Les violations de données exploitent souvent des identifiants volés

Selon le rapport DBIR 2025 de Verizon, 88 % des violations de données relevant de la catégorie « Attaques de base sur les applications Web » impliquent des identifiants volés. Cela souligne le rôle important que jouent les noms d'utilisateur et les mots de passe compromis dans les cyberattaques.

La plupart des cyberattaques évitent les logiciels malveillants

Le rapport CrowdStrike 2025 indique que 79 % des cyberattaques détectées en 2024 n'ont pas utilisé de logiciel malveillant. Cela montre que les attaquants s'appuient de plus en plus sur des méthodes qui ne nécessitent pas l'installation de logiciels malveillants.

Le délai de déplacement latéral est court

Le même rapport constate que les cybercriminels passent en moyenne, en 48 minutes, d'un ordinateur initialement compromis à un autre. Ce déplacement latéral rapide souligne l'importance de détecter les violations et de les contenir rapidement.

Les postes de travail constituent un angle mort

Les postes de travail représentent un angle mort de la sécurité des réseaux en raison de leur rôle au sein d'un environnement réseau de confiance. Ils conservent en mémoire cache des informations de connexion, qui peuvent être exploitées si les identifiants sont volés.

Les droits d'accès déterminent le risque

Un identifiant compromis peut ouvrir un périmètre qui dépend des droits du compte. Par exemple, un compte utilisateur standard a un accès limité, tandis qu'un compte privilégié peut accorder un accès beaucoup plus large au réseau.

Les techniques de pass-the-hash facilitent le déplacement latéral

Des techniques comme le pass-the-hash peuvent servir à se déplacer latéralement dans un réseau en exploitant les empreintes NTLM, sans avoir besoin du mot de passe en clair. Cela facilite la propagation des attaquants à travers le réseau.

La conception de l'authentification est dépassée

L'authentification Active Directory a été conçue pour un réseau local fermé, dans lequel les systèmes internes étaient considérés comme sûrs. Toutefois, l'essor du télétravail a rendu cette hypothèse obsolète, laissant les postes de travail vulnérables.

La connexion et le RDP sont des points critiques

Un mot de passe récupéré par un logiciel de vol d'informations peut ouvrir une session de bureau sans être détecté, car aucun signal ne permet de distinguer un employé légitime d'un imposteur. L'ajout d'un second facteur au niveau du fournisseur d'identité Windows peut aider à faire la différence entre les deux.

Les comptes privilégiés nécessitent une attention particulière

Les bonnes pratiques commencent par la sécurisation des comptes privilégiés et des administrateurs, car leur compromission peut conduire à une intrusion totale dans le réseau. Il faut ensuite sécuriser le reste du réseau.

Le RDP nécessite une sécurité supplémentaire

Bien que le RDP utilise l'authentification au niveau du réseau (NLA), celle-ci ne constitue pas une authentification multifacteur. Les services RDP exposés restent vulnérables aux attaques par force brute et par rejeu d'identifiants.

Réduire les risques liés au RDP

Des mesures telles que l'ajout d'une authentification multifacteur (MFA) au RDP, la limitation de l'accès via une passerelle et l'utilisation du mode Restricted Admin peuvent réduire le risque. Ces étapes contribuent à limiter l'exposition des identifiants sur les machines distantes.

Les VPN constituent un point d'entrée majeur

Selon le rapport Beazley Security du troisième trimestre 2025, 48 % des attaques par rançongiciel analysées ont utilisé des identifiants VPN compromis. Cela souligne l'importance de sécuriser les points d'accès à distance.

La MFA a ses limites

Bien que la MFA via le protocole RADIUS renforce la sécurité, elle n'est pas infaillible. Les méthodes reposant sur de simples notifications ou sur des codes à usage unique peuvent être contournées par hameçonnage ou par le vol de jetons de session.

La CISA recommande des méthodes résistantes au hameçonnage

La CISA conseille d'utiliser, pour les accès sensibles, des méthodes d'authentification résistantes au hameçonnage, comme FIDO2. Ces méthodes sont complétées par la vérification de l'état du terminal et par une segmentation du réseau assortie de privilèges réduits.

Les postes de travail hors réseau sont vulnérables

Les identifiants mis en cache sur les postes de travail hors réseau peuvent être extraits et utilisés pour un craquage hors ligne. Il s'agit d'une technique distincte, répertoriée dans le cadre MITRE ATT&CK.

Défendre les postes de travail hors réseau

Les défenses comprennent une authentification robuste fonctionnant hors ligne, le chiffrement complet du disque et la limitation du nombre d'identifiants mis en cache. Ces mesures rendent plus difficile l'exploitation d'identifiants volés par les attaquants.

Défis réglementaires et humains

La mise en place d'une authentification plus forte se heurte à des obstacles réglementaires, car la directive NIS2 exige une authentification multifacteur ou continue dans la gestion des risques de cybersécurité. Cela dépend du cadre applicable à chaque organisation.

La lassitude des utilisateurs face à la MFA

Les demandes fréquentes d'un second facteur peuvent entraîner une lassitude des utilisateurs, qui finissent par valider mécaniquement les demandes. Cela met en évidence le besoin d'une approche adaptative, qui ne renforce la vérification que lorsque le contexte est inhabituel.

Stratégies d'authentification adaptative

Une logique adaptative, qui renforce la vérification dans les situations à haut risque et l'allège lorsque le risque est faible, est essentielle. Cette approche fait partie de la politique d'accès de l'organisation.

Specops Secure Access renforce la sécurité

Specops Secure Access est une extension de l'Active Directory existant qui ajoute un second facteur aux connexions, aux sessions RDP et aux accès VPN reposant sur RADIUS. Il prend en charge diverses méthodes de vérification et s'intègre aux systèmes de gestion des informations et des événements de sécurité (SIEM).

Concilier sécurité et facilité d'utilisation

Pour les décideurs informatiques, l'objectif doit être d'identifier les points d'accès qui reposent encore sur une seule ligne de défense et de donner la priorité à leur amélioration. Cette approche concilie sécurité, facilité d'utilisation et praticité.