Gestion des accès privilégiés (PAM)

La gestion des accès privilégiés est la pratique consistant à sécuriser, contrôler et surveiller l'accès élevé (« privilégié ») aux systèmes et aux données les plus critiques d'une organisation. Les comptes privilégiés - administrateurs, racine, comptes de service et similaires - peuvent modifier des configurations, accéder à des données sensibles et contourner les contrôles ordinaires. Ce pouvoir en fait la cible principale de la plupart des violations graves. Le PAM réduit le risque en éliminant l'accès permanent, en cachant les identifiants et en rendant chaque action privilégiée auditable.

L'accès privilégié est tout accès comportant des droits élevés au-delà de ceux d'un utilisateur standard. Voici quelques exemples courants :

• Comptes administrateurs - administrateurs locaux et de domaine sur les serveurs et les postes de travail.
• Comptes racine et superutilisateur sur les systèmes Linux et Unix.
• Comptes de service et de machine qui exécutent des processus automatisés.
• Comptes d'infrastructure infonuagique disposant de vastes permissions de console ou d'API.
• Identifiants administrateurs de base de données, de périphériques réseau et d'hyperviseurs.

Chacun peut apporter des changements radicaux ou exposer de l'information sensible, c'est pourquoi ils sont régis différemment des comptes d'utilisateurs ordinaires.

Une solution PAM place les comptes privilégiés sous contrôle central grâce à plusieurs fonctionnalités de base :

• Stockage des identifiants dans un coffre - les mots de passe, clés et secrets privilégiés sont stockés chiffrés plutôt que détenus par les utilisateurs.
• Injection et courtage d'identifiants - les identifiants sont fournis dans les sessions sans être révélés à l'utilisateur.
• Gestion des sessions privilégiées - les sessions vers les systèmes critiques sont relayées par un proxy, surveillées et enregistrées, souvent au moyen d'un gestionnaire de sessions privilégiées (PSM).
• Accès juste-à-temps (JAT) - les droits élevés sont accordés pour une période limitée et retirés automatiquement, éliminant les privilèges permanents.
• Rotation des identifiants - les mots de passe privilégiés changent automatiquement selon un calendrier ou après chaque utilisation.
• Audit et rapports - chaque réservation, session et action est consignée à des fins de révision et de conformité.

Les organisations adoptent le plus souvent le PAM pour :

• Contrôler l'accès des tiers et des fournisseurs - accorder aux techniciens externes un accès limité et à durée déterminée sans leur remettre de mots de passe.
• Sécuriser les comptes de service et d'automatisation - stocker dans un coffre et faire la rotation des identifiants non humains sur lesquels reposent les scripts et les applications.
• Fournir un accès d'urgence (break-glass) - rendre l'accès privilégié d'urgence disponible de manière contrôlée et entièrement auditée.
• Régir l'infrastructure infonuagique et hybride - appliquer des contrôles cohérents aux consoles locales et infonuagiques.
• Répondre aux exigences d'audit et de conformité - produire des preuves de qui a accédé à quoi, et quand.

La gestion des identités et des accès (IAM) régit les identités et l'accès quotidien pour l'ensemble de la population d'utilisateurs. Le PAM est une discipline ciblée au sein de cet espace, qui traite spécifiquement du petit nombre de comptes élevés à haut risque. En bref, l'IAM gère l'accès de tous; le PAM gère l'accès puissant qui pourrait causer le plus de dommages s'il était utilisé à mauvais escient.

Les identifiants privilégiés compromis sont à l'origine d'une grande partie des incidents de sécurité majeurs, car ils confèrent à un attaquant la portée d'un administrateur de confiance. Le PAM réduit cette exposition en éliminant les privilèges permanents, en gardant les identifiants hors de la portée des utilisateurs et en limitant ce qu'un seul compte peut faire. Il produit également la piste d'audit que des cadres tels que SOC 2 et ISO 27001 attendent pour l'activité privilégiée - ce qui en fait un élément central à la fois pour la sécurité et la conformité.