ITDR (Identity Threat Detection and Response)

Qu'est-ce que l'ITDR (identity threat detection and response) ?

L'ITDR (identity threat detection and response) est une discipline de sécurité centrée sur la détection et le traitement des attaques qui visent l'infrastructure d'identité elle-même : sessions volées, identifiants compromis, privilèges détournés, configuration d'identité manipulée. Elle existe parce que les attaquants se connectent de plus en plus au lieu de s'introduire, ce qui ne laisse aucun logiciel malveillant à trouver pour les outils de poste de travail.

Ce que détecte l'ITDR

• Attaques sur identifiants : pulvérisation de mots de passe, credential stuffing, correspondances confirmées avec des identifiants fuités.
• Vol de session et de jeton, quand un cookie de session ou un jeton de rafraîchissement valide est rejoué depuis ailleurs.
• Fatigue du MFA, quand des notifications push répétées sont envoyées jusqu'à ce que l'utilisateur en approuve une.
• Détournement de privilèges : usage inhabituel d'un rôle d'administration, ou attribution de rôle que personne n'a demandée.
• Altération de configuration : nouvelle relation de fédération, politique d'accès conditionnel modifiée, compte d'administration créé.

L'angle mort, c'est tout ce qui se situe hors du fournisseur d'identité

L'ITDR surveille l'infrastructure d'identité à laquelle il est connecté, ce qui signifie en pratique le fournisseur d'identité et l'annuaire. Une part croissante des attaques identitaires se produit désormais un cran plus loin : hameçonnage de consentement OAuth contre une application SaaS, jeton d'API émis à l'intérieur d'un outil, ou application jamais fédérée. Aucun de ces cas ne produit de signal dans le fournisseur d'identité, puisque celui-ci n'a jamais été sollicité.

Exemples et cas d'usage

Un attaquant envoie un écran de consentement pour un module de productivité d'apparence légitime. Un salarié l'approuve, ce qui accorde un accès permanent en lecture à sa messagerie et à son disque. Aucun mot de passe n'est volé, aucun MFA n'est contourné, et le fournisseur d'identité enregistre une connexion réussie et conforme à la politique. La détection doit venir de l'autorisation elle-même : quelles applications détiennent quels périmètres, et lesquelles sont apparues cette semaine. Corma fait remonter ces autorisations OAuth sur l'ensemble du parc, couche que l'ITDR n'atteint pas.

Concepts associés

• Gouvernance et administration des identités
• Solution IAM pour les équipes de sécurité
• Détecter et prévenir la shadow IA

FAQ

Quelle différence entre ITDR et EDR ?

L'EDR détecte les menaces sur les postes de travail par le comportement des processus et des fichiers. L'ITDR détecte les menaces contre les systèmes d'identité par les signaux d'authentification, d'autorisation et de configuration.

L'ITDR est-il la même chose qu'un SIEM ?

Non. Un SIEM agrège les journaux de partout. L'ITDR se spécialise dans la télémétrie d'identité et les schémas d'attaque qui lui sont propres, et il alimente généralement un SIEM au lieu de le remplacer.

Quelle est l'attaque identitaire la plus fréquente aujourd'hui ?

Le vol de session et de jeton, suivi de l'hameçonnage de consentement OAuth. Les deux contournent l'authentification multifacteur parce que le facteur avait déjà été satisfait.

Où se situe l'ITDR par rapport à l'IAM ?

L'IAM décide qui obtient l'accès. L'ITDR observe ce qui arrive ensuite à ces identités et réagit quand le comportement cesse de correspondre à ce qui a été accordé.

Demander une démo