ITDR : détecter les risques d’identité avant l’incident
Cybersécurité
Articles de Tomás Romão
L’ITDR aide à considérer l’identité comme une surface d’attaque critique, en combinant visibilité, détection et réponse dans les environnements hybrides.
TL;DR
- L’identité est devenue un vecteur de risque central dans les environnements hybrides.
- L’ITDR complète le MFA, l’IAM et le Zero Trust par une détection et une réponse continues.
- Les comptes privilégiés, les identités non humaines et les sessions suspectes doivent être couverts.
- L’intégration avec le SOC, le SIEM et les opérations peut réduire le temps d’investigation.
- L’adoption doit commencer par des cas d’usage prioritaires, pas par un outil isolé.
Pourquoi l’identité est devenue centrale dans le risque
Pendant des années, de nombreuses organisations ont traité l’identité principalement comme un sujet d’authentification : annuaires, mots de passe, authentification multifacteur et gestion des accès. Ces contrôles restent nécessaires, mais ils ne suffisent plus. Dans les environnements hybrides, avec des applications SaaS, du cloud public, une infrastructure locale, des comptes de service, des intégrations API et des utilisateurs externes, l’identité est devenue une surface d’attaque distribuée et difficile à observer.
Ce que l’ITDR apporte
L’Identity Threat Detection and Response, ou ITDR, est une discipline qui vise à détecter, investiguer et répondre aux menaces centrées sur les identités. Elle ne remplace pas l’IAM, le PAM, le MFA ni les politiques de [Zero Trust](/fr/solutions/zero-trust-ztna) ; elle les complète par une surveillance continue, une analyse comportementale, une corrélation d’événements et des capacités de réponse. L’objectif est d’identifier des signaux tels qu’une élévation anormale de privilèges, un usage inhabituel d’identifiants, une création suspecte de comptes, un abus de jetons ou un mouvement latéral via des identités légitimes.
De la prévention à la détection opérationnelle
La prévention réduit la probabilité de compromission, mais elle ne couvre pas tous les scénarios. Des identifiants peuvent être volés, des sessions peuvent être détournées et d’anciennes permissions peuvent rester actives trop longtemps. C’est pourquoi l’ITDR doit être relié aux opérations de sécurité : ingestion des journaux provenant des annuaires, plateformes cloud, applications critiques, solutions EDR, SIEM et outils d’orchestration. Pour les organisations sans capacité interne permanente, un modèle de [SOC/NOC as a Service](/fr/solutions/soc-noc-as-a-service) peut contribuer à maintenir une surveillance continue et un tri structuré.
Les cas d’usage à prioriser
L’adoption doit commencer par les risques les plus probables et les plus impactants. Les comptes privilégiés dormants, les administrateurs avec une authentification faible, les comptes de service avec des permissions excessives, les identités applicatives sans rotation des secrets et les accès externes persistants sont de bons candidats. Il est aussi important de croiser l’identité avec le contexte : localisation, terminal, application, heure, modèle d’accès et sensibilité de la ressource. Cette approche rejoint la logique décrite dans [Zero Trust en pratique](/fr/blogue/zero-trust-na-pratica-como-substituir-vpns-tradicionais) : faire moins confiance au réseau et s’appuyer davantage sur le contexte vérifiable de chaque accès.
Métriques et gouvernance
L’ITDR doit produire des décisions, pas seulement des alertes. Les métriques utiles incluent le temps de détection d’un abus d’identifiants, le temps de révocation des accès, le nombre de comptes orphelins supprimés, la couverture des comptes privilégiés et le volume d’exceptions justifiées. Ces indicateurs doivent être revus par la sécurité, les opérations et les responsables applicatifs, car de nombreuses réponses exigent un équilibre entre confinement et continuité de service. L’alignement avec les pratiques d’[observabilité et AIOps](/fr/blogue/como-a-observability-e-o-aiops-ajudam-a-acelerar-a-resposta-a-incidentes) peut aussi améliorer l’analyse de l’impact opérationnel.
Conclusion
L’ITDR rend explicite une réalité opérationnelle : dans de nombreux incidents, l’identité est le chemin d’entrée, de persistance ou d’escalade. La réponse ne consiste pas seulement à acheter une plateforme supplémentaire, mais à cartographier les identités critiques, réduire les privilèges excessifs, collecter les signaux pertinents et définir des réponses proportionnées. Pour les CIO, CTO et responsables sécurité, la question principale est simple : pouvons-nous comprendre rapidement lorsqu’une identité légitime est utilisée de manière illégitime ?