Identity : gestion et sécurité des identités

L'identity, ou gestion et sécurité des identités, désigne l'ensemble des mécanismes permettant d'authentifier, d'autoriser et de tracer les utilisateurs au sein d'un système d'information. Une identité numérique regroupe un compte, ses attributs, ses droits et ses credentials associés. En cybersécurité, l'identity est un périmètre critique : la majorité des compromissions modernes repose sur l'abus d'identités légitimes plutôt que sur l'exploitation de vulnérabilités logicielles. Les protocoles impliqués sont nombreux : Kerberos, NTLM, SAML, OIDC, OAuth2. Les infrastructures comme Active Directory ou les fournisseurs d'identité cloud (Azure AD, Okta) centralisent l'authentification et deviennent des cibles prioritaires. La notion de Privileged Identity Management (PIM) encadre les comptes à hauts privilèges. La compromission d'une identité permet à un attaquant de se mouvoir latéralement, d'élever ses privilèges et d'accéder à des ressources sensibles sans déclencher d'alerte réseau classique. C'est pourquoi la gestion des identités est au coeur des stratégies Zero Trust modernes.

La détection des attaques liées à l'identity s'appuie en priorité sur l'analyse des journaux d'authentification. Sous Windows, les événements 4624 (ouverture de session réussie), 4625 (échec d'authentification), 4768 et 4769 (demandes de tickets Kerberos TGT et TGS) ainsi que 4776 (validation NTLM) sont des sources essentielles. Un volume anormal de 4769 avec type de chiffrement RC4 (0x17) signale une activité Kerberoasting. Des événements 4625 répétés en rafale indiquent un password spraying. Côté outils, un SIEM comme Splunk ou Microsoft Sentinel permet de corréler ces événements avec des règles UEBA pour détecter des comportements anormaux : connexion depuis un pays inhabituel, heure atypique, accès à des ressources jamais consultées. Les indicateurs de compromission incluent la création de comptes privilegiés inattendus (événement 4720 + 4732), des modifications de groupes sensibles (4756), ou l'ajout d'un SPN sur un compte utilisateur standard. Azure AD Identity Protection et Defender for Identity offrent des détections natives sur les attaques Pass-the-Hash, Pass-the-Ticket et Golden Ticket.

Côté Red Team et pentest, les attaques sur l'identity suivent des chemins bien documentés. Le Kerberoasting consiste à demander des tickets TGS pour des comptes disposant d'un SPN, puis à cracker le hash offline avec Hashcat ou John the Ripper. L'AS-REP Roasting cible les comptes sans pré-authentification Kerberos activée. Les attaques Pass-the-Hash et Pass-the-Ticket permettent de réutiliser des secrets volés en mémoire via Mimikatz ou Rubeus sans connaître le mot de passe en clair. Le Golden Ticket repose sur la compromission du hash du compte KRBTGT pour forger des tickets arbitraires. Pour les environnements cloud, les attaques OAuth consent phishing et le vol de tokens JWT sont des vecteurs courants. Les contre-mesures de durcissement incluent : activer la pré-authentification Kerberos sur tous les comptes, déployer le Protected Users security group, activer Credential Guard sous Windows, appliquer le Tiering Model Active Directory, et limiter les SPN aux comptes de service dédiés avec des mots de passe longs et rotatifs. L'activation du MFA résistant au phishing (FIDO2) réduit significativement la surface d'attaque sur les identités cloud.