Identity Threat Detection and Response (détection et réponse aux menaces d’identité)
Qu’est-ce que l’ITDR (Identity Threat Detection and Response)?
L’ITDR est la discipline de cybersécurité qui consiste à détecter les attaques contre les systèmes d’identité, comme Microsoft 365, Microsoft Entra ID, Azure AD et Google Workspace, et à y répondre, en analysant les événements d’authentification, les changements de configuration des boîtes aux lettres, les autorisations OAuth et l’activité des rôles privilégiés. Lavawall® offre l’ITDR pour tous les locataires infonuagiques à partir d’une seule console multilocataire.
Commencer gratuitement, sans carte de crédit Voir comment cela fonctionne
Anomalies d’authentification · règles de boîte aux lettres · autorisations OAuth · abus de rôles privilégiés
Définition
L’ITDR est apparu à mesure que les cyberattaques passaient de la compromission des postes à la compromission des identités. Les attaquants modernes peuvent hameçonner des identifiants, inscrire des applications OAuth malveillantes ou exploiter des rôles d’administrateur mal configurés sans installer de logiciel malveillant. Une fois dans le système d’identité, ils peuvent lire le courrier, exfiltrer des fichiers et accéder aux ressources en aval.
L’ITDR traite la couche d’identité comme une surface de détection principale et tire des signaux de Microsoft 365, d’Entra ID, d’Azure, de Google Workspace, d’Okta, d’Auth0 et de services fédérés comme Exchange Online, OneDrive, SharePoint, Teams, Gmail, Drive, Calendar et Meet.
Les détections comprennent la création suspecte de règles de boîte aux lettres, les autorisations d’applications OAuth accordées à des parties à risque, les schémas de connexion anormaux, les connexions à déplacement impossible avec analyse de la distance et de la vitesse, les élévations de rôles privilégiés, les événements d’écriture de secrets sur les inscriptions d’applications, l’activité inhabituelle sur les fichiers et les schémas d’abus d’administrateur.
Pour les FSG, l’ITDR offre une couverture que l’antivirus et l’EDR des postes ne peuvent pas offrir. Les attaquants qui utilisent des identifiants hameçonnés restent invisibles pour la protection des postes, mais visibles par des schémas de connexion anormaux, de nouvelles règles de boîte aux lettres ou de nouvelles autorisations OAuth. L’ITDR est une couche complémentaire au XDR et à l’EDR des postes, et ne remplace ni l’un ni l’autre.
Composantes principales
- Détection des anomalies d’authentification. Détection des schémas de connexion inhabituels, y compris les nouveaux pays, appareils et plages d’adresses IP, les déplacements impossibles et les schémas de force brute ou de pulvérisation de mots de passe.
- Surveillance des règles de boîte aux lettres. Détection des règles suspectes comme le transfert automatique vers des adresses externes, la suppression automatique des avertissements de sécurité et l’archivage automatique des courriels de réponse aux incidents.
- Surveillance des applications OAuth. Détection des applications OAuth nouvellement autorisées, surtout celles qui disposent d’un large accès aux boîtes aux lettres ou aux fichiers et qui proviennent d’éditeurs inconnus.
- Surveillance des rôles privilégiés. Détection des changements apportés aux rôles privilégiés (administrateur général, administrateur des rôles privilégiés) et des schémas d’abus par les comptes qui détiennent ces rôles.
- Anomalies d’activité sur les fichiers. Détection des volumes de téléchargement inhabituels, des suppressions massives, des partages externes massifs et d’autres indicateurs de compromission semblables.
- Corrélation avec les postes. Recoupement des signaux d’identité avec la télémétrie des postes pour éliminer les faux positifs. Une connexion depuis un nouveau pays est moins suspecte si le poste de travail de l’utilisateur vient de s’y connecter.
- Évaluation de la configuration. Évaluation continue de la configuration d’identité (application de l’AMF, politiques d’accès conditionnel, authentification héritée, journalisation d’audit des boîtes aux lettres, conservation) pour permettre la correction.
Pourquoi c’est important
Les données sur les attaques modernes montrent que la compromission d’identité est un vecteur d’accès initial de premier plan. Les rapports Digital Defense de Microsoft et le DBIR de Verizon soulignent à répétition que l’hameçonnage et les attaques fondées sur les identifiants sont les principales méthodes d’entrée. L’EDR des postes ne peut pas repérer les attaquants qui ont hameçonné des identifiants sans rien installer.
Pour les FSG qui gèrent plusieurs locataires clients, l’ITDR est un problème multilocataire à grande échelle. Un FSG qui se fie uniquement aux alertes « Risky Users » de Microsoft Entra passe la majeure partie de son temps à courir après des faux positifs (confidentialité IPv6, transferts de RPV, déplacements légitimes), à moins que l’ITDR ne mette les signaux en corrélation avec la télémétrie des postes.
Les évaluations de cyberassurance et les audits de la CMMC 2.0 et du NIST CSF exigent de plus en plus des contrôles de protection de l’identité (application de l’AMF, gestion des accès privilégiés, détection d’anomalies), ce qui fait de l’ITDR une partie de la réponse de conformité.
Comment Lavawall® vous aide avec l’ITDR
Lavawall® offre l’ITDR pour Microsoft 365 / Entra ID / Azure et Google Workspace à partir d’une seule console multilocataire. Il se connecte en un clic par locataire, met les signaux infonuagiques en corrélation avec la télémétrie des postes et fait ressortir des incidents exploitables plutôt que des alertes brutes.
La réduction des faux positifs reçoit une attention particulière. Les ordinateurs qui exécutent l’agent Lavawall® (Windows, macOS ou Linux) sont automatiquement exclus des séquences de connexion avec échec suivi d’une réussite depuis un emplacement inconnu. La plateforme tient compte de la confidentialité IPv6 et d’autres sources de bruit. La détection des déplacements impossibles affiche la distance et la vitesse réelles, ce qui permet aux techniciens de juger si 800 km en 12 minutes est réel ou un transfert de RPV.
La couverture comprend les règles de transfert de boîte aux lettres et les règles de boîte aux lettres suspectes, la détection des déplacements impossibles, les applications Entra / Azure nouvellement installées, les autorisations OAuth à risque, les activités inhabituelles sur les fichiers, la détection des abus d’administrateur et les lacunes liées aux appareils non gérés. Le tout alimente automatiquement les preuves de conformité (CMMC 2.0 IA, AC, AU; NIST CSF PR.AA, DE.CM; CIS Controls 5, 6, 8).
Commencer gratuitement → Associer les contrôles avec l’assistant GRC
Questions fréquentes
- L’ITDR est-il la même chose que la GIA?
- Non. La GIA (gestion des identités et des accès) est le système d’authentification et d’autorisation (Microsoft Entra ID, Okta, Auth0). L’ITDR est la couche de détection et de réponse qui se superpose à la GIA et surveille les compromissions. Ils sont complémentaires.
- L’ITDR est-il la même chose que l’EDR?
- Non. L’EDR surveille le poste de travail; l’ITDR surveille le système d’identité. Les piles de sécurité modernes comprennent généralement les deux, avec des intégrations entre elles.
- Microsoft Entra ID Protection fait-il cela?
- En partie. Microsoft Entra ID Protection fournit des flux « Risky Users » et « Risky Sign-ins » (utilisateurs et connexions à risque), qui sont des intrants utiles mais produisent un volume important de faux positifs pour les FSG sans corrélation avec les postes. Un ITDR dédié comme Lavawall® consomme ces signaux et ajoute la corrélation, une console multilocataire et le contexte d’évaluation de la configuration pour rendre les alertes exploitables.
- En combien de temps puis-je ajouter un locataire à l’ITDR?
- Avec Lavawall®, environ un clic par locataire. Le technicien du FSG se connecte au compte Microsoft du client, accorde les portées en lecture seule requises, et l’ingestion commence en quelques minutes. Google Workspace est tout aussi rapide (trois clics).