Détection cloud hybride : guide à l'intention des responsables de la sécurité pour assurer cloud entre les environnements sur site et cloud

La plupart cloud en 2025 n’ont pas commencé par une faille d’exploitation inhabituelle. Elles ont pris naissance là où l’identité sur site rencontre cloud . Une étude sur les menaces publiées début 2026 a révélé que la majorité des cloud provenaient de faiblesses au niveau des contrôles d’identité, de la configuration des charges de travail etcloud — et non de failles « zero-day » (Dark Reading). Cette seule constatation redéfinit les priorités des responsables de la sécurité des environnements hybrides. Le travail ne consiste pas à appliquer des correctifs plus rapidement que les attaquants ne peuvent exploiter les CVE. Le travail consiste à surveiller le pont entre votre Active Directory sur site et votre cloud , car c'est par là que les attaquants s'engouffrent réellement.

Ce guide explique ce qu’est la détection cloud hybride, comment elle fonctionne au niveau du trafic est-ouest, des événements liés à l’identité et de la télémétrie des charges de travail, ainsi que MITRE ATT&CK spécifiques MITRE ATT&CK que les petites équipes de SOC doivent être prêtes à détecter dès aujourd’hui. Il met en correspondance les schémas d’attaque hybrides canoniques — l’évolution de Storm-0501 vers un ransomware cloud, les ponts d’identité via des jetons OAuth de ShinyHunters vers Snowflake — avec les sources de télémétrie que vous pouvez réellement collecter. Il compare les solutions NDR, CDR, CNAPP, ITDR et XDR en termes de couverture hybride afin que vous puissiez rationaliser ces cinq acronymes qui se recoupent et prendre une décision d'achat justifiée. Il établit également une correspondance entre ces résultats et les normes NIS2, DORA et NIST CSF 2.0.

Qu'est-ce que la détection cloud hybride ?

La détection cloud hybride consiste à identifier et à analyser les activités des attaquants qui s'étendent à la fois à l'infrastructure sur site et à un ou plusieurs cloud public, en accordant une attention particulière aux signaux liés à l'identité, au réseau et aux charges de travail qui transitent par le cloud reliant l'environnement sur site cloud . Elle considère ce pont — et non le périmètre — comme la principale surface d'attaque.

Ce changement de perspective est important car les données ont évolué. Selon l'étude « Cost of a Data Breach » (2025) du Ponemon Institute, les violations impliquant plusieurs environnements — la configuration hybride — ont coûté en moyenne 5,05 millions de dollars, soit le montant le plus élevé parmi toutes les catégories d'environnements et environ 25 % de plus que les violations survenant uniquement sur site (article sur Dark Reading). Et dans une enquête de 2025 cloud hybride menée auprès de 1 021 responsables de la sécurité et de l'informatique, 55 % des personnes interrogées ont déclaré que leur organisation avait subi une violation au cours de l'année écoulée, ce qui représente une augmentation significative par rapport à l'année précédente. Les attaquants ne trouvent pas les environnements hybrides difficiles à pirater. Ce sont les défenseurs qui ont du mal.

La difficulté particulière des environnements hybrides tient essentiellement à la fragmentation des données. Les équipes sur site exploitent un système SIEM qui ingère les journaux d'Active Directory et du pare-feu. Cloud collectent les journaux d'audit cloud dans une console distincte. Les équipes chargées de la gestion des identités surveillent les connexions via Entra ID. Les équipes réseau surveillent le trafic est-ouest… quand elles y parviennent. Aucun de ces outils, pris isolément, ne permet de visualiser la chronologie complète d'une attaque hybride. La détection cloud hybride consiste précisément à relier ces éléments entre eux.

Cette approche se distingue de la détection cloud(CDR), qui se limite aux cloud et au plan cloud , ainsi que de la détection traditionnelle exclusivement sur site, qui s'arrête au périmètre. Elle vient compléter les disciplines plus larges cloud hybride et cloud , mais sa mission spécifique consiste à assurer la détection sur l'ensemble du pont.

Comment fonctionne la détection cloud hybride

Au niveau des processus, la détection cloud hybride suit huit étapes reproductibles :

1. Collecter des données de télémétrie provenant du réseau sur site, des journaux cloud et des systèmes d'identité.
2. Définir des profils de référence comportementaux par appareil, identité et charge de travail.
3. Mettre en corrélation le trafic est-ouest avec les événements liés à l'identité dans tous les environnements.
4. Détecter les anomalies qui touchent à la fois les environnements sur site et cloud par exemple, une compromission d'Entra Connect Sync).
5. Mapper les détections à MITRE ATT&CKCloud .
6. Effectuez des analyses à l'aide d'une chronologie intégrée couvrant à la fois les environnements sur site et cloud.
7. Réagissez en gérant simultanément l'identité, le réseau et la charge de travail.
8. Affiner en permanence les références à partir des commentaires des analystes.

Trois sources de signaux assurent l'essentiel du travail : le trafic réseau est-ouest, les événements d'identité transitant par le pont entre Entra ID et Active Directory sur site, ainsi que la télémétrie des charges de travail des deux côtés. Les mécanismes techniques sous-jacents sont présents dans chacune de ces sources.

Visibilité du trafic est-ouest entre les environnements sur site et cloud

Le trafic nord-sud traverse le périmètre du réseau. Le trafic est-ouest se déplace latéralement entre les systèmes — de serveur à serveur, de machine virtuelle à machine virtuelle, de conteneur à conteneur. Les outils de périmètre détectent le trafic nord-sud. Par conception, ils ne perçoivent pas le trafic est-ouest. C'est dans cette zone d'aveuglement que les attaquants dissimulent leurs mouvements latéraux.

Pour combler cette lacune, il faut installer des capteurs là où le trafic est-ouest circule réellement. Sur site, cela correspond aux TAP et aux ports SPAN situés aux points d'agrégation du réseau. Dans cloud, cela correspond à la mise en miroir du trafic VPC sur AWS, aux TAP virtuels sur Azure et à la mise en miroir des paquets sur GCP. Le résultat obtenu est constitué de métadonnées réseau — enregistrements de connexion, en-têtes de protocole, empreintes JA3/JA4 — et non de captures complètes de paquets. Les métadonnées sont peu coûteuses à conserver et suffisamment riches pour permettre une analyse comportementale.

Le chiffrement constitue le prochain obstacle. Selon les chiffres avancés par le secteur, le trafic d'entreprise chiffré dépasse les 80 %, et cette tendance ne fait que s'accentuer. Le déchiffrement du trafic est-ouest à grande échelle est une option inenvisageable pour la plupart des équipes : trop coûteux, trop risqué et souvent trop bruyant. L'approche moderne considère le trafic chiffré comme un ensemble de fonctionnalités plutôt que comme un obstacle. JA3 et la nouvelle famille JA4 identifient les clients TLS à partir des paramètres de la poignée de main. L'analyse du trafic chiffré (ETA) superpose des métadonnées comportementales — taille des paquets, timing, schémas de séquence — par-dessus. Ensemble, elles permettent aux défenseurs d'identifier, par exemple, Cobalt Strike grâce à leur empreinte TLS et à leur cadence de balisage constantes, sans jamais mettre fin à la session TLS. Dans cette même enquête de 2025 cloud hybride menée auprès de 1 021 responsables de la sécurité et de l'informatique, 89 % des personnes interrogées ont déclaré que l'observabilité approfondie — combinant journaux, métriques et métadonnées de paquets — était fondamentale pour leur stratégie de sécurité.

Détection tenant compte de l'identité via le pont entre Entra ID et Active Directory sur site

L'identité hybride s'apparente à une porte coulissante en verre. De l'intérieur, elle donne l'impression d'une seule pièce : les utilisateurs se connectent une seule fois, les informations d'identification circulent librement et les ressources sont accessibles des deux côtés. Du point de vue de l'attaquant, cette porte unique constitue le point d'entrée le plus précieux de l'environnement. Si vous parvenez à la compromettre, vous contrôlez les deux pièces.

Les différentes variantes architecturales ont leur importance, car chacune génère des signaux de détection distincts. La synchronisation des hachages de mot de passe (PHS) réplique les hachages de mot de passe depuis Active Directory sur site vers Entra ID. L'authentification par transit (PTA) conserve la vérification sur site et utilise un agent léger dans le cloud. La fédération AD FS confie l'authentification à un service de fédération sur site. Le point commun entre ces trois options est un serveur — Entra Connect (anciennement Azure AD Connect) — qui détient les clés.

Ce serveur constitue la cible type des attaques hybrides. Les indicateurs de détection fiables sur lesquels les défenseurs doivent s'appuyer comprennent les connexions d'administrateurs globaux provenant d'un serveur intégré à un environnement hybride, les événements d'extraction d'identifiants de comptes de synchronisation d'annuaire (DSA) en dehors des fenêtres de synchronisation programmées, ainsi que l'insertion d'un domaine fédéré malveillant dans le tenant. L'analyse comportementale des journaux d'identité permet de mettre en évidence ces schémas de manière fiable, ce qui est rarement le cas lors de l'examen des journaux bruts.

Corrélation des données de télémétrie de charge de travail

La troisième source de signaux est la charge de travail. Sur site, cela désigne la télémétrie de l'hyperviseur et des processus provenant de l'EDR. Dans cloud, cela désigne les capteurs d'exécution et les journaux d'audit fournis par le cloud . L'intérêt de collecter ces deux types de données réside dans la corrélation : un signal faible dans les journaux d'identité devient un incident clairement identifié lorsqu'il est associé à un signal réseau correspondant et à un événement de charge de travail correspondant dans la même fenêtre temporelle.

cloud hybride et MITRE ATT&CK

Deux cybercriminels connus cybercriminels du récit actuel sur les menaces hybrides : Storm-0501 et ShinyHunters. Tous deux ont exploité le pont d'identité. Tous deux constituent désormais des schémas récurrents, et non plus des cas isolés.

Storm-0501 est la chaîne d'attaque hybride de référence. Comme l'ont documenté le MSTIC et rapporté BleepingComputer et Dark Reading, l'acteur parcourt Active Directory, se déplace latéralement à l'aide d'Evil-WinRM (PowerShell-over-WinRM post-exploitation), compromet un serveur Entra Connect Sync, extrait les identifiants du compte de synchronisation d'annuaire, se connecte au cloud administrateur global depuis un serveur joint à l'environnement hybride, puis passe à un ransomware cloud. L'évolution de 2025 a ajouté l'exfiltration de données cloud à partir d'Azure Storage, la suppression des coffres-forts Recovery Services et le rechiffrement des cloud à l'aide de clés Key Vault contrôlées par l'attaquant — un ransomware sans malware traditionnel. Des informations supplémentaires sur le problème sous-jacent de gestion des identifiants figurent dans l'article de Dark Reading consacré aux identifiants Entra ID mal gérés dans cloud hybride.

ShinyHunters — en collaboration avec Scattered Spider The Com dans le domaine de l'ingénierie sociale — a utilisé une autre passerelle. Plutôt que de compromettre un serveur de synchronisation d'identités, l'acteur a compromis des intégrateurs SaaS (Anodot en avril 2026 ; Vercel et Context AI en avril 2026) pour récolter des jetons OAuth à longue durée de vie, puis a utilisé ces jetons comme ponts d'identité vers des locataires en aval (The Hacker News — tag ShinyHunters; couverture de la violation de Vercel / Context AI; Scattered Spider ShinyHunters / Scattered Spider ). L'authentification multifactorielle (MFA) sur le locataire en aval n'a pas été d'un grand secours, car l'attaquant s'est authentifié à l'aide d'une autorisation OAuth valide que l'utilisateur avait déjà approuvée.

Une troisième faille est apparue au niveau du protocole. La vulnérabilité CVE-2025-53786 (CVSS 8.0) permettait une élévation de privilèges après authentification, permettant à un administrateur Exchange sur site d'accéder à Exchange Online via l'exploitation abusive d'un principal de service partagé. La CISA a publié une alerte et émis la directive d'urgence 25-02, imposant la mise en place de mesures correctives avant le 11 août 2025. La couche d'intégration hybride elle-même est désormais une cible active de vulnérabilité.

Le rapport Mandiant M-Trends 2026 chiffre cette tendance : 32 % des intrusions de 2025 ont débuté par des exploits, la durée médiane de présence est de 14 jours, et le délai moyen avant l'exploitation est désormais de -7 jours — ce qui signifie que l'exploitation précède souvent la publication du correctif. Cela fait peser la responsabilité sur la détection.

TechniquesCloud MITRE ATT&CK Cloud à surveiller

Le tableau ci-dessous répertorie les techniques les plus pertinentes pour la détection hybride — depuis l'identifiant de la technique jusqu'à la source de télémétrie où le signal est effectivement présent, en passant par un exemple de règle de détection qu'une petite équipe peut rédiger ce trimestre. Le recoupement des détections avec le cadre ATT&CK constitue le fil conducteur qui permet de justifier le reste du programme lors des audits et des examens ; la chaîne de destruction cybernétique vous fournit l'arc narratif, tandis qu'ATT&CK vous fournit les identifiants.

Cloud MITRE ATT&CK Cloud complète constitue la référence absolue : commencez par là, puis élargissez votre champ d'action à mesure que la couverture s'étoffe.

Catégories de détection : NDR, CDR, CNAPP, ITDR et XDR

Cinq acronymes qui se recoupent abordent la détection hybride sous différents angles. Un directeur informatique (CIO) ou un responsable de la sécurité des systèmes d'information (CISO) disposant de moins de cinq employés à temps plein dans le domaine de la sécurité ne peut pas intégrer ces cinq éléments dans un plan d'approvisionnement sans s'appuyer sur une matrice de décision unique. La matrice ci-dessous remplit cette fonction.

Le débat reste ouvert entre le CNAPP et le CDR. Les fournisseurs de plateformes CNAPP affirment que leur solution intègre désormais le CDR en temps réel. Les fournisseurs de CDR autonomes soutiennent quant à eux que le CNAPP est avant tout préventif — il porte sur la posture et la configuration — et que la détection en temps réel relève d'une autre dimension. En pratique, la plupart des entreprises ont besoin de ces deux fonctionnalités ; le fait de les acquérir sous la forme d'un seul produit ou de deux produits distincts relève du cycle d'achat, et non d'une question de capacités.

Dans le cas spécifique d'un environnement hybride, la couverture minimale viable comprend généralement deux des cinq composantes suivantes : NDR (pour le pont et le trafic est-ouest) et ITDR (pour les attaques ciblant l'identité). Le CDR entre en jeu lorsque cloud dominent le parc informatique. Le XDR entre en jeu lorsque l'équipe exploite déjà plusieurs flux et a besoin d'une agrégation. La triade classique du SOC — réseau, endpoint, journaux — constitue une base de référence utile ; pour les environnements hybrides, l'identité doit constituer le quatrième pilier. Dans cette même enquête de 2025 cloud hybride, 70 % des personnes interrogées ont désigné cloud public cloud le plus grand risque dans leur environnement, ce qui correspond à cette hiérarchisation des priorités.

C'est aussi pour cette raison que la détection des menaces hybrides, au sens large, est rarement assurée par un seul produit : elle repose plutôt sur un petit ensemble de produits bien intégrés.

La détection cloud hybride : mise en pratique

Deux cas concrets illustrent ce schéma mieux que n'importe quel modèle théorique.

Ce que les campagnes « Identity Bridge » de Snowflake et Anodot ont appris aux défenseurs

En 2024, des acteurs affiliés à ShinyHunters ont utilisé des identifiants récupérés lors d'infections antérieures par des logiciels de vol d'informations — dont certaines remontaient à 2020 — pour accéder à environ 165 organisations, parmi lesquelles AT&T, Ticketmaster/Live Nation, Santander, LendingTree, Advance Auto Parts et Neiman Marcus. L'analyse rétrospective de Cloud a mis en évidence les chiffres suivants : plus de 80 % des comptes compromis avaient déjà vu leurs identifiants exposés, et les comptes affectés ne disposaient pas d'authentification multifactorielle. Le vol d'identifiants remontait à longtemps. La faille de détection résidait dans le fait que personne ne surveillait la réutilisation d'anciens identifiants sur de nouvelles zones géographiques et de nouveaux appareils.

L'évolution observée en 2026 a accentué cette tendance. Les attaquants ont compromis l'intégrateur SaaS Anodot, ont récupéré des jetons OAuth et ont utilisé ces jetons comme passerelles d'identité à long terme pour accéder aux clients en aval — notamment Snowflake — sans pour autant exploiter Snowflake lui-même. La violation de Vercel/Context AI en avril 2026 a suivi le même schéma. Il s'agit d'une attaque de la chaîne d'approvisionnement exécutée au niveau de la couche d'identité, et la leçon à retenir pour les défenseurs est claire : la détection hybride doit inclure les autorisations OAuth accordées aux entités de service des intégrateurs, suivies de l'utilisation anormale d'adresses IP sources, puis de l'authentification non interactive à partir de nouveaux appareils. Sans ces trois signaux combinés, Usurpation de compte via le pont OAuth est invisible.

Ce que Storm-0501 a appris aux défenseurs

La chaîne d'attaque de Storm-0501 se déroule comme suit, de bout en bout : prise d'appui initiale dans Active Directory, déplacement latéral via Evil-WinRM, extraction des identifiants DSA depuis Entra Connect Sync, connexion en tant qu'administrateur global à partir d'un serveur Windows en mode hybride, suppression du coffre-fort des services de récupération et rechiffrement cloud via un Key Vault contrôlé par l'attaquant. Chaque étape constitue une opportunité de détection. Le signal le plus fiable que la plupart des défenseurs ont manqué : une connexion d'administrateur global provenant d'un serveur Windows en mode hybride est inhabituelle et devrait déclencher une alerte de gravité élevée. Microsoft a depuis restreint les autorisations des comptes de synchronisation d'annuaire dans Entra Connect Sync et Cloud — une mesure défensive sur laquelle les défenseurs peuvent compter, mais qui n'est pas la seule qu'ils devraient mettre en place.

Mise en œuvre de la détection cloud hybride

Pour une petite équipe SOC (moins de cinq ETP, environnement hybride, secteur réglementé), la mise en place peut se faire en sept étapes :

1. Réalisez un inventaire de la passerelle. Répertoriez l'architecture d'identité hybride (PHS, PTA, AD FS), les serveurs Entra Connect / Entra Connect Sync, les domaines fédérés, les locataires Exchange hybrides et les intégrateurs SaaS disposant d'autorisations OAuth à long terme. Vous ne pouvez pas détecter ce que vous n'avez pas répertorié.
2. Combler le manque de visibilité est-ouest. Installez des capteurs NDR aux points d'agrégation sur site et sur les miroirs cloud . Capturez les métadonnées, et non les paquets complets, afin de maintenir les coûts de stockage et de traitement à un niveau raisonnable.
3. Mettez en place des détections basées sur l'identité. Affinez les corrélations entre Entra ID et les signaux de l'Active Directory sur site. Activez l'authentification multifactorielle (MFA) phishing, conformément aux recommandations de la CISA relatives aux solutions d'identité hybrides SCuBA. Considérez la couche d'identité comme un domaine de surveillance à part entière, et non comme un simple complément du SIEM.
4. Aligner les détections sur laCloud MITRE ATT&CK Cloud . Commencez par les cinq techniques présentées dans le tableau ci-dessus (T1556.007, T1078.004, T1021.006, T1550, T1098.005). Étendre la couverture à mesure qu'elle se développe.
5. Commencez par définir trois règles de détection très précises. Connexion d'un administrateur global à partir d'un serveur intégré à un environnement hybride. Lecture des identifiants DSA en dehors des fenêtres de synchronisation prévues. Autorisation OAuth accordée à une entité de service d'un intégrateur, suivie d'une activité provenant d'une adresse IP inconnue. À elles seules, ces trois règles couvrent les principaux schémas d'attaques hybrides pour la période 2024-2026.
6. Établissez une chronologie d'enquête unifiée. Que la couche d'agrégation soit une plateforme SIEM ou NDR, l'analyste a besoin de disposer, dans une seule vue, des événements d'identité, des métadonnées réseau et des journaux cloud . La corrélation interdomaines fait toute la différence entre un processus de réponse aux incidents qui aboutit en quelques heures et un autre qui s'éternise pendant des jours.
7. Tester et valider. Mener des exercices de « purple team » sur le pont d'identité. Mesurer le temps moyen de détection et le temps moyen de réponse. Intégrer les enseignements tirés dans les opérations du SOC et dans le guide de recherche de menaces.

Le taux de violation de 55 %, issu de la même enquête de 2025 cloud hybride menée auprès de 1 021 responsables de la sécurité et de l'informatique, mérite d'être porté à l'attention des décideurs : le risque de base d'une violation est désormais suffisamment élevé pour que les investissements dans la détection constituent, en toute honnêteté, un coût maîtrisable. L'étude du Ponemon Institute intitulée « Cost of a Data Breach » (2025) estime le coût moyen d'une violation multi-environnements à 5,05 millions de dollars. Les dépenses liées à la détection sont minimes par rapport à ce montant.

Détection cloud et conformité dans cloud hybride

Les capacités de détection correspondent parfaitement aux obligations réglementaires. Le tableau de correspondance ci-dessous présente les quatre cadres réglementaires auxquels sont le plus souvent confrontés les secteurs soumis à l'ICP : les services financiers, la santé et l'industrie manufacturière. Il s'agit d'une mise en correspondance et non d'un conseil en matière de conformité.

Les spécificités géographiques ont leur importance. Les entités financières de l'UE soumises à la directive DORA sont tenues de signaler tout incident dans un délai de 4 heures à compter du moment où un événement est qualifié d'incident majeur lié aux TIC. En Allemagne, le délai d'enregistrement auprès du BSI prévu par la directive NIS2, fixé au 6 mars 2026, a été respecté par environ 33 % des entités concernées, ce qui suggère que de nombreuses entités essentielles et importantes sont encore en train de mettre en place des capacités de détection documentées. Les cadres de sécurité eux-mêmes ne prescrivent pas de fournisseurs — ils prescrivent les résultats qu'un programme de détection défendable peut démontrer.

Approches modernes de la détection cloud hybride

Ce secteur évolue sur trois fronts.

La corrélation interdomaines basée sur l'IA rationalise le flux de travail des analystes. Au lieu de trois transferts entre cloud l'identité, du réseau et cloud , les plateformes de détection modernes intègrent ces trois domaines de signaux dans un unique graphe d'attaques et mettent en évidence un incident classé par ordre de priorité, dont les cloud sur site et cloud sont déjà reliés. C'est la méthodologie qui importe plus que l'étiquette marketing : la détection des menaces par l'IA est un moyen d'analyser plus rapidement et plus clairement le comportement des attaquants, et non une fin en soi.

L'analyse du trafic est-ouest chiffré sans décryptage est désormais un minimum requis. Les techniques d'empreinte digitale JA3/JA4 et l'analyse du trafic chiffré (Encrypted Traffic Analytics) considèrent le trafic chiffré comme un ensemble de caractéristiques à modéliser plutôt que comme un obstacle à éliminer. Le raisonnement défensif est plus simple qu'il n'y paraît : malware modifient rarement leur empreinte TLS, et les métadonnées comportementales (taille des paquets, timing des flux) constituent une signature stable même lorsque les charges utiles sont illisibles.

La résilience active constitue le troisième front. Le rapport Mandiant M-Trends 2026 met en avant la tactique dite du « déni de restauration » : les attaquants ciblent explicitement les infrastructures de sauvegarde afin d'empêcher toute restauration et de contraindre les victimes à payer la rançon (Mandiant M-Trends 2026). Le rapport Threat Horizons Cloud pour le premier semestre 2026 fait état de délais d'exploitation massive de 48 heures sur Kubernetes géré. En matière de défense, cela signifie que les sauvegardes immuables, le renforcement des coffres à clés cloud et les runbooks qui partent du principe que les attaquants ont déjà supprimé les points de restauration ne sont plus facultatifs.

Vectra AI en matière de détection cloud hybride

La solution « Attack Signal Intelligence Vectra AI Attack Signal Intelligence le réseau moderne — sur site, cloud, les identités, le SaaS et l’IoT/OT — comme une surface d’attaque unifiée. La méthodologie est simple à énoncer : partir du principe que le système a été compromis ; privilégier le signal par rapport au bruit ; mettre en évidence les quelques comportements qui comptent lorsqu’un attaquant comble le cloud entre l’environnement sur site et cloud . Le travail se fait en coulisses, au niveau des calculs et des étiquettes, mais pour l'analyste, cela se présente sous la forme d'un incident clair et hiérarchisé, où les cloud sur site et cloud sont déjà reliées — exactement la chronologie requise pour une enquête sur Storm-0501 ou ShinyHunters.

Conclusion

La détection cloud hybride n'est plus une sous-discipline facultative de cloud . Les données vont toutes dans le même sens : les violations hybrides constituent désormais la catégorie la plus coûteuse, la majorité des cloud exploitent les contrôles d'identité plutôt que les vulnérabilités zero-day, et les modèles d'attaque canoniques pour 2024-2026 — l'évolution de Storm-0501 vers un ransomware cloud, les ponts de jetons OAuth de ShinyHunters vers Snowflake — s'articulent tous autour du cloud entre l'environnement sur site et cloud .

La bonne nouvelle, c'est que la stratégie de défense est bien définie. Faites l'inventaire de l'infrastructure. Ajoutez des capteurs est-ouest aux points d'agrégation sur site et aux miroirs cloud . Affinez les corrélations d'identité entre Entra ID et Active Directory sur site. Mettez en correspondance les détections avec les techniquesCloud MITRE ATT&CK Cloud que les attaquants utilisent réellement contre les environnements hybrides. Rédigez trois règles de haute fidélité — connexion de l'administrateur global à partir d'un serveur joint à l'environnement hybride, lecture des identifiants DSA en dehors des fenêtres de synchronisation, autorisation OAuth suivie d'une activité provenant d'une adresse IP source inconnue — et assemblez les incidents qui en résultent dans une chronologie unifiée. Rien de tout cela ne nécessite une équipe pléthorique ni un budget illimité. Cela exige simplement la discipline nécessaire pour traiter le pont comme la surface d'attaque qu'il est devenu.

Pour mieux comprendre le contexte architectural, nous vous recommandons de consulter ensuite le module cloud hybride. Les pages MITRE ATT&CK détection et réponse aux incidents », à la « détection et réponse aux menaces liées à l'identité » et MITRE ATT&CK » présentent les concepts fondamentaux sur lesquels s'appuient chacune des sept étapes de mise en œuvre. La cyber-résilience et zero trust reliant ces capacités aux résultats attendus au niveau de la direction.

‍