Le problème du 80:1 : l'identité machine est désormais le périmètre
Pour chaque humain dans votre équipe, il existe environ quatre-vingts identités machine agissant en son nom. Presque aucune n'a de propriétaire. Ce ratio est tout le problème de sécurité.
Le chiffre que personne ne compte
Comptez les humains ayant accès à vos systèmes de production. Comptez maintenant les comptes de service, clés API, agents et workers qui agissent en leur nom. Dans la plupart des entreprises que nous étudions, le second chiffre est environ quatre-vingts fois le premier. Chacun d'eux peut lire des données, déplacer de l'argent ou appeler un autre système.
Les humains sont gouvernés. Ils ont des managers, un processus de départ, des revues d'accès trimestrielles. Les quatre-vingts machines par humain sont gouvernées par un tableur, un secret partagé dans une variable d'environnement, et la mémoire de celui qui les a créées. Quand cette personne part, l'identité continue de fonctionner.
Les agents changent la pente, pas seulement le compte
Les comptes de service statiques étaient déjà un problème. Les agents l'aggravent car ils agissent de leur propre initiative. Un seul agent peut engendrer des tâches, demander de nouveaux périmètres et atteindre des systèmes que son auteur n'avait jamais anticipés — tout cela en un après-midi.
L'ancienne réponse était de donner à l'agent une clé large et de longue durée pour qu'il ne reste jamais bloqué. C'est exactement le mauvais réflexe. Largeur plus longévité, c'est du risque permanent, et le risque permanent est ce que les attaquants achètent sur le marché libre.
Traiter l'identité comme le périmètre
Il n'y a plus de bordure réseau à défendre quand votre charge de travail est une flotte d'agents appelant des API SaaS. La seule frontière durable est l'identité : qui est cet acteur, qui le parraine, et qu'est-il autorisé à faire en ce moment précis.
Réglez bien cela et le ratio quatre-vingt-pour-un cesse d'être effrayant. Chaque machine a une identité distincte, un sponsor humain nommé, et des identifiants ciblés sur la tâche qui lui fait face. Le compte continue de grimper. Le rayon de destruction, non.
- #identité non humaine
- #périmètre
- #moindre privilège
More field notes
Révocation en 4,2 secondes : anatomie d'un confinement
Nous avons mesuré le chemin de l'anomalie à la révocation complète sur chaque système qu'un agent pouvait atteindre. Voici où passent les secondes, et pourquoi elles comptent.
Daniel Osei · Ingénieur sécurité
8 min de lecture