Révocation en 4,2 secondes : anatomie d'un confinement
Nous avons mesuré le chemin de l'anomalie à la révocation complète sur chaque système qu'un agent pouvait atteindre. Voici où passent les secondes, et pourquoi elles comptent.
Le confinement est un problème de latence
La valeur de la révocation se mesure en secondes, car la valeur d'un attaquant se mesure en secondes. Entre le moment où vous décidez qu'un agent est compromis et le moment où son accès disparaît partout, il peut encore agir. Cette fenêtre est tout l'enjeu.
Nous avons instrumenté le chemin complet — détecter, décider, propager, confirmer — et l'avons ramené à un médian de 4,2 secondes jusqu'à la révocation complète sur chaque système en aval pour lequel l'agent détenait un identifiant.
Où passent les secondes
La détection n'est pas incluse dans les 4,2 secondes ; c'est le problème de votre surveillance, et il varie. Notre chronomètre démarre à l'action de révocation. La majeure partie du budget est la propagation : dire à chaque émetteur et passerelle de rejeter cette identité, et confirmer qu'ils l'ont fait.
Les identifiants de courte durée aident énormément ici. Comme les jetons expirent déjà en quelques minutes, la révocation n'a qu'à devancer la durée de vie restante et bloquer la réémission. Il n'y a pas de clé vieille d'un an à traquer à travers des systèmes oubliés.
Révoquer d'abord, enquêter ensuite
Le principe de conception est que le confinement doit être assez peu coûteux pour être votre premier réflexe, pas votre dernier recours. Si révoquer un agent est une opération prudente et multi-équipes, les gens hésitent — et l'hésitation est exactement ce sur quoi compte l'attaquant.
Une seule action invalide l'identité, les identifiants et les périmètres de l'agent d'un coup, et consigne le tout dans le journal d'audit. Vous confinez maintenant et reconstituez plus tard, dans les registres, au lieu de débattre sur le moment pendant que l'horloge tourne.
- #révocation
- #réponse aux incidents
- #confinement
More field notes
Le problème du 80:1 : l'identité machine est désormais le périmètre
Pour chaque humain dans votre équipe, il existe environ quatre-vingts identités machine agissant en son nom. Presque aucune n'a de propriétaire. Ce ratio est tout le problème de sécurité.
Daniel Osei · Ingénieur sécurité
6 min de lecture