Guide d’achat CIEM : les meilleures façons de gérer l’accès au cloud

Introduction

Choisir un outil Cloud Infrastructure Entitlement Management (CIEM) ne consiste pas seulement à comparer les pages de produits. Le véritable défi consiste à comprendre si une plateforme peut faciliter le contrôle de l’accès au cloud dans le cadre du travail quotidien.

Dans de nombreuses entreprises, les autorisations augmentent beaucoup plus rapidement que les équipes de sécurité ne peuvent les examiner. Les développeurs changent de rôle, les comptes de service restent actifs pendant des années, l’accès temporaire devient permanent et l’automatisation bénéficie de larges autorisations car elle est plus facile à configurer.

Au fil du temps, cela crée des autorisations cloud excessives et rend difficile la compréhension de qui peut accéder aux ressources cloud sensibles. C’est le principal problème qu’une solution CIEM devrait résoudre.

Commencez par votre problème d’accès au cloud

Avant de s’intéresser aux fournisseurs, il est utile de définir ce qui ne va réellement pas dans votre environnement. Certaines entreprises sont principalement aux prises avec des autorisations inutilisées. D’autres disposent de milliers de comptes de service et d’identités de machine. Certains ont besoin d’une meilleure visibilité sur AWS, Azure et GCP. D’autres souhaitent une gouvernance plus forte de l’accès au cloud pour les audits et la conformité.

La bonne plateforme CIEM dépend de ces priorités. Par exemple, une entreprise disposant d’un vaste environnement multi-cloud peut se soucier d’une visibilité centralisée. Une équipe de sécurité chargée de gérer des charges de travail surprivilégiées peut se soucier davantage de l’utilisation des autorisations et du redimensionnement automatisé.

C’est pourquoi l’achat de CIEM sur la seule base d’une liste de contrôle de fonctionnalités peut conduire à une mauvaise décision.

L’outil peut-il expliquer l’accès réel ?

L’une des questions les plus importantes est de savoir si la plateforme peut afficher des autorisations efficaces. L’accès au cloud est souvent créé sur plusieurs couches simultanément. Une personne peut recevoir des autorisations via un groupe, un rôle IAM, une stratégie de ressources, un accès hérité ou un autre compte.

Il en va de même pour les applications et les identités de service. Un bon logiciel CIEM doit relier ces relations et expliquer à quoi une identité peut réellement accéder.

C’est l’un des fondements de la sécurité moderne des identités dans le cloud. Si un produit répertorie uniquement les politiques sans expliquer l’accès réel qu’elles créent, les équipes de sécurité devront peut-être tout enquêter manuellement.

« Les équipes doivent passer par l’intégration et apprendre à utiliser la plateforme pour obtenir les meilleurs résultats. La complexité des environnements cloud peut rendre la mise en œuvre intimidante sans conseils appropriés. »Fortinet

La visibilité est utile, mais l’action compte davantage

De nombreux produits de sécurité sont efficaces pour détecter les problèmes. La question la plus difficile est de savoir ce qui se passe une fois le problème détecté. Imaginez que la plateforme détecte un compte de service avec 200 autorisations. L’information utile n’est pas simplement que le compte est surprivilégié.

L’équipe doit savoir :

• quelles autorisations sont utilisées ;
• quelles autorisations sont probablement inutiles ;
• quelles ressources sont affectées ;
• qu’est-ce qui pourrait se briser si l’accès est supprimé ;
• Quelle politique plus sûre pourrait remplacer la politique actuelle.

C’est là que les logiciels de gestion des moindres privilèges deviennent précieux. Une approche mature de la gestion des autorisations cloud devrait aider les équipes à passer de la découverte à la réduction réelle des autorisations.

Attention à la surcharge d’alertes

Un vaste environnement cloud peut générer des milliers de découvertes d’identité. Si tout est marqué comme important, rien n’est vraiment prioritaire. Lorsque vous testez un produit CIEM, évaluez comment il distingue les risques d’accès significatifs des problèmes à faible impact.

Un bon système de gestion des privilèges cloud doit prendre en compte le contexte tel que le niveau de privilège, les ressources sensibles, l’activité, le type d’identité et l’impact potentiel. Les équipes de sécurité devraient être en mesure de déterminer rapidement quels problèmes d’accès méritent une attention particulière.

Les identités des machines comptent autant que les utilisateurs humains

Les environnements cloud modernes regorgent d’identités non humaines. Ceux-ci peuvent inclure :

• comptes de services ;
• Clés API ;
• candidatures ;
• Systèmes CI/CD ;
• charges de travail ;
• services d’automatisation;
• jetons d’accès.

Dans de nombreux environnements, ces identités disposent d’autorisations puissantes mais reçoivent moins d’attention que les comptes des employés. Lors de l’évaluation de la gouvernance IAM du cloud, assurez-vous que la plateforme peut identifier et analyser les accès humains et non humains. Cela devrait également aider à expliquer à qui appartient chaque identité et ce qu’elle fait réellement.

« Les charges de travail et les services d’automatisation dirigent le spectacle derrière le rideau. Un bon IAM nomme chaque acteur, explique son rôle et mesure ce qu’il fait réellement. »Tériam

Différents fournisseurs CIEM adoptent différentes approches

Il existe plusieurs acteurs établis sur le marché du CIEM.

Wiz inclut la gestion des droits au sein d’une plate-forme de sécurité cloud plus large. Palo Alto Networks fournit également des fonctionnalités CIEM dans le cadre de sa pile de sécurité cloud plus large. Tenable et Orca Security combinent l’analyse des identités et des droits avec d’autres fonctions de sécurité cloud. SailPoint aborde davantage les autorisations cloud du point de vue de la gouvernance des identités.

Une autre option est Teriam. Il se concentre spécifiquement sur la compréhension des identités cloud, des autorisations, des risques d’accès et de la gestion des moindres privilèges. Son approche comprend la découverte des autorisations, l’analyse des accès inutilisés, l’évaluation des risques, la visibilité des identités non humaines, les graphiques d’autorisations et les recommandations de redimensionnement.

Ce type de modèle ciblé peut être utile pour les équipes qui disposent déjà d’autres outils de sécurité cloud mais qui ont encore besoin d’un meilleur contrôle sur les identités et les autorisations. Pour les entreprises qui préfèrent consolider de nombreuses fonctions de sécurité sur une seule grande plateforme, un fournisseur plus large peut s’avérer plus judicieux. L’important n’est pas de choisir la plus grande plateforme. C’est choisir l’approche qui correspond au problème.

Testez le fonctionnement du moindre privilège en pratique

Presque tous les fournisseurs CIEM parlent du moindre privilège. Ce qui compte, c’est la façon dont le produit arrive. Par exemple, supposons qu’une application dispose de 100 autorisations accordées mais n’en a utilisé que 15 au cours des derniers mois.

Une plateforme utile devrait aider les équipes de sécurité à comprendre si les autorisations restantes peuvent être supprimées et fournir suffisamment de preuves pour prendre cette décision en toute sécurité. C’est bien plus utile que de simplement qualifier l’application de surprivilégiée. Il prend également en charge l’accès aux identités sans confiance, où les identités reçoivent uniquement l’accès requis pour leur travail réel.

Le moindre privilège ne doit pas être traité comme un nettoyage ponctuel. Les environnements cloud évoluent constamment, les autorisations doivent donc être révisées en permanence.

N’ignorez pas le déploiement et la correction

Une plate-forme CIEM a besoin d’accéder à votre environnement cloud pour comprendre les identités et les autorisations. Avant d’en choisir un, vérifiez les privilèges requis par la plateforme elle-même. Il est utile de se demander :

• La découverte est-elle en lecture seule ?
• La remédiation nécessite-t-elle des autorisations supplémentaires ?
• L’accès à la remédiation peut-il être séparé de la surveillance ?
• Où sont stockées les données d’identité et d’autorisation ?
• Les modifications peuvent-elles passer par des workflows d’approbation ?
• Est-ce que ça fonctionne avec Infrastructure as Code ?

Ces détails peuvent avoir un impact majeur sur l’adoption. Une plate-forme peut disposer d’une technologie solide mais rester difficile à utiliser si chaque recommandation crée un travail manuel pour les équipes d’ingénierie.

« Considérez SIEM comme votre système global de surveillance de la sécurité, tandis que CIEM sert de gardien spécialisé des autorisations cloud. »Océan Numérique

Exécutez une véritable preuve de concept

La meilleure façon de comparer les outils CIEM est de les connecter à de véritables environnements cloud. Ne créez pas un compte de test artificiellement simple. Utilisez des environnements présentant une réelle complexité IAM, notamment des administrateurs, des développeurs, des comptes de service, des rôles hérités, des identités dormantes et un accès entre comptes.

Vérifiez ensuite si chaque plateforme peut :

• trouver des identités importantes ;
• calculer l’accès effectif ;
• détecter les autorisations inutilisées ;
• identifier un accès excessif ;
• prioriser les risques réels ;
• expliquer clairement les résultats ;
• suggérer des changements pratiques ;
• soutenir les identités non humaines ;
• s’adapter aux flux de travail de sécurité existants.

Ce type de test vous en dit généralement bien plus qu’un tableau comparatif. Teriam, Wiz, Palo Alto Networks, Tenable, Orca Security, SailPoint et d’autres fournisseurs CIEM peuvent tous être inclus en fonction de vos besoins.

Le meilleur choix CIEM est celui que votre équipe peut réellement utiliser

Un bon système CIEM devrait rendre l’accès au cloud plus facile à comprendre, pas plus compliqué. L’objectif final est de répondre à des questions pratiques :

• Qui a accès à cette ressource ?
• Comment ont-ils obtenu cet accès ?
• L’utilisent-ils réellement ?
• L’autorisation est-elle plus large que nécessaire ?
• Pouvons-nous le réduire en toute sécurité ?

Ces questions sont au cœur de la gestion des autorisations cloud, de la gouvernance de l’accès au cloud et de la sécurité des identités cloud. Pour les équipes axées sur la visibilité des autorisations, le redimensionnement, les identités des machines et les contrôles continus des moindres privilèges, Teriam peut être une option à évaluer.

Pour d’autres organisations, le CIEM au sein d’une CNAPP ou d’une plateforme de gouvernance des identités plus grande peut être une meilleure solution. La solution CIEM la plus utile est en fin de compte celle qui aide votre équipe à réduire les accès inutiles sans créer une autre couche de complexité de sécurité.