L'escalade des privilèges

Comprendre comment les attaquants utilisent les identifiants de privilèges

Les pirates exploitent les identifiants privilégiés pour se déplacer au sein des réseaux et des clouds, tirant parti des faiblesses des contrôles de sécurité et des vulnérabilités des applications. Les défenseurs peuvent surveiller de manière proactive les activités malveillantes, suivre les pirates et mettre en œuvre des mesures préventives pour sécuriser les comptes et les configurations privilégiés.

Lorsque des attaquants mettent la main sur des informations d'identification privilégiées, ils peuvent accéder à un large éventail de ressources réseau et cloud sans utiliser de malware ni déclencher d'alarmes. Bien que l'application de niveaux de privilèges stricts puisse aider, les attaques récentes ont montré qu'il s'agit toujours d'un défi majeur.

Pour lutter contre l'utilisation abusive des identifiants volés, il est important de détecter les cas d'abus. Cependant, cela n'est pas facile, car les pirates peuvent se fondre dans la masse en utilisant des autorisations et des actions légitimes qui ne sont pas nécessairement nouvelles ou suspectes. Se fier uniquement aux alertes d'activité nouvelle ou inhabituelle ne sera pas efficace dans ces environnements dynamiques.

Pour identifier et combattre efficacement l'utilisation abusive des informations d'identification, il est nécessaire d'adopter une approche axée sur la sécurité. Cette approche prend en compte les actions spécifiques qu'un attaquant cherche à accomplir avec des informations d'identification volées. En comprenant leurs objectifs, nous pouvons mieux détecter et prévenir l'utilisation abusive des informations d'identification privilégiées.

Détection des abus de privilèges

Vectra peut identifier l'utilisation abusive d'identifiants privilégiés volés dans cloud réseau et cloud . Cette approche de détection axée sur la sécurité repose essentiellement sur la compréhension de ce que font les pirates avec les identifiants volés. La valeur des identifiants privilégiés pour un pirate réside dans la possibilité d'accéder à des services et des fonctionnalités considérés comme hautement précieux et privilégiés dans l'environnement.

Les chercheurs en sécurité de Vectra ont identifié que si vous connaissiez les privilèges réels de chaque compte, machine hôte, service et cloud , vous disposeriez d'une cartographie de toutes les ressources de grande valeur existantes. Bien que les concepts de privilèges accordés soient bien établis, cette représentation fournit une limite supérieure à ce que sont les véritables privilèges d'un élément par rapport aux privilèges minimaux nécessaires. Au lieu de cela, l'équipe de recherche en sécurité et l'équipe de science des données de Vectra ont identifié une nouvelle façon de représenter la valeur des systèmes dans un environnement en se basant sur ce qui a été observé au fil du temps. Cette vision dynamique et concrète de la valeur est appelée « privilège observé ». Cette vision des privilèges basée sur les données offre une approche efficace de confiance zéro pour l'utilisation des identifiants sans configuration manuelle.

Redéfinir l'évaluation des privilèges grâce à l'analyse des schémas d'accès

L'IA de Vectra calcule le privilège observé en prenant en compte les interactions historiques entre les entités suivies, et non le privilège défini par un administrateur informatique. L'étendue et la spécificité de l'accès et de l'utilisation contribuent fortement aux scores. Un système qui accède à plusieurs systèmes auxquels d'autres systèmes accèdent normalement aura un privilège faible, tandis qu'un système qui accède à un grand nombre de systèmes auxquels d'autres n'accèdent pas aura un score de privilège élevé. Cette approche permet à Vectra de faire la distinction entre les comptes d'administrateurs de domaine et les comptes d'utilisateurs normaux.

Une fois que les scores de privilèges observés ont été calculés, toutes les interactions entre les comptes, les services, les hôtes et les opérations cloud sont cartographiées afin de comprendre les interactions historiques normales entre les systèmes. Ensuite, une suite d'algorithmes d'apprentissage non supervisés prenant en compte les scores de privilèges identifie les cas anormaux d'abus de privilèges, en utilisant des algorithmes de détection d'anomalies personnalisés et des implémentations de la méthode HDBSCAN (Hierarchical Density-Based Spatial Clustering of Applications with Noise).

Cette approche sophistiquée axée sur la sécurité permet d'identifier les identifiants volés qui sont utilisés de manière abusive dans le cloud dans les réseaux sur site. La mesure des privilèges observés concentre la détection sur les actions anormales qui importent et offre une précision et un rappel supérieurs à ceux d'une approche qui ignore cette perspective essentielle.

‍

La prévention de l'escalade des privilèges est un élément essentiel du maintien d'une posture de cybersécurité sûre et résiliente. Vectra AI propose des solutions avancées qui peuvent aider à détecter, prévenir et répondre aux tentatives d'escalade des privilèges, garantissant ainsi la protection des actifs numériques de votre organisation. Contactez-nous pour savoir comment nous pouvons vous aider à renforcer vos défenses contre les cybermenaces sophistiquées.