d’une machine ou d’un agent d’IA ?
• À quelles applications et données a-t-il accès ?
• Quel est le niveau de privilège de ce compte, et ces privilèges ont-ils été accordés récemment ?
• La connexion provient-elle d’un emplacement attendu ?
• Le cas échéant, existe-t-il un ticket ou une demande approuvée justifiant cet accès privilégié ?
• Ce comportement est-il normal pour cette identité ?
• Que doit-on faire si le compte a été compromis ?

Ces réponses aident les analystes à évaluer à la fois la probabilité d’une compromission et son impact potentiel. Une connexion inhabituelle impliquant un compte à accès limité présente un risque différent de celle impliquant un administrateur capable d’accéder à des systèmes critiques.

Les équipes chargées de la gestion des identités maîtrisent l’authentification, les droits d’accès, les rôles, les privilèges et le cycle de vie des accès. Les équipes du SOC apportent leur expertise en matière de détection, d’enquête, de corrélation et de réponse. La mise en commun de ces connaissances renforce l’efficacité des deux équipes.

Comment la gestion des identités améliore-t-elle les enquêtes du SOC ?

Le contexte lié à l’identité aide les analystes à relier une activité aux autorisations d’un compte, à son comportement attendu et à sa portée potentielle. Cela leur fournit une base plus solide pour décider des éléments à examiner et du degré d’urgence avec lequel il convient d’agir.

Une simple connexion ne révèle souvent pas grand-chose. En revanche, une connexion impliquant une identité dotée de privilèges élevés, suivie d’un accès inhabituel à des données sensibles et d’un comportement inattendu, constitue un motif d’enquête bien plus clair.

Les analystes doivent déterminer si cette activité est cohérente avec l’identité concernée. Ses autorisations ont-elles été modifiées récemment ? Accède-t-elle à des systèmes ne relevant pas de ses responsabilités habituelles ? Ce compte pourrait-il servir de passerelle vers d’autres parties de l’organisation ?

La combinaison des informations d’identité avec la télémétrie des terminaux, du cloud, du réseau et des applications aide à répondre à ces questions.

L’objectif doit être d’obtenir un meilleur contexte. Un nombre accru d’alertes n’a qu’une valeur limitée si les analystes ne parviennent toujours pas à déterminer de quel compte il s’agit, à quoi il a accès ou pourquoi cette activité est significative.

Comment le contexte d’identité peut-il soutenir la réponse aux incidents ?

Comprendre les droits d’accès et le rôle métier d’une identité aide le SOC à choisir une réponse proportionnée face à une compromission présumée.

En fonction de l’environnement et des contrôles disponibles, cette réponse pourrait inclure la révocation des sessions actives, l’exigence d’une authentification supplémentaire, la suppression de privilèges, la restriction d’accès ou la désactivation d’un compte.

Ces décisions doivent être mûrement réfléchies. La désactivation d’un compte d’employé et celle d’un compte de service prenant en charge une application critique peuvent avoir des conséquences opérationnelles très différentes.

Les équipes chargées de la gestion des identités peuvent aider le SOC à comprendre ces interdépendances. Les équipes des opérations de sécurité peuvent expliquer le comportement observé, les indices de compromission et l’urgence des mesures de confinement.

Une répartition claire des responsabilités et des procédures d’intervention convenues permettent aux équipes d’agir avec davantage d’assurance lorsqu’un incident survient.

Comment le SOC peut-il améliorer la gestion des identités ?

Les avantages sont réciproques. Les informations relatives aux identités renforcent les enquêtes de sécurité, tandis que les constatations du SOC peuvent révéler des risques d’accès que les processus de gouvernance, à eux seuls, pourraient ne pas détecter.

Historiquement, de nombreux programmes de gestion des identités se sont concentrés sur les politiques et la gouvernance : cette personne devrait-elle avoir accès à ce système ?

Les opérations de sécurité soulèvent une autre question importante : que fait-elle réellement avec cet accès ?

Un droit d’accès peut être approuvé et techniquement valide, alors que le comportement qui y est associé justifie une enquête. Un compte pourrait commencer à accéder à des applications inconnues, à récupérer des volumes inhabituels de données ou à utiliser des privilèges d’une manière qui ne correspond pas à sa finalité.

Le fait de réinjecter ces conclusions dans les processus de gestion des identités peut éclairer les réévaluations d’accès, les modifications de privilèges et les enquêtes approfondies. Cela aide également les organisations à évaluer les risques liés aux identités entre deux réévaluations programmées.

Cela s’applique aussi bien aux identités humaines qu’aux identités machines et à celles liées à l’IA. Il est essentiel de comprendre ce qu’une identité est autorisée à faire. Comprendre comment elle utilise ces autorisations apporte un niveau supplémentaire de compréhension.

Rapprocher les opérations liées aux identités et à la sécurité

Une collaboration plus étroite nécessite davantage que le simple envoi des journaux d’identité vers un SIEM. Les équipes doivent partager une compréhension commune de la responsabilité des identités, des droits d’accès, des comportements attendus et de l’impact métier des mesures de réponse.

Un point de départ concret consiste à mettre à disposition les informations relatives à l’authentification, aux autorisations et aux privilèges lors des enquêtes menées par le SOC. Les équipes doivent également s’accorder sur la manière dont les cas suspects de compromission de compte seront traités et sur la façon dont les conclusions des enquêtes seront prises en compte dans les décisions d’accès.

Les équipes chargées de la gestion des identités contribuent à définir ce que constitue un accès approprié. Les équipes du SOC aident à identifier les cas où le comportement réel remet en cause ces hypothèses.

À mes yeux, c’est là le changement fondamental : la gestion des identités indique au SOC ce qu’une identité est autorisée à faire. Le SOC montre aux équipes chargées de la gestion des identités ce qu’elle fait réellement.

Ensemble, ces perspectives aident les organisations à prendre de meilleures décisions en matière d’accès, d’enquête et d’intervention.

Contactez Integrity360 pour savoir comment rapprocher vos équipes chargées de la gestion des identités et de la sécurité.

Foire aux questions

Qu'est-ce que la sécurité des identités ?

La sécurité des identités protège les comptes et les droits d'accès utilisés par les personnes, les machines, les applications et les agents d'IA. Elle aide les organisations à contrôler qui peut accéder aux systèmes et aux données, ce que ces personnes peuvent faire et à quel moment cet accès doit être modifié ou supprimé.

Pourquoi la sécurité des identités est-elle importante pour le SOC ?

La sécurité des identités fournit au SOC des informations contextuelles sur la propriété des comptes, les autorisations et le comportement attendu. Cela aide les analystes à distinguer les activités légitimes d’une compromission potentielle, à évaluer quels systèmes pourraient être affectés et à décider de la réponse à apporter.

De quelles informations d’identité le SOC a-t-il besoin ?

Les informations utiles comprennent l’activité d’authentification, la propriété des comptes, les rôles, les autorisations d’accès, les modifications de privilèges et le statut du cycle de vie. En combinant ces données avec celles relatives aux terminaux, au réseau, au cloud et aux applications, les analystes peuvent enquêter plus efficacement sur les comportements suspects.

Un compte disposant d’un accès approuvé peut-il tout de même présenter un risque de sécurité ?

Oui. Un attaquant peut abuser des autorisations légitimes d’un compte compromis. Un utilisateur autorisé peut également abuser de son accès. Les équipes de sécurité doivent donc comprendre à la fois ce qu’un compte est autorisé à faire et la manière dont il utilise réellement cet accès.

Comment les conclusions du SOC peuvent-elles améliorer la gouvernance des accès ?

Les enquêtes du SOC permettent d’identifier des accès inattendus, des abus de privilèges ou des comportements justifiant une révision des autorisations. L’intégration de ces conclusions dans les processus de gestion des identités aide les organisations à réévaluer les accès lorsque des risques apparaissent, en complément des révisions programmées.

Comment les équipes chargées de la gestion des identités et le SOC doivent-ils réagir face à un compte compromis ?

Les équipes doivent coordonner les mesures de confinement en fonction des preuves, des autorisations du compte et de son rôle métier. Les actions peuvent inclure la révocation des sessions, la réinitialisation des identifiants, la suppression des privilèges ou la désactivation du compte. Des procédures convenues aident les équipes à agir rapidement tout en tenant compte de l’impact sur les opérations métier.