Gestion des identifiants : sécurité et contrôle

La gestion des identifiants désigne l'ensemble des processus et contrôles techniques visant à créer, stocker, distribuer et révoquer les credentials utilisés pour authentifier utilisateurs, services et machines. Ces identifiants incluent mots de passe, tokens, clés API, certificats et secrets applicatifs. En cybersécurité, une gestion défaillante des identifiants constitue l'un des vecteurs d'intrusion les plus exploités. Les attaquants ciblent en priorité les credentials car ils offrent un accès légitime aux systèmes, contournant ainsi les contrôles de sécurité réseau. La prolifération des comptes de service, des secrets codés en dur dans le code source et des mots de passe partagés entre équipes multiplie la surface d'attaque. Les normes comme NIST SP 800-63 encadrent les exigences minimales en matière de complexité, de rotation et de stockage sécurisé. Les solutions PAM (Privileged Access Management) centralisent la gestion des comptes à hauts privilèges. Les coffres-forts de secrets comme HashiCorp Vault ou AWS Secrets Manager automatisent la rotation et l'injection des credentials dans les pipelines CI/CD, réduisant l'exposition des secrets statiques.

La détection d'une compromission liée à la gestion des identifiants repose sur la surveillance fine des événements d'authentification et d'accès aux secrets. Côté Windows, les Event ID 4624 (ouverture de session réussie), 4625 (échec de connexion) et 4648 (connexion avec credentials explicites) sont des indicateurs clés à corréler. L'Event ID 4776 signale une tentative de validation NTLM locale, souvent associée à du credential stuffing ou à des attaques par rejeu. L'accès au processus LSASS (Event ID 10 Sysmon, source lsass.exe) indique une tentative d'extraction de hachages. Les requêtes anormales vers des API de secrets management (HashiCorp Vault audit logs, AWS CloudTrail GetSecretValue) révèlent des accès non autorisés à des credentials stockés. Dans un SIEM, des règles de détection doivent alerter sur les pics d'échecs d'authentification, les connexions depuis des plages horaires inhabituelles, et les comptes de service accédant à des ressources hors de leur périmètre habituel. Les outils comme Splunk, Microsoft Sentinel ou Elastic SIEM intègrent des règles prêtes à l'emploi pour ces scénarios. La corrélation entre plusieurs sources de logs (VPN, AD, application) améliore significativement la précision de détection.

Du côté Red Team, la gestion des identifiants est ciblée à chaque phase d'une compromission. Lors de la reconnaissance interne, des outils comme BloodHound cartographient les chemins d'escalade de privilèges liés aux comptes mal configurés. Mimikatz reste l'outil de référence pour extraire les credentials depuis la mémoire LSASS (sekurlsa::logonpasswords) ou depuis le registre (lsadump::sam). La technique Pass-the-Hash exploite des hachages NTLM sans connaître le mot de passe en clair. Le credential stuffing automatise l'utilisation de listes de credentials issus de fuites publiques contre des services exposés. Les secrets codés en dur dans des dépôts Git sont détectés via des outils comme TruffleHog ou GitLeaks. Côté durcissement, les contre-mesures prioritaires incluent : l'activation de Windows Credential Guard pour isoler LSASS dans un environnement virtualisé, la suppression des authentifications NTLM au profit de Kerberos, la rotation automatique des mots de passe de comptes de service via un PAM, et l'activation du MFA sur tous les comptes privilégiés. Les secrets ne doivent jamais être stockés dans des variables d'environnement non chiffrées ni dans des fichiers de configuration versionés.