Les pirates exploitent les identifiants privilégiés pour se déplacer au sein des réseaux et des clouds, tirant parti des faiblesses des contrôles de sécurité et des vulnérabilités des applications. Les défenseurs peuvent surveiller de manière proactive les activités malveillantes, suivre les pirates et mettre en œuvre des mesures préventives pour sécuriser les comptes et les configurations privilégiés.
Lorsque des attaquants mettent la main sur des informations d'identification privilégiées, ils peuvent accéder à un large éventail de ressources réseau et cloud sans utiliser de malware ni déclencher d'alarmes. Bien que l'application de niveaux de privilèges stricts puisse aider, les attaques récentes ont montré qu'il s'agit toujours d'un défi majeur.
Pour lutter contre l'utilisation abusive des identifiants volés, il est important de détecter les cas d'abus. Cependant, cela n'est pas facile, car les pirates peuvent se fondre dans la masse en utilisant des autorisations et des actions légitimes qui ne sont pas nécessairement nouvelles ou suspectes. Se fier uniquement aux alertes d'activité nouvelle ou inhabituelle ne sera pas efficace dans ces environnements dynamiques.
Pour identifier et combattre efficacement l'utilisation abusive des informations d'identification, il est nécessaire d'adopter une approche axée sur la sécurité. Cette approche prend en compte les actions spécifiques qu'un attaquant cherche à accomplir avec des informations d'identification volées. En comprenant leurs objectifs, nous pouvons mieux détecter et prévenir l'utilisation abusive des informations d'identification privilégiées.
Vectra peut identifier l'utilisation abusive d'identifiants privilégiés volés dans cloud réseau et cloud . Cette approche de détection axée sur la sécurité repose essentiellement sur la compréhension de ce que font les pirates avec les identifiants volés. La valeur des identifiants privilégiés pour un pirate réside dans la possibilité d'accéder à des services et des fonctionnalités considérés comme hautement précieux et privilégiés dans l'environnement.
Les chercheurs en sécurité de Vectra ont identifié que si vous connaissiez les privilèges réels de chaque compte, machine hôte, service et cloud , vous disposeriez d'une cartographie de toutes les ressources de grande valeur existantes. Bien que les concepts de privilèges accordés soient bien établis, cette représentation fournit une limite supérieure à ce que sont les véritables privilèges d'un élément par rapport aux privilèges minimaux nécessaires. Au lieu de cela, l'équipe de recherche en sécurité et l'équipe de science des données de Vectra ont identifié une nouvelle façon de représenter la valeur des systèmes dans un environnement en se basant sur ce qui a été observé au fil du temps. Cette vision dynamique et concrète de la valeur est appelée « privilège observé ». Cette vision des privilèges basée sur les données offre une approche efficace de confiance zéro pour l'utilisation des identifiants sans configuration manuelle.
L'IA de Vectra calcule le privilège observé en prenant en compte les interactions historiques entre les entités suivies, et non le privilège défini par un administrateur informatique. L'étendue et la spécificité de l'accès et de l'utilisation contribuent fortement aux scores. Un système qui accède à plusieurs systèmes auxquels d'autres systèmes accèdent normalement aura un privilège faible, tandis qu'un système qui accède à un grand nombre de systèmes auxquels d'autres n'accèdent pas aura un score de privilège élevé. Cette approche permet à Vectra de faire la distinction entre les comptes d'administrateurs de domaine et les comptes d'utilisateurs normaux.
Une fois que les scores de privilèges observés ont été calculés, toutes les interactions entre les comptes, les services, les hôtes et les opérations cloud sont cartographiées afin de comprendre les interactions historiques normales entre les systèmes. Ensuite, une suite d'algorithmes d'apprentissage non supervisés prenant en compte les scores de privilèges identifie les cas anormaux d'abus de privilèges, en utilisant des algorithmes de détection d'anomalies personnalisés et des implémentations de la méthode HDBSCAN (Hierarchical Density-Based Spatial Clustering of Applications with Noise).
Cette approche sophistiquée axée sur la sécurité permet d'identifier les identifiants volés qui sont utilisés de manière abusive dans le cloud dans les réseaux sur site. La mesure des privilèges observés concentre la détection sur les actions anormales qui importent et offre une précision et un rappel supérieurs à ceux d'une approche qui ignore cette perspective essentielle.
La prévention de l'escalade des privilèges est un élément essentiel du maintien d'une posture de cybersécurité sûre et résiliente. Vectra AI propose des solutions avancées qui peuvent aider à détecter, prévenir et répondre aux tentatives d'escalade des privilèges, garantissant ainsi la protection des actifs numériques de votre organisation. Contactez-nous pour savoir comment nous pouvons vous aider à renforcer vos défenses contre les cybermenaces sophistiquées.
L'escalade des privilèges se produit lorsqu'un attaquant obtient un accès élevé non autorisé à des ressources qui sont normalement protégées contre une application ou un utilisateur. Cela peut se produire par le biais de deux vecteurs principaux : l'escalade verticale, lorsqu'un utilisateur obtient des privilèges de niveau supérieur, et l'escalade horizontale, lorsqu'un utilisateur étend son accès au même niveau de privilèges.
Les attaquants procèdent à une escalade des privilèges en exploitant les vulnérabilités des logiciels, les mauvaises configurations ou les défauts de conception des systèmes. Les méthodes les plus courantes sont l'exploitation de mauvaises configurations de services, l'utilisation d'informations d'identification volées, l'exploitation de vulnérabilités non corrigées ou l'utilisation d'autorisations de fichiers non sécurisées.
Les signes peuvent être les suivants Comportement inhabituel du système ou problèmes de performance. Modifications non autorisées des paramètres ou des fichiers du système. Détection de processus inconnus s'exécutant avec des privilèges élevés. Journaux d'audit montrant des tentatives d'accès inattendues ou des changements de privilèges.
Les organisations peuvent se protéger contre l'escalade des privilèges par les moyens suivants En corrigeant et en mettant à jour régulièrement les systèmes afin de corriger les vulnérabilités connues. Appliquer le principe du moindre privilège pour les comptes d'utilisateurs et les applications. Contrôler et auditer les activités des utilisateurs et les changements apportés au système afin de déceler des schémas inhabituels. Mettre en œuvre des contrôles d'accès stricts et une authentification multifactorielle. Procéder à des évaluations régulières de la sécurité afin d'identifier et d'atténuer les faiblesses potentielles.
Si les logiciels antivirus peuvent détecter certains types de malware susceptibles d'être utilisés dans des attaques par élévation de privilèges, ils peuvent ne pas identifier l'élévation réelle des privilèges. L'utilisation de mesures de sécurité supplémentaires, telles que des systèmes de détection d'intrusion (IDS) et des plateformes de gestion des informations et des événements de sécurité (SIEM), est cruciale pour une surveillance complète.
L'éducation des utilisateurs joue un rôle essentiel en les sensibilisant aux risques des attaques par phishing , de l'ingénierie sociale et des pratiques informatiques dangereuses qui pourraient conduire au vol d'informations d'identification ou à l'escalade involontaire des privilèges. Les utilisateurs sensibilisés sont plus enclins à suivre les meilleures pratiques en matière de sécurité et à reconnaître les menaces potentielles.
Les organisations doivent réagir à un incident d'escalade des privilèges en prenant les mesures suivantes Contenir immédiatement les systèmes affectés afin d'empêcher tout accès non autorisé ou tout dommage supplémentaire. Enquêter sur l'incident afin de déterminer la cause et l'étendue de la violation. Révoquer les privilèges élevés obtenus par l'attaquant et réinitialiser les informations d'identification concernées. Remédier aux vulnérabilités ou aux mauvaises configurations qui ont permis l'escalade. revoir et améliorer les politiques et les contrôles de sécurité afin d'éviter de nouveaux incidents.
Les outils qui peuvent aider à détecter les tentatives d'escalade des privilèges comprennent les solutions de surveillance de la sécurité telles que SIEM, IDS, les systèmes de détection et de réponse des endpoint (EDR) et les solutions de gestion des accès privilégiés (PAM) qui surveillent les changements non autorisés de privilèges.
Le concept dezero trust" vise à empêcher l'escalade des privilèges en partant du principe qu'aucun utilisateur ou système ne doit être fiable par défaut, indépendamment de sa localisation ou de sa présence dans le périmètre du réseau. La mise en œuvre de la zero trust implique une vérification stricte et des contrôles d'accès avec le moins de privilèges possible, ce qui réduit considérablement la surface d'attaque pour l'escalade des privilèges.
Les environnements Cloud sont sensibles aux attaques par escalade des privilèges, souvent dues à des configurations erronées, à des contrôles d'accès inadéquats ou à des informations d'identification compromises. Il est vital pour les applications et les services cloud garantir des pratiques de sécurité robustes, y compris des politiques de gestion des identités et des accès (IAM), et une surveillance continue.