Accès juste à temps et politiques d’accès conditionnel

Le privilège permanent signifie qu’un utilisateur dispose en permanence d’un accès étendu, 24 heures sur 24 et 7 jours sur 7, qu’il en ait besoin ou non. Il s’agit du modèle traditionnel des comptes d’administrateur : l’administrateur peut accéder aux systèmes de production à tout moment, même à 3 heures du matin un dimanche, alors qu’aucune activité légitime n’est en cours. Le privilège permanent augmente considérablement la surface de risque : des identifiants d’administrateur compromis donnent immédiatement aux attaquants un accès étendu, sans qu’aucune étape supplémentaire soit nécessaire.

L’accès juste-à-temps (JIT) remplace le privilège permanent par une élévation temporaire à la demande. Lorsqu’un administrateur a besoin d’un accès privilégié, il en fait la demande en fournissant une justification métier. La demande est approuvée (automatiquement ou par un responsable), le privilège est accordé pour une durée définie (par exemple, 1 heure), puis il expire automatiquement. Pendant cette période, toute l’activité est surveillée. Après expiration, l’administrateur ne dispose plus d’un accès privilégié tant qu’il n’a pas effectué une nouvelle demande.

Azure Privileged Identity Management (PIM) est l’implémentation Cloud de l’accès JIT proposée par Microsoft. Les utilisateurs sont déclarés éligibles à des rôles privilégiés (par exemple, Global Administrator), mais n’exercent pas ce rôle en permanence. Lorsqu’ils en ont besoin, ils activent le rôle depuis le portail Azure, fournissent une justification, peuvent devoir utiliser MFA et obtenir une approbation, puis reçoivent le rôle pour une durée configurée (8 heures maximum pour la plupart des rôles). PIM génère des journaux d’audit pour chaque activation à des fins de conformité.

Conditional Access est un moteur de règles si-alors qui évalue des signaux contextuels avant d’accorder l’accès. Au lieu d’autoriser ou de refuser l’accès de manière binaire sur la seule base des identifiants, Conditional Access prend en compte : Qui se connecte (identité de l’utilisateur et appartenance à des groupes), ce à quoi cette personne accède (application ou données), où elle se trouve (adresse IP, emplacement), quand (heure de la journée), comment (état de conformité de l’appareil, navigateur ou application native) et le risque (score de risque de connexion fourni par le fournisseur d’identité).

Les règles Conditional Access évaluent simultanément plusieurs signaux. Les principaux comprennent : la conformité de l’appareil (l’appareil est-il géré par MDM et respecte-t-il les exigences de sécurité de base ?), l’emplacement (l’adresse IP se trouve-t-elle dans un emplacement nommé approuvé ou dans un pays étranger ?), le risque de connexion (l’intelligence artificielle du fournisseur d’identité a-t-elle signalé cette connexion comme anormale — emplacement inhabituel, identifiants divulgués, déplacement impossible ?) et le risque utilisateur (ce compte présente-t-il des signes de compromission provenant de renseignements issus du dark web ?).

Lorsqu’une règle Conditional Access s’applique, le contrôle d’octroi détermine ce que l’utilisateur doit faire. Les options comprennent : bloquer entièrement l’accès, exiger MFA, exiger un appareil conforme, exiger une application cliente approuvée (seules les applications gérées sont autorisées), exiger un changement de mot de passe (si les identifiants présentent un risque) ou une combinaison de ces contrôles. Les contrôles d’octroi permettent aux organisations de renforcer les exigences de sécurité en fonction du niveau de risque de l’accès demandé.

En plus des contrôles d’octroi, Conditional Access peut appliquer des contrôles de session qui limitent ce que les utilisateurs peuvent faire après leur authentification. Exemples : imposer une fréquence de connexion (exiger une nouvelle authentification toutes les heures), empêcher le téléchargement de fichiers sensibles depuis des appareils non gérés, appliquer les règles de Microsoft Defender for Cloud Apps pour surveiller les sessions en temps réel et limiter les opérations de copier-coller dans les applications sensibles utilisées depuis des emplacements non approuvés.

Les emplacements nommés dans Conditional Access définissent des plages d’adresses IP ou des régions géographiques approuvées. Un accès depuis un emplacement nommé approuvé (par exemple, les plages IP des bureaux de l’entreprise) peut être accordé avec moins de contraintes (sans exiger MFA). Un accès depuis l’extérieur des emplacements nommés — en particulier depuis des pays à haut risque — déclenche des exigences d’authentification supplémentaires. L’association des emplacements nommés à la détection des déplacements impossibles (un utilisateur semble se trouver dans deux lieux éloignés à quelques minutes d’intervalle) bloque les scénarios de compromission d’identifiants.

Conditional Access fondé sur le risque utilise les signaux d’apprentissage automatique du fournisseur d’identité pour évaluer le risque de connexion en temps réel. Microsoft Entra ID (anciennement Azure AD) attribue un score de risque de connexion (faible, moyen ou élevé) en fonction de facteurs tels que des identifiants divulgués dans des bases de données du dark web, des schémas de connexion anormaux et des adresses IP associées à des logiciels malveillants. Une connexion à haut risque peut automatiquement exiger une réinitialisation du mot de passe ainsi que MFA, protégeant ainsi les comptes avant même qu’une équipe informatique n’examine l’alerte.

Les règles Conditional Access et l’accès JIT créent un risque : si le fournisseur d’identité tombe lui-même en panne, les administrateurs peuvent être empêchés d’accéder aux systèmes nécessaires à son rétablissement. Les comptes d’accès d’urgence (comptes d’accès de secours) sont des comptes hautement privilégiés exclus des règles Conditional Access, dont les identifiants sont conservés dans un coffre-fort physique et qui ne sont utilisés qu’en cas d’urgence réelle. Leur utilisation doit immédiatement déclencher des alertes et un examen post-incident, car toute utilisation en dehors d’une urgence déclarée constitue un signal d’alerte.

L’accès JIT et les règles Conditional Access fonctionnent ensemble comme des contrôles complémentaires. Conditional Access détermine si un utilisateur peut s’authentifier et quels contrôles il doit réussir. L’accès JIT détermine quel rôle privilégié lui est attribué après l’authentification et pour combien de temps. Ensemble, ils mettent en œuvre le principe de confiance zéro : ne jamais faire confiance, toujours vérifier : chaque demande d’accès est évaluée dans son contexte, le privilège est temporaire et toutes les actions sont journalisées.

Évaluez votre compréhension des notions de CompTIA Security+ (SY0-701) abordées dans cette leçon.

Dans cette leçon, vous avez appris que : l’accès juste-à-temps remplace le privilège permanent par une élévation temporaire à la demande qui expire automatiquement, les règles Conditional Access évaluent les signaux contextuels (appareil, emplacement, risque) avant d’accorder l’accès et les comptes d’accès d’urgence fournissent un accès d’urgence exclu des règles habituelles, mais doivent être strictement contrôlés et surveillés. Nous allons ensuite étudier le modèle de responsabilité partagée entre IaaS, PaaS et SaaS.