Protection en ligne et en temps réel qui suit le rythme de votre entreprise
Le paysage actuel et complexe des menaces liées à l’identité exige des pratiques de sécurité rationalisées et une stratégie de défense en profondeur multiniveau en constante évolution pour identifier et réduire les menaces en matière de cybersécurité. La stratégie de sécurité globale d’Okta répond à ces menaces à plusieurs niveaux, notamment à l’edge, en utilisant des zones de blocage, la configuration de ThreatInsight, la limitation automatique du débit, les politiques de connexion Okta et l’authentification à facteurs renforcés.
Mais qu’en est-il du risque après l’authentification ? Cette phase essentielle du cycle de vie de l’identité constitue traditionnellement un angle mort pour les solutions de sécurité. Découvrez le nouveau produit Workforce Identity d’Okta : Identity Threat Protection with Okta AI. Nous allons examiner comment Identity Threat Protection répond au besoin de sécurité continue au-delà de l’authentification initiale.
Explorons la plateforme dans le contexte de MediaXMedia, une entreprise SaaS de niveau entreprise qui utilise Okta Workforce Identity pour sécuriser ses employés. Nous vivrons ce parcours à travers le regard de deux employés de MediaXMedia. Tout d'abord, nous examinerons l'expérience de l'utilisateur final à travers les observations de Tina Smith, ingénieure commerciale. Ensuite, nous passerons à l'expérience administrative du point de vue de Jim Frost, chef d'équipe SecOps.
Le point de vue de l'utilisateur final
Commençons par explorer le parcours quotidien d’un utilisateur final. Tina Smith est ingénieure commerciale chez MediaXMedia. Tina est une ingénieure commerciale passionnée qui aime aider les clients à comprendre et à utiliser les produits de MediaXMedia. Ces produits répondent à des problématiques concrètes et ont un impact visible sur l’activité des clients. Voici comment Identity Threat Protection offre une sécurité renforcée tout au long de la journée de Tina, sans nuire à sa productivité.
Matin : Authentification adaptative en action
8 h 00 : Tina se connecte à son tableau de bord Okta depuis chez elle en utilisant un facteur d’authentification résistant au phishing.
10h00 : Elle arrive pour sa première visite dans les locaux d’un client potentiel en centre-ville.
10 h 05 : Tina tente d’accéder à une nouvelle application via le tableau de bord Okta.
- ITP détecte un changement dans le contexte de sa session existante et lui demande une authentification en ligne renforcée.
L'avantage de Identity Threat Protection
- Évaluation continue des risques : changement d’adresse IP détecté en cours de session.
- Réponse au risque ciblée : authentification renforcée déclenchée pour une sécurité accrue.
- Expérience utilisateur : Tina, informée des protocoles de sécurité de MediaXMedia, effectue rapidement la vérification supplémentaire.
Après-midi : En déplacement
15 h : Tina embarque pour un vol à destination de Chicago pour une autre réunion avec un client.
15 h 30 : Grâce au Wi-Fi disponible à bord, elle accède à sa messagerie professionnelle et à Slack via Okta FastPass sur son terminal mobile sans authentification supplémentaire.
15 h 45 : En tentant d’ouvrir Salesforce, Tina est confrontée à une nouvelle demande d’authentification renforcée en raison d’un changement de contexte.
L'avantage de Identity Threat Protection
- Évaluation continue des risques : nouveau contexte réseau identifié.
- La réponse précise aux risques garantit des mesures de sécurité appropriées sans perturber le flux de travail de Tina.
Une menace inattendue
16 h 30 : Tina consulte ses e-mails personnels sur son appareil BYOD, inscrit dans la solution MDM de MediaXMedia.
16 h 35: Enthousiaste à l’idée d’assister à un concert, Tina clique sans le savoir sur un lien contenu dans un email de phishing, ce qui compromet son appareil.
16 h 36 : Les actions de Tina déclenchent une alerte de sécurité.
L’avantage Identity Threat Protection :
- La solution de point de terminaison détecte la menace grave et signale Identity Threat Protection.
- La déconnexion universelle est exécutée sur tous les appareils de Tina et les applications prises en charge.
- Tina est déconnectée d’Okta, de Google Workspace et de Slack sur son ordinateur portable et son appareil mobile.
Résolution
17 h 30 : Alors que Tina atterrit à Chicago, l’équipe SecOps a déjà neutralisé la menace.
18 h 00 : Sécurisée et de nouveau en ligne, Tina est prête pour sa prochaine réunion.
Les réflexions de Tina
Quelle journée de travail chargée en événements pour Tina. Elle est reconnaissante envers son équipe de sécurité d'avoir neutralisé la menace de sécurité sans perturber son travail. Ils lui ont permis de se concentrer sur ce qu'elle fait le mieux : montrer aux clients potentiels la puissance de la plateforme SaaS de son entreprise sans se soucier de la compromission de son appareil ou de ses sessions.
Le point de vue de l’administrateur
Dans un paysage de la sécurité en constante évolution, marqué notamment par la montée de l’intelligence artificielle (IA), les attaques menées par des États et les menaces internes, Jim et son équipe doivent sans cesse relever le défi de contrer des attaques de plus en plus sophistiquées. Pour répondre à cette problématique, l’équipe a déployé l’authentification sans mot de passe et résistante au phishing dans l’ensemble de MediaXMedia. Avec cela, Jim estime avoir atteint une protection complète des identités au sein de son entreprise. Cependant, il sait que les attaquants trouvent de nouvelles méthodes pour pénétrer les entreprises, et qu’ils ciblent désormais la phase post-authentification. L’équipe de Jim a récemment déployé Identity Threat Protection. Voyons une journée de son quotidien.
Matin : Commencez la journée avec du café et de l'observabilité
8 h 00 : MediaXMedia s’appuie sur les meilleurs fournisseurs de solutions de sécurité pour protéger différentes surfaces d’attaque. Avant ITP, Jim et son équipe devaient passer plusieurs heures à examiner les tableaux de bord et les journaux dans leurs outils XDR, ZTNA, SOAR, CASB et réseau afin de déterminer si des entités présentes sur ces surfaces d’attaque étaient exposées à un risque. Identity Threat Protection simplifie ce travail en regroupant toutes les informations liées à l’identité dans les tableaux de bord et rapports Okta Identity Threat Protection. Le niveau de risque d’un utilisateur ou d’une utilisatrice dans Okta résulte de la combinaison du risque propre à Okta et du risque observé sur l’ensemble des surfaces d’attaque, tel que déterminé par la pile de sécurité de MediaXMedia. L’équipe SecOps utilise désormais Identity Threat Protection pour simplifier l’évaluation du risque lié aux utilisateurs et utilisatrices.
- Calcul automatisé du risque : Le Risk Engine évalue le risque selon trois catégories (connexion, session et entité), en classant chacune comme faible, moyenne ou élevée.
- Évaluation continue : le niveau de risque est calculé en temps réel, même si l’utilisateur n’interagit pas avec Okta. Les évaluations de politique prennent en compte ce risque et s’exécutent en continu afin de veiller à ce que la représentation de la posture de sécurité de l’utilisateur soit toujours respectée tout au long du cycle de vie de l’accès.
- Détection complète : les signaux natifs de première main d’Okta couvrent l’ensemble des tactiques, techniques et procédures sur le plan de l’identité. Okta a largement contribué à des standards tels que le Continuous Access Evaluation Protocol, ce qui a permis des intégrations avec les principaux fournisseurs de sécurité du secteur afin de partager des signaux de risque tiers via le Shared Signals Framework (SSF), offrant ainsi une couverture complète des tactiques, techniques et procédures (TTP) qui croisent le périmètre de l’identité, comme l’appareil, le réseau, l’application et les données. Pour les fournisseurs de solutions de sécurité qui ne sont pas encore sur SSF, Okta propose des mécanismes simples de chaînage d’API pour intégrer le risque à Identity Threat Protection.
L’équipe de Jim a constaté que certaines activités classées comme présentant un risque moyen ou élevé correspondent en réalité à un comportement standard pour certaines personnes utilisatrices. Par exemple, en tant que membre de l’équipe commerciale, des collaboratrices et collaborateurs comme Tina se déplacent régulièrement vers certains sites, ce qui entraîne des changements d’adresse IP après authentification qui sont attendus. Pour améliorer la précision, Jim dispose de plusieurs leviers. Son équipe peut signaler les faux positifs identifiés par le moteur d’IA et transmettre directement ses retours à Risk Engine. De plus, il est possible de configurer des zones IP exemptées ou des proxies de confiance afin d’exclure le trafic provenant de ces zones IP de l’évaluation ITP.
9 h: par la suite, l’équipe SecOps consulte le tableau de bord/rapport des détections de risques liés aux entités, ce qui lui permet de surveiller les détections à haut risque, leurs origines et les déclencheurs de politiques adaptatives correspondants. Grâce aux fonctionnalités précises de réponse au risque d’Okta, l’équipe de Jim bénéficie d’une approche de sécurité à la fois nuancée et flexible. Cette intégration présente plusieurs avantages :
- Recevez des alertes de risque en temps réel directement dans la console d’administration Okta
- Obtenir une vue d'ensemble du paysage de sécurité de MediaXMedia
- Initier des actions de correction automatisées basées sur des politiques prédéfinies.
Le Shared Signals Pipeline garantit que les informations sur les menaces circulent immédiatement et de manière transparente entre les systèmes, améliorant ainsi la posture de sécurité globale de MediaXMedia.
Pour illustrer l'efficacité de l'évaluation continue des risques, prenons l'exemple d'un utilisateur qui se connecte à Salesforce le matin et utilise l'application tout au long de la journée. Traditionnellement, si sa session était compromise (par exemple, par le vol de cookies), la menace pourrait ne pas être détectée tant que la solution Endpoint Detection and Response (EDR) n'a pas signalé un éventuel logiciel malveillant, ce qui pourrait prendre des heures. Ce retard de détection pose un défi important, car les mesures correctives ultérieures : telles que la fermeture de session, les ajustements aux groupes d'utilisateurs, les déclencheurs de flux de travail Okta et le verrouillage de compte ne seront pas prises à temps.
Sans Identity Threat Protection, l'équipe de sécurité de Jim rencontrerait des difficultés considérables, notamment :
- Analyse manuelle des données provenant de plusieurs systèmes qui prend beaucoup de temps
- Heures passées à identifier les problèmes de sécurité potentiels
- Retards dans l'exécution des playbooks de remédiation
- Risque de dommages non contrôlés en raison de délais de réponse
Les équipes SecOps ont besoin d’une détection et réponse aux menaces liées à l’identité (ITDR) en ligne et en temps réel pour faire face efficacement à l’évolution des menaces. Sans ITDR en ligne, les délais de détection créent d’importantes vulnérabilités, permettant à des acteurs malveillants de causer des dommages et rendant les mesures réactives telles que la clôture de session, le verrouillage de compte ou la modification des accès inefficaces pour prévenir les brèches de données ou les compromissions de systèmes. De plus, ces délais nuisent à la productivité, car les équipes sécurité consacrent un temps précieux à l’investigation des incidents au lieu de se concentrer sur les priorités essentielles de l’entreprise.
En 2024, il a fallu en moyenne 194 jours aux organisations pour identifier une violation de données et 64 jours pour la contenir — pourtant, les attaquants n'ont souvent besoin que de quelques heures pour compromettre entièrement un environnement. Ce contraste frappant souligne le besoin urgent d'ITDR en temps réel pour minimiser l'exposition et prévenir les dommages graves.
En revanche, l'évaluation continue des risques d'Identity Threat Protection offre les avantages suivants :
- L'analyse automatisée des données de sécurité s'effectue en temps réel dans toute l'organisation
- Menaces potentielles rapidement identifiées
- Actions de correction basées sur des politiques déclenchées instantanément ou en ligne
- Fenêtre de vulnérabilité considérablement réduite
Cette méthodologie proactive et automatisée permet à l'équipe de Jim de garder une longueur d'avance sur les menaces potentielles, ce qui lui permet de se concentrer sur la gestion rapide des risques réels tout en minimisant l'impact des incidents de sécurité sur les opérations de MediaXMedia.
L'équipe de Jim a déjà configuré des politiques de Protection contre les menaces liées à l'identité adaptées à la lutte contre des menaces de cybersécurité spécifiques. Les capacités de réponse aux risques de précision d'Okta offrent à MediaXMedia une approche nuancée et flexible pour répondre à ces menaces. Ces options incluent :
- Universal Logout : possibilité de mettre fin aux sessions d’application actives et de révoquer la session Identity Provider (IDP) d’Okta sur tous les appareils pour les applications compatibles avec le framework Universal Logout. Vous n’avez plus besoin d’attendre l’expiration de l’accès à l’application.
- MFA en ligne : pour les cas classés comme événements à risque moyen, l’équipe peut limiter les interruptions majeures pour les utilisateurs en demandant simplement une authentification renforcée en ligne.
- Réponses pilotées par les workflows: en cas d’événements à risque élevé, l’équipe de Jim utilise Okta Workflows pour déclencher automatiquement des alertes, générer des tickets JIRA et placer les utilisateurs à haut risque dans des groupes d’accès restreint.
Cette approche à plusieurs niveaux permet à l'équipe de Jim de réagir de manière proportionnée aux différents niveaux de menace. Par exemple, lorsque Identity Threat Protection identifie un changement de risque, de zone de réseau, d'appareil ou de comportement, il peut automatiquement lancer des actions d'atténuation et de correction que l'équipe de Jim a configurées conformément aux exigences de sécurité de MediaXMedia.
En pratique, cela signifie :
- Pour les changements à faible risque : le système peut simplement enregistrer l’événement pour un examen ultérieur.
- Pour les événements à risque modéré : les utilisateurs peuvent être invités à effectuer une authentification supplémentaire.
- Pour les situations à haut risque : le système pourrait révoquer automatiquement les sessions via Universal Logout ou en s’appuyant sur les Workflows, restreindre l’accès et alerter l’équipe sécurité pour une investigation immédiate.
11 h – 16 h: réunions et autres tâches liées à la sécurité
Après-midi : neutraliser les menaces liées à l’identité pour les utilisateurs et utilisatrices de MediaXMedia
16 h 36: reçoit une notification Slack indiquant que l’utilisatrice « Tina Smith » utilise un appareil compromis. Ce risque a été transmis via JamF grâce au framework Shared Signals. Identity Threat Protection a automatiquement défini le niveau de risque utilisateur de cette personne sur ÉLEVÉ et l’a déplacée dans le groupe « utilisateurs en quarantaine » dans Okta, ce qui a entraîné la perte d’accès à toutes ses applications.
16 h 40 : workflows de correction déclenchés automatiquement par le système de gestion des terminaux mobiles. Une fois que l’appareil est sain, l’utilisateur est retiré du groupe en quarantaine. Son niveau de risque dans Okta est réinitialisé à FAIBLE, ce qui lui permet de retrouver l’accès aux applications nécessaires. E-mail automatique envoyé à Tina expliquant ce qui s’était passé. La menace pesant sur l’identité utilisateur Tina a été neutralisée.
Soir : Suivre le soleil
À partir de 17 h : la sécurité ne s’arrête jamais. L’équipe sécurité mondiale distribuée de MediaXMedia prend le relais, offrant une couverture continue, à l’image d’Okta Identity Threat Protection.
Réflexions de Jim
Normalement, reconstituer l’enquête sur les menaces liées au parcours d’accès d’un utilisateur comme Tina Smith aurait demandé plusieurs heures à son équipe. Avec ITP, la détection et la correction ont lieu en quelques minutes. Parce qu’ils ont pu réagir à temps, ils sont parvenus à éviter toute compromission supplémentaire, comme le déplacement latéral, l’accès à privilèges et l’exfiltration de données. Son équipe commence réellement à mesurer la valeur apportée par les protections complètes, en ligne et en temps réel offertes par Identity Threat Protection, qui s’intègrent également parfaitement à leur pile de sécurité. Ils apprécient particulièrement le tableau de bord Identity Threat Protection, qui est devenu leur point d’accès unique pour évaluer les risques concernant leurs utilisateurs sur toutes les surfaces d’attaque.
Les méthodologies sophistiquées d’apprentissage automatique d’Identity Threat Protection évaluent les risques de session en temps réel. En analysant de vastes ensembles de données, les modèles d’IA d’Okta identifient les schémas irréguliers et anticipent proactivement les menaces. Grâce à l’évaluation des risques améliorée par l’IA, le niveau de risque de chaque session est évalué en continu en tenant compte du comportement de l’utilisateur, du contexte de l’appareil et des détails du réseau.
Ce mécanisme de score adaptatif permet des ajustements rapides aux protocoles de sécurité, renforçant ainsi les mécanismes de défense sans perturber les interactions avec les utilisateurs. L'utilisation d'algorithmes d'apprentissage automatique aide à discerner les activités normales et suspectes avec une plus grande précision, privilégiant ainsi les menaces authentiques tout en minimisant les perturbations injustifiées pour les utilisateurs légitimes.
Maintenant que vous avez découvert une journée type de Jim, notre SecAdmin, et de Tina, notre utilisatrice finale, vous pouvez constater comment Okta Identity Threat Protection with Okta AI renforce considérablement la posture de sécurité de MediaXMedia tout en permettant aux utilisateurs finaux d’accéder en toute sécurité aux ressources essentielles, sans entrave.
