Gestion des accès à privilèges (PAM)
Ensemble des outils et procédures qui contrôlent, limitent et tracent l'usage des comptes administrateurs, dont la compromission transforme une intrusion ordinaire en prise de contrôle totale.
Les comptes à privilèges, administrateurs de domaine, comptes de service, accès root, comptes des consoles cloud, permettent de tout faire sur un système : créer des utilisateurs, désactiver les protections, effacer les sauvegardes, déployer un logiciel sur toutes les machines. Leur compromission est donc l'étape que cherche tout attaquant sérieux, et celle qui fait passer un incident local à un sinistre généralisé. La gestion des accès à privilèges regroupe les pratiques qui réduisent ce risque : inventaire des comptes, suppression des droits permanents au profit d'élévations temporaires, conservation des secrets dans un coffre-fort qui les renouvelle automatiquement, authentification forte, enregistrement des sessions et alerte sur les usages anormaux. Pour l'assurance, cette mesure agit à la fois sur la fréquence, en fermant un chemin d'escalade, et sur la sévérité, en empêchant la destruction des sauvegardes et le déploiement massif d'un rançongiciel. Les questionnaires de souscription l'interrogent de plus en plus précisément, parce que l'authentification multifacteur sur les seuls accès distants ne protège pas un compte administrateur dont le mot de passe traîne dans un script.
En septembre 2022, un attaquant entré chez Uber par ingénierie sociale a trouvé, sur un partage réseau, un script contenant en clair les identifiants administrateur de l'outil de gestion des accès à privilèges de l'entreprise, ce qui lui a ouvert l'accès à de nombreux systèmes internes et consoles cloud.
PAM, privileged access management, coffre-fort d'identifiants
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.