Qu’est-ce que le contrôle d’accès adaptatif ?

Le contrôle d’accès adaptatif peut utiliser une variété de signaux pour évaluer le risque, y compris la posture de l’appareil, le comportement de l’utilisateur, le risque d’identité, la sensibilité des ressources et le contexte de localisation. Si une demande d’accès est évaluée comme risquée, le système peut exiger une vérification renforcée, réduire l’accès et les autorisations de l’utilisateur, ou complètement bloquer ou terminer la session.

Comment le contrôle d’accès adaptatif diffère-t-il du contrôle d’accès traditionnel ?

Le contrôle d’accès traditionnel impliquait souvent une seule décision d’accès au début de la session de l’utilisateur. Une fois l’accès approuvé, il n’y a pas de surveillance continue, et les utilisateurs ne sont contraints que par l’accès et les privilèges assignés à leur compte.

Qu’est-ce qui change lorsque l’accès devient basé sur le risque ?

La gestion d’accès traditionnelle dépendait souvent uniquement des rôles et des groupes. Le contrôle d’accès basé sur les rôles (RBAC) attribue des privilèges à un rôle particulier et des utilisateurs à ce rôle également. Si un utilisateur authentifié fait une demande, elle est évaluée en fonction des privilèges assignés à ce rôle.

Avec des décisions d’accès basées sur le risque, des signaux et un contexte supplémentaires sont inclus dans la décision d’accès. Les demandes d’accès à risque élevé, telles que celles provenant d’un appareil inconnu, peuvent nécessiter une vérification supplémentaire par rapport à la même demande provenant d’un appareil connu et d’un emplacement normal.

Comment le contrôle adaptatif se rapporte-t-il au RBAC et à l’ABAC ?

Le RBAC et le contrôle d’accès basé sur les attributs (ABAC) définissent le modèle de politique de base pour la gestion des accès. Ils spécifient si un utilisateur doit ou non avoir accès si le système est confiant quant à l’identité de l’utilisateur.

Le contrôle d’accès adaptatif s’appuie sur cela en tenant compte du risque de mauvaise identification. Plus la demande est inhabituelle et risquée, plus le fardeau de la preuve est important pour établir cette confiance dans l’identité de l’utilisateur.

Signaux de risque utilisés dans les décisions de contrôle d’accès adaptatif

Le contrôle d’accès adaptatif peut utiliser une variété de signaux différents pour évaluer le risque associé à une demande d’accès. Certains des types de signaux les plus courants incluent :

• Posture de l’appareil
• Comportement de l’utilisateur
• Contexte de localisation
• Risque d’identité
• Sensibilité des ressources

Ces signaux peuvent aider à déterminer si une demande est particulièrement risquée et si un utilisateur est susceptible d’être celui qu’il prétend être. Cependant, la qualité et la couverture des signaux sont significatives, car des données de faible qualité ou incomplètes peuvent entraîner un score de risque inexact.

Quels signaux d’appareil indiquent une confiance plus élevée ou plus faible ?

Les signaux d’appareil incluent des informations sur l’appareil lui-même qui peuvent indiquer s’il représente un risque pour l’entreprise et s’il est susceptible d’être un appareil légitime. Les principaux éléments à prendre en compte sont les suivants :

• Appareils gérés vs. appareils non gérés
• Présence d’agents de sécurité d’entreprise
• État des mises à jour
• Indicateurs d’appareils rootés ou jailbreakés
• État du certificat

Si disponible, cette information offre un aperçu du niveau de sécurité de l’appareil effectuant la demande d’accès. Si ces informations ne peuvent pas être collectées, des actions d’authentification supplémentaires peuvent être nécessaires, ou le système peut limiter l’ensemble des actions que l’utilisateur est autorisé à effectuer avec cet appareil. Par exemple, les utilisateurs authentifiés sur un appareil inconnu peuvent se voir accorder un accès en lecture seule à certains types de données.

Quels signaux comportementaux suggèrent un compromis ou un abus ?

Les signaux comportementaux se concentrent sur les indications qu’un compte utilisateur ou un appareil a été compromis par un attaquant. Les signaux courants incluent :

• Voyage impossible
• Horaires d’accès anormaux
• Modèles d’accès aux ressources inhabituels
• Vérifications échouées répétées

Ces types de signaux sont couramment utilisés pour déterminer si une authentification renforcée ou une containment de session est nécessaire. Par exemple, les demandes d’accès en dehors des heures normales de travail peuvent nécessiter des étapes d’authentification supplémentaires.

Quels signaux de contexte de localisation et de réseau sont les plus importants ?

Les systèmes d’authentification adaptative peuvent également utiliser le contexte de localisation et de réseau pour leurs décisions d’accès. Cela peut inclure :

• Géolocalisation inconnue
• Système autonome risqué (ASN)
• Empreinte d’hébergement/fournisseur risquée
• Utilisation d’anonymiseurs
• Types de réseau inattendus

Les informations de localisation sont souvent imparfaites mais peuvent fournir des indices qu’un compte a été compromis par un attaquant. Pour cette raison, ces données doivent être combinées avec d’autres signaux pour prendre des décisions de risque. Par exemple, les demandes d’accès provenant de lieux inhabituels pourraient être une tentative d’attaque ou un employé en déplacement travaillant à distance.

Quels signaux de risque d’identité sont importants ? 

Les signaux de risque d’identité aident à identifier les comptes qui sont plus susceptibles d’être compromis par un attaquant. Les exemples incluent :

• Mots de passe inclus dans des violations passées
• Indicateurs de fatigue MFA
• Utilisation de méthodes d’authentification risquées
• Utilisation anormale de jetons d’authentification
• Demandes d’accès provenant d’adresses IP connues comme mauvaises
• Demandes d’authentification échouées répétées

Ces signaux aident à identifier les comptes qui sont très risqués. Ces signaux se concentrent sur la sécurité des comptes et des identifiants plutôt que sur la posture des appareils.

Comment la sensibilité des ressources modifie-t-elle l’application des règles ?

Une évaluation des risques peut également être influencée par la sensibilité des actifs demandés. Les exemples d’actifs à haut risque incluent :

• Données de paie
• Consoles administratives
• Données personnelles identifiables des clients
• Actions financières
• Exportations de données en masse

Les demandes pour ces actions peuvent nécessiter une authentification supplémentaire simplement en raison du risque supplémentaire qu’elles posent pour l’entreprise. Cela inclut l’application de contrôles plus stricts même pour le même utilisateur et le même appareil que les demandes à faible risque.

Comment fonctionne le contrôle d’accès adaptatif

Le contrôle d’accès adaptatif gère en continu l’accès aux ressources d’une organisation. Il collecte des signaux, calcule un score de risque, prend les mesures d’application nécessaires et répète ce processus tout au long de la session de l’utilisateur.

Comment les signaux sont-ils collectés et normalisés ?

Les signaux sont collectés à partir d’une variété de sources différentes. Certains proviennent de l’appareil de l’utilisateur, tandis que d’autres suivent des informations sur leur identité ou proviennent de sources tierces.

Les systèmes de contrôle d’accès adaptatif normalisent ces données en convertissant les informations multi-sources en entrées cohérentes pour le moteur de politique. Dans le cas où des données sont manquantes, ces lacunes sont traitées explicitement plutôt que d’être supposées sûres.

Comment les décisions de risque sont-elles prises ?

Les décisions de risque peuvent être prises de plusieurs manières différentes. Certaines peuvent impliquer des seuils ou des niveaux de risque, tandis que d’autres peuvent avoir des exigences pour des scénarios spécifiques. Par exemple, l’accès à des ressources hautement sensibles peut toujours déclencher une authentification renforcée même si le score de risque global est relativement bas.

Ces risques peuvent également être évalués sur une base par utilisateur, appareil, session ou ressource. Cela peut inclure la génération d’une matrice de politique ou d’un seuil pour définir les différentes situations et les actions d’application requises.

Où l’application peut-elle se produire ?

Les actions d’application peuvent se produire lors de la connexion ou à divers moments tout au long de la session de l’utilisateur. Par exemple, le système peut exiger une authentification renforcée en milieu de session ou limiter les actions qu’un utilisateur pourrait entreprendre tout au long de sa session.

Il existe également la possibilité que les demandes d’accès soient complètement bloquées ou qu’une session soit interrompue prématurément. Cependant, cela est le plus courant pour les scores à haut risque ou pour les demandes risquées concernant des ressources hautement sensibles.

Actions d’application adaptatives courantes

Les actions d’application adaptatives peuvent aller de l’intensification de l’authentification à la négation complète d’une demande d’accès. Les politiques devraient définir l’action d’application appropriée pour divers scénarios.

Quand les politiques devraient-elles déclencher une vérification renforcée ?

La vérification renforcée nécessite des étapes d’authentification supplémentaires, telles que la mise en œuvre de l’authentification multifacteur (MFA). Elle est conçue pour limiter les frictions dans l’expérience utilisateur en ne nécessitant ces étapes supplémentaires que lorsque les scores de risque le justifient. 

Par exemple, les demandes d’accès provenant d’un nouvel appareil ou pour une action sensible peuvent nécessiter une vérification supplémentaire. Cela fournit un moyen à faible impact de gérer le risque sans causer de préjudice supplémentaire à l’expérience utilisateur.

Quand les politiques devraient-elles restreindre les actions au lieu de bloquer l’accès ?

Restreindre les actions qu’un utilisateur peut entreprendre au sein d’une session offre un compromis entre un accès complet et l’interruption de la session. Par exemple, offrir un accès en lecture seule, bloquer les téléchargements ou limiter les opérations administratives sont des moyens de gérer les impacts potentiels d’un compte compromis.

Ces restrictions sont généralement appliquées pour des ressources hautement sensibles ou lorsque des signaux risqués ont été observés pour une session. Elles gèrent l’exposition au risque de l’organisation tout en causant moins de perturbations pour l’entreprise qu’un blocage complet.

Quand la containment de session est-elle le bon choix ?

La containment de session est un outil pour limiter la menace potentielle posée par une session risquée. Cela peut inclure la mise en œuvre de durées de session courtes, l’obligation de réauthentification ou l’interruption de sessions lorsque cela est nécessaire.

Souvent, la containment de session est utilisée dans des situations où les scores de risque augmentent au milieu d’une session. Ces contrôles réduisent les impacts potentiels d’une attaque et simplifient la réponse aux incidents.

Où le contrôle d’accès adaptatif apporte le plus de valeur