Comment protéger les identités non humaines (NHI)

Les identités non humaines sont devenues l’une des surfaces d’attaque les plus négligées et les plus exploitées des entreprises modernes. Les NHI (ou « non-human identities » en anglais) sont des entités qui interagissent avec les systèmes et les services mais ne sont pas liées à un utilisateur physique. Alors que les organisations se développent dans des environnements hybrides et multicloud, des milliers d’identités basées sur des machines exécutent des opérations critiques en silence, mais la plupart sont non gérées, invisibles et vulnérables à l’abus.

Vous pouvez protéger les NHI en appliquant des pratiques modernes de gestion des secrets, en appliquant le moindre privilège, en effectuant la rotation des identifiants et en surveillant l’accès aux systèmes sensibles.

Les risques liés aux NHI non gérées

L’entreprise moyenne gère des milliers de NHI. Beaucoup fonctionnent avec un accès persistant, des privilèges accrus et peu de supervision. En l’absence d’une gouvernance appropriée, les NHI deviennent pour les cybercriminels une cible à faible effort et à forte rentabilité.

La plupart des vulnérabilités proviennent de quelques modèles récurrents :

• Secrets codés en dur dans des référentiels de code ou des fichiers de configuration
• Comptes de services partagés sans propriété ni traçabilité
• Identifiants statiques qui ne sont jamais renouvelés ni expirés
• Accès trop permissif accordé par défaut et jamais révoqué

Défis de la sécurisation des NHI

Les NHI sont fondamentalement différents des utilisateurs humains, mais la plupart des organisations s’appuient toujours sur des outils de gestion des identités et des accès (IAM) centrés sur l’humain pour essayer de les sécuriser. Le résultat est un écart de visibilité croissant et des contrôles incohérents qui exposent les identifiants de la machine.

Les systèmes de gestion des identités et des accès traditionnels n’ont pas été conçus pour les charges de travail, les conteneurs, les comptes de service ou l’infrastructure cloud éphémère. Bien qu’ils excellent dans la gestion de l’accès des employés, ils négligent souvent le comportement des NHI et les risques qu’ils engendrent.

Voici quelques défis à relever pour obtenir des NHI :

• Visibilité limitée : les NHI passent souvent inaperçues. Leur intégration, leur suppression ou leur suivi n’est pas effectué de la même manière que pour les comptes d’utilisateurs, ainsi leur nombre, leur emplacement et les accès accordés sont difficilement identifiés.
• Pas de propriété claire : la responsabilité des identités des machines est souvent répartie entre DevOps, l’informatique, la sécurité et l’ingénierie, ce qui entraîne une responsabilité floue et des politiques incohérentes.
• Fragmentation des identifiants : les secrets sont gérés différemment selon les environnements. Une équipe peut utiliser des fichiers de configuration en texte brut, une autre peut stocker des identifiants dans les pipelines CI/CD et les services cloud natifs peuvent s’appuyer sur des mécanismes d’identité intégrés avec une surveillance minimale.
• Accès excessif et persistant : les NHI bénéficient généralement de larges autorisations et peuvent fonctionner indéfiniment, souvent avec les mêmes identifiants qu’ils ont créés, violant ainsi le principe de moindre privilège (PoLP) et l’absence de privilège permanent.
• Lacunes de politique : les politiques de gestion des identités et des accès conçues pour les personnes ne se traduisent pas clairement en identités machines. L’application de contrôles d’accès, d’authentification multifactorielle (MFA) ou de journalisation des audits à un conteneur ou à un script headless nécessite des outils et une automatisation spécialement conçus.

Ces lacunes facilitent l’exploitation des NHI par les cybercriminels et rendent difficile pour l’informatique de détecter ou de réagir lorsqu’ils le font.

5 façons de protéger les identités non humaines

Voici cinq façons de réduire les risques et de prendre le contrôle des accès basés sur machine dans votre environnement.

1. Utiliser un système centralisé de gestion des secrets

Les secrets ne doivent jamais être stockés en texte brut, codés en dur dans le code source ou transmis manuellement d’un système à l’autre. Une plateforme centralisée de gestion des secrets garantit que les identifiants sont chiffrés, soumis à des contrôles d’accès et gérés tout au long de leur cycle de vie.

Avec Keeper Secrets Manager®, les identifiants peuvent être stockés, récupérés et tournés en toute sécurité via une API, aidant les organisations à réduire l’étalement des secrets, à automatiser les flux de travail et à appliquer des politiques cohérentes dans les environnements cloud et locaux.

2. Faire tourner automatiquement les identifiants

Les identifiants permanents créent une surface d’attaque persistante. La rotation automatique réduit ce risque en mettant régulièrement à jour les mots de passe, les jetons d’API, les clés SSH et autres secrets, afin de garantir leur courte durée de vie et leur sécurité. Avec une plateforme comme KeeperPAM® – y compris Keeper Secrets Manager – les identifiants peuvent être renouvelés automatiquement selon un calendrier défini, après chaque utilisation ou lorsque les systèmes sont mis à jour ou redéployés.

Il s’agit d’une étape importante vers l’élimination de la réutilisation des identifiants et l’application d’un modèle d’absence de privilège permanent dans votre environnement.

3. Appliquer le principe du moindre privilège aux NHI

Chaque identité de machine ne devrait avoir que l’accès dont elle a besoin pour faire son travail, rien de plus. Commencez par définir des politiques de moindre privilège pour chaque application ou charge de travail en fonction de son rôle spécifique. Supprimez toutes les autorisations par défaut ou héritées qui ne sont pas nécessaires, et utilisez les contrôles d’accès basés sur les rôles (RBAC) pour garantir un accès précis et cohérent à tous les environnements.

4. Appliquer un accès limité dans le temps et audité

Les NHI fonctionnent souvent en continu, mais cela ne signifie pas qu’ils ont besoin d’un accès permanent. L’accès juste-à-temps (JIT) ne fournit les identifiants que lorsque nécessaire, puis les révoque immédiatement après utilisation, réduisant ainsi le risque d’utilisation abusive.

Cela est rendu possible par KeeperPAM grâce à la fourniture d’un accès temporaire, celui-ci étant associé à des tâches ou à des sessions bien précises. Chaque activité est consignée en temps réel et peut être associée à un enregistrement de session, ce par quoi une visibilité totale et une capacité d’audit sont permises.

5. Découvrir et gérer en permanence les NHI

Pour gérer efficacement les NHI, les organisations doivent découvrir en permanence les comptes de service, les identités cloud et les identifiants des charges de travail, puis les évaluer et les gouverner. Cela inclut l’identification des identifiants orphelins ou périmés, l’audit des modèles de privilèges et d’utilisation et l’utilisation de l’automatisation pour signaler ou supprimer les identités qui ne sont plus utilisées.

Prévenir l’expansion des NHI n’est pas un effort ponctuel ; cela nécessite une surveillance continue et une gestion de cycle de vie dans tous les environnements.

Ne laissez pas les NHI devenir un angle mort

Alors que le volume et la complexité des NHI ne cessent de croître, elles constituent une menace importante si elles ne sont pas gérées. Les organisations qui ne sécurisent pas ces identités s’exposent au vol d’identifiants, à la violation de données et au mouvement latéral.

KeeperPAM aide les organisations à obtenir une visibilité et un contrôle complets sur tous les accès privilégiés, qu’ils soient humains ou non. Conçu pour l’infrastructure hybride, KeeperPAM combine la gestion des secrets, la rotation des mots de passe, l’enregistrement des sessions et l’accès JIT dans une plateforme cloud-native unique.