Mouvement latéral fondé sur l'identité

Lors d’un test d’intrusion dans l’environnement d’un fournisseur de technologies financières, l’équipe de test est partie d’un unique identifiant de développeur compromis, obtenu par une attaque d’hameçonnage simulée. Le chemin de déplacement latéral qui a suivi n’a exigé aucune exploitation de vulnérabilité, seulement une traversée d’identités et d’autorisations. Le compte de développeur compromis appartenait au groupe Azure AD « engineering ». Ce groupe avait reçu un accès en lecture au gestionnaire de secrets HashiCorp Vault de l’organisation, afin de permettre aux développeurs de récupérer des chaînes de connexion aux bases de données pour les tests. Le Vault contenait les identifiants de la base de données de préproduction. Cette base disposait d’une configuration de réplication bidirectionnelle avec la base de production, mise en place à des fins de reprise après sinistre. Les identifiants de la base de préproduction donnaient un accès en lecture à la base de production par le lien de réplication, un accès dont le développeur n’aurait jamais besoin et qui n’avait pas été évalué comme chemin d’attaque lors de la configuration de la réplication. L’équipe de test d’intrusion est passée d’un identifiant Azure AD de développeur à l’accès à la base de production en quatre sauts d’autorisation, en passant moins de deux heures dans l’environnement et sans déclencher aucune alerte. Chaque autorisation individuelle était légitime. Le chemin d’autorisations qui les combinait n’avait été évalué comme vecteur d’attaque par aucune revue de sécurité antérieure.

Qu’est-ce que le déplacement latéral fondé sur l’identité, réellement ?

Le déplacement latéral fondé sur l’identité est la technique qui consiste à parcourir un environnement en enchaînant des étapes légitimes d’identité et d’autorisation : utiliser un jeu d’identifiants valides pour en obtenir un autre, utiliser l’accès à une ressource pour découvrir ou obtenir les identifiants d’une autre, et progresser vers une cible de grande valeur par une suite d’étapes autorisées individuellement. Contrairement au déplacement latéral fondé sur des vulnérabilités, qui exploite des faiblesses techniques pour élever les privilèges, le déplacement latéral fondé sur l’identité exploite le graphe d’autorisations, c’est-à-dire le réseau de relations d’identité, de magasins d’identifiants et d’octrois d’accès qui relient les systèmes d’une manière que leurs concepteurs n’ont peut-être pas évaluée comme chemin d’attaque.

Le problème du graphe d’autorisations est le défi central. Les environnements d’entreprise modernes sont reliés par des centaines de relations d’identité : appartenances à des groupes qui accordent l’accès à des ressources partagées, comptes de service qui relient les niveaux applicatifs, magasins d’identifiants qui détiennent des secrets pour d’autres systèmes, relations de fédération qui étendent la confiance d’un environnement à l’autre, et outils d’automatisation qui franchissent des frontières avec des identifiants délégués. Chaque relation a été créée dans un but opérationnel légitime. Le chemin d’attaque qui enchaîne plusieurs relations pour atteindre une destination non prévue est un effet secondaire de l’existence de chaque relation individuelle : il n’a jamais été conçu, jamais approuvé et, souvent, jamais évalué.

Le piège de l’adéquation des autorisations individuelles est ce qui rend la détection du déplacement latéral difficile du point de vue de la gouvernance. Les revues d’accès qui évaluent chaque autorisation indépendamment par rapport au rôle qui la détient confirmeront que chaque autorisation est appropriée. Il est approprié que le développeur dispose d’un accès en lecture au gestionnaire de secrets pour son travail de développement légitime. Ce que la revue n’a pas évalué, c’est si cette autorisation, combinée au contenu du gestionnaire de secrets et aux systèmes en aval auxquels ce contenu donne accès, crée un chemin non prévu vers des ressources de grande valeur. La revue autorisation par autorisation est nécessaire mais pas suffisante. L’analyse du graphe d’autorisations, qui évalue les chemins créés par les combinaisons d’autorisations, est le complément de gouvernance que la plupart des organisations n’ont pas mis en œuvre.

• Accès au magasin d’identifiants comme pivot de déplacement latéral : autorisations d’accès aux gestionnaires de secrets, gestionnaires de mots de passe ou coffres de clés qui fournissent des identifiants pour d’autres systèmes
• Enchaînement d’appartenances à des groupes : l’appartenance à un groupe donne accès à des ressources qui donnent accès à d’autres ressources
• Liens de réplication et de synchronisation : réplication de bases de données, d’annuaires ou de stockage créant des chemins d’accès entre des systèmes de classifications de sécurité différentes
• Traversée par les comptes de service : comptes de service qui relient des domaines de sécurité et offrent une voie de déplacement latéral entre environnements
• Chaînes de confiance de fédération : relations d’identité fédérées qui étendent l’accès de l’attaquant au-delà de l’environnement compromis initialement

Pourquoi c’est important

Le déplacement latéral fondé sur l’identité est important pour la TPRM parce que les environnements des fournisseurs qui ont accès aux systèmes des clients sont précisément ceux où la compromission d’un identifiant pourrait se propager en cascade le long de chaînes d’autorisations jusqu’aux données ou à l’infrastructure des clients. Un fournisseur dont les contrôles d’accès individuels sont bien conçus, mais dont le graphe d’autorisations n’a pas été analysé, peut présenter des chemins de déplacement latéral involontaires qui relient un identifiant de développeur compromis à un environnement de production client par des autorisations intermédiaires individuellement légitimes.

L’amplification par attaque de la chaîne d’approvisionnement est la dimension la plus lourde de conséquences. Un attaquant qui compromet l’identifiant d’un développeur d’un fournisseur et peut se déplacer latéralement dans le graphe d’autorisations du fournisseur jusqu’aux mécanismes d’accès aux environnements de ses clients a transformé un seul identifiant de développeur en accès à plusieurs clients. Le chemin de déplacement latéral allant du développeur au pipeline CI/CD, puis aux identifiants de déploiement et à l’environnement client, est un schéma d’attaque bien documenté qui exploite des chaînes d’autorisations plutôt que des vulnérabilités.

Là où la plupart des équipes se trompent

L’échec le plus constant consiste à évaluer les autorisations isolément plutôt que sous forme de graphe. Les revues d’autorisations individuelles confirment que chaque autorisation est adaptée au rôle qui la détient. Elles n’analysent pas le chemin d’attaque que crée la combinaison des autorisations. L’analyse fondée sur les graphes, qui consiste à se demander ce qu’une identité compromise peut atteindre en enchaînant des autorisations légitimes, est l’évaluation qui révèle les chemins de déplacement latéral que la revue individuelle des autorisations ne voit pas.

• Évaluer les autorisations isolément plutôt que sous forme de graphe
• Aucune analyse du graphe d’autorisations : chemins de déplacement latéral non évalués
• Accès au magasin d’identifiants non évalué comme pivot de déplacement latéral
• Liens de réplication et de synchronisation non analysés comme chemins franchissant des frontières
• Tests d’intrusion n’incluant pas le déplacement latéral fondé sur l’identité parmi leurs objectifs

À quoi ressemblent les bonnes pratiques

Les programmes matures de sécurité des identités incluent l’analyse du graphe d’autorisations : ils analysent régulièrement quelles destinations de grande valeur peuvent être atteintes à partir de n’importe quel identifiant de départ par des combinaisons d’autorisations légitimes, et ils identifient et corrigent les chemins qui n’étaient pas censés exister.

• Outils d’analyse du graphe d’autorisations : visualiser ce qui peut être atteint à partir de chaque identité par des chaînes d’autorisations légitimes
• Analyse du rayon d’impact : pour chaque scénario d’identité compromise, modéliser ce qui peut être atteint
• Restrictions d’accès aux magasins d’identifiants : limiter au strict nécessaire les personnes autorisées à lire les magasins d’identifiants
• Évaluation des accès par les liens de réplication et de synchronisation : analyse des chemins franchissant des frontières créés par la synchronisation
• Tests d’intrusion avec objectifs de déplacement latéral : tester spécifiquement la traversée de chaînes d’autorisations

Outils

Analyse des chemins d’attaque d’identité : BloodHound, BloodHound Enterprise, Semperis

BloodHound a été initialement développé pour analyser les graphes d’autorisations Active Directory à la recherche de chemins d’attaque, en visualisant les relations entre comptes, groupes et ressources qui créent des chemins de déplacement latéral involontaires. BloodHound Enterprise étend cette analyse à Azure AD et aux environnements hybrides. Pour les praticiens de la TPRM, demander si le fournisseur utilise des outils d’analyse des chemins d’attaque pour identifier les chemins de déplacement latéral dans son graphe d’autorisations constitue une question précise d’évaluation de la sécurité du graphe d’identités.

Analyse des autorisations cloud : Wiz, Orca, Veza

Les plateformes de sécurité cloud fournissent une analyse du graphe d’autorisations pour les environnements cloud, en analysant les chaînes de rôles IAM, les politiques d’accès aux ressources et les autorisations des comptes de service afin d’identifier les chemins menant d’identités à faibles privilèges vers des ressources de grande valeur. Pour les praticiens de la TPRM, demander si les outils de sécurité cloud du fournisseur incluent une analyse du graphe d’autorisations pour détecter les chemins de déplacement latéral constitue une question précise sur le risque lié aux identités cloud.

Enjeux de gouvernance

Le défi de gouvernance du déplacement latéral fondé sur l’identité tient à la complexité de l’analyse. Les graphes d’autorisations des environnements d’entreprise sont vastes, complexes et évoluent en permanence à mesure que des autorisations sont ajoutées et modifiées. Une analyse ponctuelle trouve les chemins qui existent à ce moment-là. Une analyse continue exige des outils automatisés qui tiennent le graphe à jour et signalent les nouveaux chemins dès leur apparition. La revue manuelle des autorisations ne peut pas passer à l’échelle d’une analyse de graphe : celle-ci exige des outils conçus spécifiquement pour ce problème.

• Demander si une analyse des chemins d’attaque est réalisée : BloodHound ou équivalent pour l’analyse du graphe d’autorisations
• Interroger sur l’évaluation du rayon d’impact : ce qui peut être atteint à partir d’un identifiant de développeur compromis
• Interroger sur les contrôles d’accès au magasin d’identifiants : qui peut lire le gestionnaire de secrets et ce qu’il contient
• Interroger sur les objectifs de déplacement latéral des tests d’intrusion : la traversée de chaînes d’identités fait-elle partie du périmètre de test défini ?
• Inclure l’analyse du déplacement latéral dans l’évaluation de la sécurité des fournisseurs

Si vous êtes une petite équipe

Posez à vos fournisseurs les plus à risque une question qui oblige à raisonner en termes de déplacement latéral : à partir d’un identifiant de développeur compromis, quelle est la plus longue chaîne d’autorisations menant à vos données clients les plus sensibles, et combien de sauts d’autorisation légitimes faut-il ? Cette question oblige le fournisseur à réfléchir à son graphe d’autorisations plutôt qu’à ses contrôles d’autorisation individuels, et une réponse honnête révèle si les chemins de déplacement latéral ont été analysés ou si seules les autorisations individuelles ont été examinées.

• Poser la question du scénario de déplacement latéral : combien de sauts entre un identifiant de développeur et les données sensibles de plus haut niveau
• Demander si BloodHound ou une analyse équivalente des chemins d’attaque a été exécuté
• Demander si les tests d’intrusion incluent le déplacement latéral fondé sur l’identité parmi leurs objectifs
• Interroger sur les contrôles d’accès au magasin d’identifiants et sur les identifiants qu’il contient

Ce qu’il faut exiger

Demandez directement :

« Avez-vous réalisé une analyse du graphe d’autorisations, avec BloodHound ou un outil équivalent, pour identifier les chemins de déplacement latéral qui pourraient permettre à un identifiant compromis à faibles privilèges d’atteindre des ressources de grande valeur par des chaînes d’autorisations légitimes ? »

« À partir d’un identifiant de développeur compromis, combien de sauts d’autorisation légitimes faudrait-il pour atteindre vos données clients les plus sensibles, et ces chemins ont-ils été évalués et corrigés ? »

Preuves attendues

• Outil d’analyse des chemins d’attaque et date de la dernière analyse
• Registres de correction des chemins de déplacement latéral
• Documentation des restrictions d’accès aux magasins d’identifiants
• Confirmation du périmètre des tests d’intrusion, objectifs de déplacement latéral compris

Il convient de demander à un fournisseur qui confirme des contrôles d’accès individuels robustes si ces contrôles ont été analysés sous forme de graphe, en particulier si les chemins qui combinent plusieurs autorisations légitimes pour atteindre des destinations non prévues ont été identifiés et corrigés. Les autorisations individuelles sont les nœuds. Les chemins d’attaque sont les arêtes. N’évaluer que les nœuds laisse les arêtes sans examen.

Comment le prouver

• Registres d’analyse des chemins d’attaque
• Documentation de la correction des chemins de déplacement latéral
• Périmètre de déplacement latéral des tests d’intrusion
• Contrôles d’accès aux magasins d’identifiants

À retenir

Les autorisations individuelles sont les nœuds. Les chemins d’attaque sont les arêtes. La revue individuelle des accès évalue chaque nœud et confirme que chacun est approprié. Elle n’analyse pas les chemins que créent les chaînes de nœuds appropriés. L’accès du développeur au gestionnaire de secrets est approprié. Les identifiants de préproduction contenus dans le gestionnaire de secrets sont appropriés. La réplication de la préproduction vers la production est appropriée pour la DR. La combinaison crée un chemin en quatre sauts entre un identifiant de développeur et la base de production, qui n’a jamais été évalué, jamais approuvé et n’a déclenché aucune alerte lorsqu’il a été parcouru. L’analyse du graphe d’autorisations trouve les chemins qui existent entre des autorisations individuellement appropriées. C’est le complément de gouvernance que la revue individuelle des accès ne peut pas fournir. Demandez si le graphe a été analysé. L’attaque se loge dans les arêtes.