Identité : gestion et attaques en cybersécurité

L'identité en cybersécurité désigne l'ensemble des attributs numériques permettant d'authentifier un utilisateur, un service ou une machine auprès d'un système. La gestion des identités repose sur des mécanismes précis : protocoles d'authentification (Kerberos, NTLM, OAuth 2.0, SAML), annuaires centralisés (Active Directory, LDAP, Azure AD) et politiques d'accès fondées sur les rôles (RBAC). Les attaques ciblant l'identité sont aujourd'hui le vecteur d'intrusion le plus fréquent en environnement d'entreprise. Un acteur malveillant qui compromet une identité valide peut se déplacer latéralement sans déclencher d'alertes basées sur des signatures. La notion d'identité dépasse le simple couple login/mot de passe. Elle englobe les certificats, les tokens JWT, les clés API, les comptes de service et les identités machine. Le principe du moindre privilège et la segmentation des droits sont les premiers remparts. Sans une gestion rigoureuse du cycle de vie des identités, la surface d'attaque s'étend à chaque compte dormant, chaque service over-provisionné et chaque délégation Kerberos non contrainte.

La détection des attaques sur les identités repose sur l'analyse précise des journaux d'authentification. Côté Active Directory, les événements Windows à surveiller en priorité sont l'ID 4624 (ouverture de session réussie), 4625 (échec d'authentification), 4768 et 4769 (demandes de tickets Kerberos TGT et TGS) et 4776 (validation NTLM). Un volume anormal de tickets TGS pour des comptes de service est un indicateur fort de Kerberoasting. Les connexions avec l'ID 4624 de type Logon Type 3 (réseau) depuis des sources inhabituelles signalent un mouvement latéral potentiel. Les outils SIEM comme Elastic SIEM, Splunk ou Microsoft Sentinel permettent de corréler ces événements. Des règles de détection Sigma couvrent spécifiquement le Pass-the-Hash, le Pass-the-Ticket et l'énumération LDAP. Côté Cloud, les logs Azure AD Sign-in et AWS CloudTrail exposent les tentatives de credential stuffing et les connexions depuis des géolocalisations impossibles. Un compte réalisant des demandes d'accès massives à des ressources auxquelles il n'accédait jamais constitue une anomalie comportementale à traiter en priorité par le SOC.

En Red Team, l'attaque des identités commence généralement par la collecte de credentials. L'outil Mimikatz permet d'extraire des hash NTLM depuis la mémoire du processus LSASS (sekurlsa/logonpasswords). Ces hash sont réutilisables directement via Pass-the-Hash avec CrackMapExec ou Impacket. Le Kerberoasting cible les comptes de service ayant un SPN enregistré. BloodHound révèle les chemins d'escalade de privilèges via les délégations Kerberos non contraintes ou les ACL mal configurées dans Active Directory. La technique du Golden Ticket consiste à forger un TGT arbitraire après compromission du hash du compte KRBTGT. Côté contre-mesures, le tiering model Active Directory isole les comptes d'administration de niveaux Tier 0, 1 et 2. L'activation de la protection LSASS via PPL (Protected Process Light) et Credential Guard réduit la surface d'extraction mémoire. La rotation régulière du mot de passe KRBTGT invalide les Golden Tickets existants. L'activation du MFA sur tous les comptes à privilèges et la mise en oeuvre de politiques de Conditional Access dans Azure AD limitent fortement l'exploitation de credentials volés.