PAM 
KeeperDB est un client de base de données multiprotocole sécurisé, reposant sur la plateforme zero-knowledge de Keeper. Disponible à la fois sous forme d’application de bureau
La principale différence entre l’absence de privilège permanent (
Poursuivez votre lecture pour en savoir plus sur chaque modèle, leurs principales différences, et pourquoi les organisations devraient mettre en œuvre les deux.
Qu’est-ce que l’absence de privilège permanent ?
L’absence de privilège permanent (ZSP) élimine les accès privilégiés permanents pour chaque identité (humaine comme machine) au sein d’une organisation. Dans le cadre de l’absence de privilège permanent (ZSP), aucune identité ne dispose d’un accès privilégié par défaut. Les utilisateurs demandent plutôt un accès éphémère pour chaque tâche, et ces privilèges sont automatiquement révoqués une fois la tâche accomplie. L’objectif du ZSP est qu’aucun compte ne dispose d’un accès permanent qu’un pirate pourrait exploiter.
Le ZSP fonctionne en évaluant chaque demande d’accès à l’exécution plutôt qu’en provisionnant l’accès à l’avance. Lorsqu’un utilisateur demande un accès, la politique évalue la demande en temps réel afin de déterminer si l’accès demandé est approprié en fonction de l’identité de l’auteur de la demande, de l’accès demandé et des conditions applicables. Si c’est le cas, seuls les privilèges minimaux spécifiques à la tâche sont accordés, et cet accès expire dès que la tâche est terminée. Cela garantit que les privilèges n’existent que pendant la brève période où ils sont réellement utilisés.
Mettre en œuvre le ZSP est essentiel, car les accès permanents constituent l’une des surfaces d’attaque les plus persistantes dans tout environnement. Les droits d’accès permanents ont tendance à s’accumuler au fil du temps, un phénomène connu sous le nom d’accumulation des privilèges. Si un pirate compromet un compte disposant d’un accès permanent, il peut se déplacer latéralement dans un réseau et élever ses privilèges afin de causer des dommages généralisés. En accordant des privilèges uniquement lorsque cela est nécessaire et pour la durée requise, le modèle ZSP réduit considérablement cette fenêtre d’attaque et limite le rayon d’impact de tout identifiant compromis.
Qu’est-ce que le principe du moindre privilège (PoLP) ?
Le principe du moindre privilège (PoLP) est un concept selon lequel chaque identité ne se voit accorder que l’accès minimum nécessaire pour accomplir ses tâches, et rien de plus. La mise en œuvre du moindre privilège s’applique non seulement aux personnes, mais aussi aux applications, aux appareils et aux systèmes. En limitant chaque identité aux seules données et aux seuls systèmes dont elle a réellement besoin, le principe du moindre privilège restreint ce à quoi un utilisateur peut accéder et empêche les modifications non autorisées. Le moindre privilège est un contrôle fondamental pour minimiser la surface d’attaque, réduire les menaces internes et limiter le mouvement latéral si un compte venait à être compromis.
La moindre privilège à ses limites dans la mesure où il ne définit que l’étendue de l’accès d’une identité, et pas nécessairement la durée pendant laquelle elle conserve cet accès. Les autorisations sont généralement attribuées en fonction d’un rôle, puis laissées en place, de sorte à maintenir cet accès même après l’accomplissement de la tâche, au lieu de le révoquer. Le résultat est un accès permanent : des privilèges qui persistent indéfiniment alors même qu’ils ne sont plus nécessaires. Même une configuration de moindre privilège parfaitement définie peut laisser une surface d’attaque permanente ; c’est précisément pour cette raison que le ZSP est important pour combler cette lacune.
Les principales différences entre l’absence de privilège permanent et le moindre privilège
L’une des principales différences entre le ZSP et le moindre privilège peut se résumer en une opposition étendue/temps. En clair, le moindre privilège limite vos accès, tandis que le ZSP limite vos accès et leur durée. Cela fait du ZSP l’évolution naturelle du moindre privilège, reprenant le même objectif de réduction des risques en y ajoutant une dimension temporelle. Voici un comparatif entre le ZSP et le moindre privilège.
| Zero standing privilege | Least privilege | |
|---|---|---|
| Main focus | Access scope and time | Access scope |
| Default state | Zero access by default | Baseline access is assigned and persists |
| Access duration | Temporary, auto-revoked access | Ongoing, permanent access |
| Time dimension | Central to the model | Not addressed |
| How access is granted | Provisioned on request, evaluated at execution time | Provisioned ahead of need through roles |
Comment l’absence de privilège permanent et le moindre privilège fonctionnent ensemble
L’absence de privilège permanent et le moindre privilège sont conçus pour fonctionner ensemble, le moindre privilège servant de fondement à l’absence de privilège permanent (ZSP). Les organisations ne peuvent pas réellement éliminer les accès permanents sans d’abord savoir à quoi ressemble l’accès minimum nécessaire pour chaque identité. Le moindre privilège indique aux organisations le niveau d’accès qu’un utilisateur devrait avoir, et ZSP garantit que les utilisateurs ne disposent de cet accès que pendant une période temporaire. Une bonne façon d’envisager cela est de considérer le ZSP comme le produit du moindre privilège, de l’accès juste-à-temps (JIT) et de la révocation automatique. Le moindre privilège définit le périmètre minimal, l’accès JIT accorde cet accès en temps réel et la révocation automatique garantit que rien ne subsiste sous forme de privilège permanent. La combinaison des trois aboutit à une absence de privilège permanent : le niveau d’accès adéquat, accordé uniquement lorsque cela est nécessaire et révoqué dès qu’il ne l’est plus.
Comment mettre en œuvre l’absence de privilège permanent
La transition vers le ZSP est un processus progressif pour la plupart des organisations. Puisque le ZSP repose sur le moindre privilège, de nombreuses équipes parviennent au ZSP en restreignant d’abord le périmètre d’accès, puis en supprimant les accès permanents restants. Voici comment aborder le ZSP :
- Faites l’inventaire des accès permanents et déterminez dans quels processus ils persistent. Commencez par cartographier chaque identité humaine et machine, en notant l’accès que chacune détient. Recherchez plus particulièrement les autorisations qui subsistent au-delà des fonctions qu’elles régulent, comme les comptes liés à des projets terminés ou les comptes de service disposant d’un accès étendu. Un tel audit révèlera où se concentre l’accumulation de privilèges et fournira une liste hiérarchisée des accès permanents à éliminer en priorité.
- Appliquez le moindre privilège par défaut. Avant de supprimer les accès permanents, les organisations doivent définir clairement l’accès minimal dont chaque identité a réellement besoin. Utilisez le contrôle d’accès basé sur les rôles (RBAC) pour attribuer des autorisations en fonction des responsabilités professionnelles et supprimez tout ce qui dépasse les besoins réels d’un rôle. En faisant du moindre privilège la norme, vous aurez la garantie que, lorsqu’un accès est accordé, son champ d’application est d’emblée aussi restreint que possible.
- Associez l’accès JIT à une expiration automatique. Cette étape transforme le moindre privilège en ZSP. Au lieu de laisser les autorisations attribuées de manière permanente dans un périmètre limité, accordez-les uniquement lorsqu’un utilisateur ou une charge de travail les demande pour une tâche spécifique, et configurez-les pour qu’elles expirent automatiquement une fois la tâche terminée ou le temps imparti écoulé. L’accès limité dans le temps garantit que les privilèges n’existent que pendant leur utilisation active.
- Ajoutez des flux d’approbation et des pistes d’audit détaillées. Chaque demande d’accès doit faire l’objet d’un contrôle des politiques ou d’une étape d’approbation qui vérifie qui demande l’accès, quel accès est demandé et dans quel but, avant que les privilèges ne soient accordés. Associez cela à une journalisation complète et à l’enregistrement de sessions pour bénéficier d’une visibilité totale sur les personnes qui ont accédé à certains systèmes, le moment où elles y ont accédé et les actions qu’elles ont effectuées. Ces pistes d’audit simplifient la détection des activités suspectes et démontrent une conformité aux cadres réglementaires.
- Étendre le ZSP aux identités non humaines (NHI) avec des identifiants éphémères. Les comptes de service, les applications et les agents d’IA disposent souvent de certains des accès permanents les plus puissants dans un environnement. C’est pourquoi les organisations doivent leur appliquer les mêmes principes qu’aux utilisateurs humains, en remplaçant les identifiants statiques et de longue durée par une rotation automatique d’identifiants éphémères, et en n’accordant un accès aux identités machine que pendant la durée nécessaire à l’accomplissement d’une tâche. Sachant que les NHI dépassent largement en nombre les humains, selon un ratio d’environ 144:1, dans les environnements cloud-native, les intégrer dans un modèle ZSP est essentiel pour sécuriser l’ensemble des identités.
Appliquez l’absence de privilège permanent avec Keeper
Le ZSP et le moindre privilège fonctionnent mieux lorsqu’ils sont combinés dans la même stratégie. L’application du ZSP implique de faire du moindre privilège une norme, d’y superposer un accès JIT avec expiration automatique et d’étendre ces contrôles à toutes les identités. Une solution de sécurité des identités cloud-native et zero knowledge comme KeeperPAM® aide les organisations à appliquer le moindre privilège et à progresser vers le modèle ZSP grâce au RBAC, à l’accès JIT et à un audit avancé au sein d’une plateforme unifiée. En accordant l’accès uniquement lorsque cela est nécessaire et en le révoquant automatiquement, KeeperPAM réduit votre surface d’attaque à une fenêtre d’utilisation active restreinte, contribuant ainsi à éviter que les privilèges permanents ne deviennent source de risque.
Demandez une démonstration de KeeperPAM pour découvrir comment mettre en place le moindre privilège et le ZSP au sein de votre organisation.
