Aujourd’hui tout porte à le croire !

Après une décennie d’investissement massif dans la cybersécurité, nous rentrons dans une période de consolidation. L’optimisation devient le maître-mot : automatiser les tâches répétitives, rationaliser les ressources, détecter toujours plus vite et répondre toujours mieux.

L’IA, entre autres, est une réponse à ces objectifs.

Mais concrètement, quels changements apporte-t-elle déjà ? Quels cas d’usage transforment le quotidien des équipes cyber ? Et jusqu’où peut-on aller ?

Explorons ensemble comment l’IA va révolutionner la cybersécurité.

Sensibilisation des collaborateurs : l’IA change la donne !

En un chiffre : 20 % des cyber incidents sont liés au phishing et à l’utilisation de comptes volés. (Selon le rapport CERT-Wavestone 2024 : tendances, analyses et enseignements pour 2025)

Former les équipes est donc essentiel. Mais c’est une tâche lourde, qui demande du temps, des ressources et une approche adaptée pour capter l’attention et garantir un réel impact. L’IA change la donne en automatisant les campagnes de sensibilisation les rendant plus interactives et engageantes.

Plus d’excuse pour exclure une entité de votre campagne car ils ne parlent pas anglais, ou pour ne pas personnaliser vos communications aux problématiques des différents pôles (RH, Finance, IT…).

Avec un peu de contexte sur les différentes équipes visées et une version initiale de votre campagne de sensibilisation, les modèles de GenAI¹ peuvent rapidement décliner vos campagnes en exemplaires personnalisés à chaque groupe visé. L’IA permet de créer, à moindre effort, un contenu adapté aux enjeux des cibles du programme de sensibilisation, augmentant l’engagement des collaborateurs et leur intérêt grâce à un message qui leur est pleinement adressé et qui traite de leurs propres enjeux. C’est un gain temps, de performance et de qualité, qui vous permet de transformer les campagnes de sensibilisation massives et génériques, en des campagnes ciblées et personnalisées indéniablement plus pertinentes.

Deux possibilités émergentes aujourd’hui pour mettre en application ce cas d’usage :

• Utiliser les modèles GenAI de confiance de votre entreprise pour vous aider à générer les éléments de votre campagne. L’avantage réside ici bien sûr dans les faibles dépenses à engager.
• Passer par un fournisseur externe. De nombreux prestataires qui accompagnent les entreprises pour des campagnes de phishing standards utilisent en internes la GenAI pour vous délivrer une solution personnalisée rapidement.

En résumé, l’IA permettra de réduire les coûts et les délais de déploiement des programmes de sensibilisation, tout en améliorant leur adhésion et leur efficacité pour faire de la sécurité une responsabilité partagée par tous.

Ces mêmes modèles d’IA peuvent d’ailleurs être personnalisés et utilisés par les équipes cybersécurité pour d’autres actions : faciliter l’accès aux référentiels Cybersécurité.

CISO GPT : un accès simplifié au référentiel cyber pour le métier

Les documents et réglementations internes en cybersécurité sont généralement étendus et bien maîtrisés par les équipes ayant participé à leur élaboration. Cependant, ils restent peu connus des autres services de l’entreprise.

Ces documents regorgent pourtant d’informations utiles pour le métier mais faute de visibilité, les politiques ne sont pas appliquées. Les équipes cyber sont sollicitées pour des demandes d’information récurrentes pourtant bien documentées.

Avec des chatbots IA, ces informations deviennent facilement accessibles. Plus besoin de parcourir des pages entières : une simple question permet d’obtenir des réponses claires et instantanées, facilitant ainsi l’application des bonnes pratiques et la réactivité en cas d’incident.

De plus en plus d’entreprises adoptent des chatbots basés sur l’IA générative pour répondre aux questions des utilisateurs et les guider vers la bonne information. Ces outils, alimentés par des modèles comme ChatGPT, Gemini ou LLaMA, accèdent à des données internes à jour et de qualité.

Résultat : les utilisateurs trouvent rapidement les réponses dont ils ont besoin.

Chez Wavestone, nous avons développé CISO GPT. Ce chatbot, connecté aux référentiels de sécurité internes, devient un véritable assistant cybersécurité. Il répond aux questions courantes, facilite l’accès aux bonnes pratiques et soulage les équipes cyber des demandes répétitives.

Répondre avec l’IA aux questions des métiers, c’est bien. Mais il est possible de faire bien plus !

Au-delà de l’accès rapide à l’information, l’IA permet aussi d’automatiser des tâches chronophages. Gestion des incidents, analyse des alertes, reporting… autant de processus qui mobilisent du temps et des ressources. Et si l’IA pouvait les accélérer, voire les prendre en charge ?

Gagnez du temps avec l’IA : automatisez les tâches chronophages

Le quotidien en entreprise est rempli de tâches chronophages. L’IA peut certainement en automatiser beaucoup, mais sur lesquelles faut-il se concentrer en priorité pour un maximum de valeur ?

Automatiser la classification de données avec l’IA

Voici une première réponse avec un autre chiffre : 77% des cyber-attaques enregistrées ont engendré un vol de données. (Selon le rapport CERT-Wavestone 2024 : tendances, analyses et enseignements pour 2025)

Et cette tendance ne risque pas de ralentir. L’explosion des volumes de données, accélérée par l’essor de l’IA, complexifie leur sécurisation.

Face à ce défi, la Data Classification reste un pilier essentiel pour construire des règles de DLP (Data Loss Prevention) efficaces. L’objectif : identifier et catégoriser les données selon leur sensibilité pour appliquer les mesures de protection adaptées.

Mais classifier les données à la main est impossible à grande échelle. Heureusement, le machine learning, permet d’automatiser ce processus. Pas besoin de GenAI ici : des algorithmes spécialisés peuvent analyser d’immenses volumes de documents, comprendre leur nature et prédire leur niveau de sensibilité.

Ces modèles s’appuient sur plusieurs critères :

• La présence d’indicateurs sensibles (numéros bancaires, données personnelles, informations stratégiques…).
• Le comportement des utilisateurs pour détecter des anomalies et signaler des fichiers anormalement exposé

En combinant Data Classification et IA les entreprises se donnent enfin les moyens de reprendre le contrôle sur leurs données et de réduire drastiquement le risque de fuite.

C’est ici qu’interviennent les DSPM (Data Security Posture Management). Ces solutions vont plus loin que la simple classification en offrant une visibilité complète sur l’exposition des données dans les environnements cloud et hybrides. Elles permettent de détecter les données mal protégées, surveiller les accès et automatiser la mise en conformité.

D’ailleurs la mise en conformité, c’est un autre processus très chronophage !

Simplifiez la mise en conformité : automatisez-la avec l’IA

Se conformer aux normes et réglementations est une tâche fastidieuse. A chaque nouvelle norme, une nouvelle mise en conformité !

Pour un acteur international, sujet à plusieurs autorités de réglementation, c’est une boucle interminable.

Bonne nouvelle : l’IA peut automatiser une grande partie du travail. Des solutions basées sur la GenAI permettent de vérifier et d’anticiper les écarts de conformité.

L’IA excelle dans l’analyse et la comparaison de données structurées. Par exemple, un modèle de GenAI peut comparer un document à un référentiel interne ou externe pour valider sa conformité. Besoin de vérifier une PSSI par rapport aux recommandations du NIST ? L’IA repère les écarts et propose des ajustements.

Simplifiez la gestion des vulnérabilités

L’IA n’est pas à court de solution lorsqu’il s‘agit de gestion de vulnérabilité. Elle peut automatiser plusieurs tâches clés :

• Vérification des règles de pare-feu : la GenAI peut analyser une matrice de flux et la comparer aux règles réellement implémentées. Elle détecte les incohérences et peut même anticiper l’impact d’un changement de règle.
• Revue de code : l’IA scanne le code à la recherche de failles de sécurité et propose des optimisations. Avec ces outils, les équipes réduisent les risques d’erreur, accélèrent les processus et libèrent du temps pour se concentrer sur des tâches à plus forte valeur ajoutée.

Automatiser la mise en conformité et la gestion des vulnérabilités, c’est renforcer la sécurité en amont et anticiper les menaces. Mais parfois il est déjà trop tard !

Face à des attaquants toujours plus innovants, comment l’IA peut-elle aider à mieux détecter et répondre aux incidents ?

Détection et réponse aux incidents : l’IA en première ligne

Pour commencer un constat clair : Les cybermenaces évoluent constamment !

Les attaquants s’adaptent, innovent et il est impératif de réagir rapidement et efficacement face à des incidents toujours plus sophistiqués. Les Security Operations Centers (SOC), sont à l’avant-garde de la gestion de ces incidents.

Avec l’IA à leur côté, ils ont maintenant un nouvel allié !

L’IA au cœur du SOC : détecter plus vite….

L’un des vecteurs d’attaque les plus utilisés et qui fait le plus de dégâts ces dernières années est l’hameçonnage, et les tentatives sont non seulement plus récurrentes, mais aussi plus élaborées qu’autrefois : QR-Code, BEC (Business Email Compromise) …

Comme dit plus haut, les campagnes de sensibilisation sont indispensables pour faire face à cette menace, mais il est aujourd’hui possible de renforcer les premières lignes de défenses contre ce type d’attaques grâce au deep learning.

Les algorithmes de traitement du langage NLP, ne se limitent pas à analyser le contenu brut des émails. Ils détectent aussi des signaux subtils comme un ton alarmiste, une demande urgente ou un style inhabituel. En comparant chaque message aux schémas habituels, l’IA repère plus efficacement les tentatives de fraude. Ces solutions vont bien plus loin que les traditionnelles solutions anti-spam souvent uniquement basées sur des indicateurs de compromission.

En dehors de ce cas très précis, l’IA va devenir indispensable pour la détection des comportements déviant (UEBA). L’accroissement continue de la taille et de la diversité des SI rend impossible la construction de règles individuelles pour détecter les anomalies. Grâce au machine learning, on peut analyser en continu les activités des utilisateurs et des systèmes pour repérer des écarts significatifs par rapport aux comportements habituels. Cela permet de détecter des menaces difficiles à identifier avec des règles statiques, comme un compte compromis accédant soudainement à des ressources sensibles ou un utilisateur adoptant un comportement inhabituel en dehors de ses horaires classiques.

Ces solutions ne sont pas nouvelles, des éditeurs de solutions proposaient dès 2015 l’incorporation d’algorithme d’analyse comportementale dans leurs solutions !

L’IA joue aussi un rôle clé dans l’accélération et l’automatisation de la réponse. Face à des attaques toujours plus rapides et sophistiquées, voyons comment l’IA permet aux équipes SOC de réagir avec plus d’efficacité et de précision.

… répondre plus fort

Les analystes SOC, submergés par un volume croissant d’alertes, doivent en traiter toujours plus avec des équipes qui, elles, ne s’agrandissent pas. Pour les aider, de nouveaux assistants GenAI dédiés au SOC émergent sur le marché, optimisant l’ensemble de la chaîne de traitement des incidents. L’objectif : faire mieux avec autant, voire moins, en réorientant les analystes vers des tâches à plus forte valeur ajoutée et en limitant le syndrome bien connu de la « fatigue des alertes ».

En commençant par la priorisation, les équipes opérationnelles croulent sous les alertes, et doivent constamment décerner le vrai du faux, le prioritaire du moins prioritaire. Sur une liste de 20 alertes sous mes yeux, lesquelles représentent une attaque réellement en cours sur mon SI ? La force de l’IA est justement d’assurer un meilleur traitement des alertes en corrélant les événements en cours. En un instant, l’IA exclue les faux positifs et renvoi la liste d’incidents prioritaires à investiguer.

L’analyste peut alors se reposer sur ce retour pour lancer son investigation. Et là encore l’IA l’appui dans ses recherches. L’assistant GenAI est capable de générer des requêtes à partir de langage naturel permettant d’interroger facilement l’ensemble des équipements du réseau. A partir de ses connaissances, l’IA peut également suggérer les étapes à suivre pour l’investigation, qui dois-je interroger ? Que dois-je vérifier ?

Les résultats renvoyés ne seront pas comparables à l’analyse d’un ingénieur SOC expert. En revanche, ils permettront à des analystes plus débutants de commencer leur investigation avant de l’escalader en cas de difficultés.

Mais le travail ne s’arrête pas là : il faut pouvoir prendre les actions de remédiations nécessaires à la suite de la découverte d’une attaque. Encore une fois, l’assistant IA permet de rester focaliser sur le processus de prise de décisions, et de fournir rapidement à l’utilisateur un ensemble d’actions à réaliser pour contenir la menace : hôtes à isoler, IP à bloquer…

La puissance de ces cas d’usage réside également dans la capacité des assistants IA à fournir un retour structuré, qui facilite bien non seulement la compréhension des analystes, mais également l’archivage et l’explication des incidents à un tiers.

Ce ne sont bien évidemment pas les seuls cas d’usage existant à date, et de nombreux verront le jour dans les années à venir. La prochaine étape est toute tracée pour les équipes de réponse à incident : l’automatisation des actions de remédiation et de protection. Nous observons déjà cela pour nos clients les plus matures, et l’arrivée des agents IA² ne fera qu’accélérer cette tendance.

Les prochains cas d’usages sont clairs : donner à l’IA des droit actifs sur les ressources de l’entreprises pour permettre une réponse en temps réel pour bloquer la propagation d’une menace. L’IA, à la suite d’une investigation réalisée en autonomie, pourra prendre seule la décision d’adapter les règles d’un pare-feu, révoquer les accès d’un utilisateur à la volée, ou encore initier une nouvelle demande d’authentification forte. Evidemment une autonomie aussi avancée n’est pas pour aujourd’hui, mais le constat est là, nous nous dirigeons dans cette direction…

Enfin, l’intégration de ces cas d’usages soulève un autre défi de taille : le prix. Ajouter ces cas d’usage à un coût. Dans un contexte économique tendu, le budget des équipes sécurité n’est pas revue à la hausse, bien au contraire. La prochaine étape sera de trouver le compromis entre gain de sécurité et coût financier.  

Conclusion

Les équipes cybersécurité font face à une offre pléthorique en matière d’IA, rendant le choix complexe. Pour avancer efficacement, il est essentiel d’adopter une approche pragmatique et structurée. Nos recommendations:

• Se former à l’IA pour mieux évaluer la valeur ajoutée de certains produits, et éviter les solutions ‘gadgets’.
• Choisir les bons cas d’usage en fonction de leur valeur ajoutée (optimisation des ressources, économies d’échelle, amélioration de la couverture des risques) et de leur complexité (socle technologique, gestion des données, coûts RH et financiers).
• Définir la bonne stratégie de développement, en arbitrant entre une approche interne ou l’appui sur des solutions existantes du marché.
• Se concentrer sur l’impact plutôt que sur l’exhaustivité, en visant un déploiement efficace des cas d’usage
• Anticiper les enjeux de sécurisation de l’IA, notamment la robustesse des modèles, la gestion des biais et la résistance aux attaques adversariales.

Il y a 10 ans, la DARPA lançait un défi sur les voitures autonomes. Ce qui relevait alors de la science-fiction est aujourd’hui une réalité. En 2025, l’IA transforme à son tour la cybersécurité. Nous n’en sommes qu’au début : jusqu’où iront les agents IA dans 10 ans ?

–

1 : GenAI (Intelligence Artificielle Générative) : désigne une branche de l’IA capable de créer du contenu original (texte, image, code, etc.) en s’appuyant sur des modèles entraînés sur de vastes ensembles de données.
2 : Agent IA : désigne une intelligence artificielle capable d’agir de manière autonome pour accomplir des objectifs complexes, en planifiant, en prenant des décisions et en interagissant avec son environnement sans supervision humaine constante.

Cet article AI4Cyb : comment l’IA va améliorer les capacités cyber de votre entreprise ? est apparu en premier sur RiskInsight.

Figure 1 : Les trois principes fondamentaux du modèle Zero Trust

Ces principes sont aujourd’hui bien connus mais leur mise en œuvre concrète demeure un défi pour beaucoup d’organisations.

Il n’existe et n’existera pas de produit unique permettant d’implémenter un modèle Zero Trust. Les architectures d’implémentation sont par ailleurs multiples. Pour les accès utilisateurs, le Zero Trust peut être implémenté à l’aide de deux principaux modèles d’architecture (qui ne s’opposent pas et peuvent être complémentaires) :

• Un modèle utilisant un élément d’infrastructure en coupure, par exemple dans une approche de type Secure Access Service Edge (SASE). Il va contrôler dynamiquement l’accès réseau aux ressources du SI (l’identité et la posture de l’utilisateur étant bien évidemment utilisées pour prendre la décision).
• Une approche où seul l’identité est utilisée pour faire la coupure : l’accès aux ressources du SI est conditionné par la présentation de preuves d’authentification et d’autorisation. Dans cette approche, le contrôle d’accès est réalisé par un Identity provider (gestionnaire d’identité ou IdP) et par les ressources cibles elles-mêmes.

C’est ce deuxième type d’architecture qui fera l’objet de cet article. Nous nous intéresserons en particulier à une implémentation utilisant Azure Active Directory (AAD) comme Identity Provider.

Avant de comprendre comment l’Identity Provider peut permettre d’implémenter le Zéro Trust, un peu de théorie sur les mécanismes de la gestion des accès basée sur des jetons.

La gestion des accès basée sur AAD : une histoire de jetons

La gestion des accès basée sur AAD reprend les principes du schéma d’accès faisant intervenir un Identity Provider, à savoir un service auquel la ressource cible délègue la gestion du cycle de vie des identités des utilisateurs et leur authentification.

Dans ce schéma, l’accès d’un utilisateur à une ressource nécessite la présentation d’un laisser-passer valide délivré par l’Identity Provider après authentification de l’utilisateur et (potentiellement) vérification de son habilitation à accéder à la ressource cible. Ces laisser-passer sont appelés jetons ou tokens et sont signés cryptographiquement pour se prémunir de l’utilisation de faux jetons.

Au fait, un Token c’est quoi ? C’est une chaine de caractères contenant diverses informations que l’on appelle des clauses, et qui se transmet par exemple par requête HTTPs.

AAD, en tant que fournisseur d’identité, délivre trois types de jetons appelés Security Tokens :

ID Token: Preuve de l’authentification de l’utilisateur. Il contient des informations sur l’identité de l’utilisateur et sur le contexte d’authentification. Il n’est associé à aucune ressource en particulier et n’intervient pas dans le contrôle d’accès.

Access Token: Laisser-passer autorisant l’accès à une ressource en particulier. Il peut contenir des attributs ou claims permettant à la ressource cible d’affiner le contrôle d’accès. Dans le cas d’Azure AD, il s’agit de jeton autoporteur^(*) (JWT) : donc non révocable après émission. Sa durée de vie est d’une heure en moyenne. Autrement dit, un Access Token est valide tant que sa durée de vie n’a pas expirée.
^(*)une autre implémentation d’OAuth aurait pu être avec des jetons opaques nécessitant d’interroger l’Authorization server pour connaitre le détail. Ce type d’implémentation permettant une révocation plus facile. Ce n’est pas le choix fait par Microsoft.

Refresh Token: jeton fourni en même temps que l’Access Token, Il permet d’obtenir une nouvelle paire Access Token/Refresh Token après expiration de l’Access Token précédent, sans réauthentification explicite de l’utilisateur. Il permet également de récupérer des Access Tokens pour d’autres ressources sans authentification explicite de l’utilisateur. Dans le cadre d’Azure AD, sa une durée de vie est de 90j ou 24h pour les Single Page Applications et contrairement à l’acces Token, il est possible de le révoquer avant son expiration.

A noter que Microsoft a défini un quatrième type de jeton, le Primary Refresh Token, permettant de faire du Single Sign-On entre applications sur un device donné. Ce jeton ne sera pas évoqué dans la suite du document par souci de simplification.

A présent, il nous reste à comprendre comment ces différents Tokens circulent d’acteur en acteur !

Accès initial à la ressource cible

Lors de l’accès initial, nous supposons qu’il n’y aucun jeton en cours de validité : pas d’Access Token pour la ressource cible ni de Refresh Token. Quand l’utilisateur voudra accéder à la ressource cible, il sera redirigé vers AAD pour être authentifié (et éventuellement autorisé).

Figure 2 : Cinématique d’obtention d’une paire Access Token/Refresh Token lors de l’accès initial à la ressource

L’Access Token obtenu sera inclus dans chacune des requêtes destinées à la ressource cible. Celle-ci les traitera tant que l’Access Token n’aura pas expiré.

Renouvellement du droit d’accès à la ressource

Après expiration de l’Access Token initial, le Refresh Token sera utilisé pour récupérer silencieusement, sans intervention de l’utilisateur, une nouvelle paire Access Token/Refresh Token

Figure 3 : Cinématique de maintien de la session d’accès via le renouvellement de la paire Access Token/Refresh Token

Dans un modèle de gestion des accès faisant intervenir un Identity Provider comme AAD, nous constatons que les jetons sont les clés du château et l’Identity Provider en est le gardien.

Regardons à présent dans quelle mesure ce modèle de gestion des accès permet d’implémenter les principes du Zero Trust pour les applications qui s’appuient sur AAD pour gérer leur sessions de connexion.

Les jetons : des supports de confiance implicite vulnérables

En examinant le fonctionnement de la gestion des accès basée sur Azure AD, nous constatons que :

• L’accès à toute ressource déléguant la gestion des accès nécessite une preuve d’authentification et d’autorisation, à travers la présentation d’un Access Token valide, et ce indépendamment de l’origine réseau de l’accès.
• Un Access Token ne donne accès qu’à une seule ressource. L’accès à une ressource différente nécessite l’obtention d’un Access Token dédié auprès de l’Identity Provider
• Le Refresh Token permet d’obtenir des Access Tokens pour toutes les ressources auxquelles l’utilisateur est autorisé

L’application des principes du Zero Trust est à ce stade partielle et perfectible :

• Par défaut, la délivrance de l’Access Token se fait contre une authentification basique (login et mot de passe)
• La validité de l’Access Token est décorrélé du contexte. Il est utilisable pendant sa période de validité indépendamment des signaux de compromission potentiels détectés
• L’Access Token peut être renouvelé sans vérification que le contexte d’authentification n’ait pas changé

Le Conditional Access (CA) renforce les conditions de délivrance des Tokens et la sécurité de la session

Le Conditional Access (CA) est une fonction d’AAD nécessitant une licence AAD Premium P1 ou M365 Business Premium permettant la prise en compte du contexte dans la gestion des accès.

Grâce au CA, il est possible d’intégrer dans la décision d’autorisation d’un accès un ensemble de signaux liés à l’identité de l’utilisateur, au terminal utilisé, à la ressource cible, au contexte d’accès et/ou au niveau de risque.

Le CA permet par ailleurs d’appliquer des décisions d’autorisation non binaires. Ainsi un accès réalisé dans un certain contexte peut être autorisé sous conditions, celles-ci visant à compenser et réduire le niveau de risque associé au contexte d’accès. 

Figure 4 : Principe de fonctionnement du Conditional Access

La délivrance d’un Access Token peut ainsi être conditionnée par une authentification renforcée à double facteur, ce qui aide à se prémunir d’un accès non autorisé découlant d’un vol d’identifiants.

Le CA propose d’autres mécanismes permettant de conditionner l’utilisation des jetons. Nous nous intéresserons ici à deux mécanismes en particulier : la Sign-In Frequency (SIF) et le Continuous Access Evaluation (CAE).

La Sign-In Frequency : moyen d’action sur la fréquence d’authentification explicite de l’utilisateur

La Sign-In Frequency permet de définir une durée maximale au-delà de laquelle l’utilisateur doit explicitement se réauthentifier après avoir été initialement autorisé à accéder à la ressource cible.

Au-delà de cette durée, le Refresh Token ne peut pas être utilisé pour renouveler implicitement la paire Access Token/Refresh Token.

La SIF est ainsi un moyen de limiter dans le temps la confiance implicite accordée aux Refresh Tokens.

Le fonctionnement du mécanisme est illustré ci-dessous, pour une SIF définie à 90 minutes.

Figure 5 : Illustration du fonctionnement de la Sign-in Frequency

On notera que la SIF n’a aucun effet sur la validité des Access Tokens déjà émis. Un Access Token qui n’a pas encore expiré pourra toujours être utilisé pour accéder à la ressource associée, même après expiration de la durée maximale définie par la SIF. La SIF n’intervient en effet que pour empêcher un renouvellement implicite des Access Tokens déjà émis ou l’obtention implicite de nouveaux Access Tokens. Pour pouvoir agir sur les Access Tokens déjà émis, il faut se tourner vers le Continuous Access Evaluation (CAE).

Le Continuous Access Evaluation (CAE), un moyen de lier la validité des Access Tokens au contexte

Le CAE est une fonctionnalité du CA disponible depuis janvier 2022 qui permet la prise en compte du contexte tout au long de la session d’accès et pas seulement au moment de l’autorisation initiale, de sorte à pouvoir forcer un renouvellement de l’Access Token déjà émis en réponse à certains signaux, notamment des signaux suggérant une compromission.

Figure 6 : Types de signaux pouvant forcer le renouvellement de l’Access Token

Pour ce faire, le CAE nécessite un lien de communication entre AAD et la ressource cible permettant de notifier à celle-ci les signaux nécessitant une réauthentification et de récupérer les politiques d’accès conditionnel définies la concernant. Quand la ressource cible reçoit une requête d’accès, elle vérifie si elle n’a pas préalablement reçu une notification à propos de l’utilisateur concerné et/ou si le contexte d’accès est différent de celui autorisé par les politiques d’accès conditionnel. Le cas échéant, elle rejette la requête d’accès et renvoie l’utilisateur vers AAD avec un challenge pour une réauthentification explicite et une réévaluation des politiques d’accès applicables.

On notera que le CAE n’est pas un mécanisme transparent pour les ressources cibles et que sa mise en œuvre nécessite des modifications dans leur logique de fonctionnement. La mise en œuvre du CAE nécessite une application cliente compatible (CAE-capable client) capable d’interpréter le challenge renvoyé par la ressource cible et de rediriger l’utilisateur vers AAD. Microsoft a pour sa part commencé à implémenter pour les applications de sa suite collaborative M365.

En synthèse

Il est aujourd’hui possible d’implémenter une philosophie Zéro Trust access basée sur l’identité mais pour éviter de tomber dans les travers des modèles de sécurité historiques, il convient de durcir les conditions de délivrance et d’utilisation de ces jetons, sous peine d’en faire les supports d’une confiance implicite et excessive.

L’usage de mécanismes permettant d’intégrer de signaux permettant d’évaluer le contexte de la connexion et d’avoir un contrôle continu sur les jetons délivrés est nécessaire.

Il faut cependant garder en tête que, face au scénario de vol de jetons, ces mécanismes jouent un rôle réactif dépendant des capacités de détection, et non préventif capable d’empêcher l’utilisation de jetons volés. Nous aurons l’occasion de revenir plus en détails dans un prochain article sur la problématique de vol de jetons et sur les différentes solutions existantes et émergentes permettant d’y faire face. 

Cet article Le Zero Trust et l’identité comme nouveau périmètre : faut-il avoir les jetons ? est apparu en premier sur RiskInsight.