MFA : une mise en œuvre indispensable qu'il faut soigner

Introduction

L’exploitation des vulnérabilités a marqué le pas face aux vecteurs basés sur l’identité dans les cyberattaques. Une étude de Sophos indique que 79 % des attaques ont débuté par une approche basée sur l’identité, qu’il s’agisse du vol d’identifiants ou de l’exploitation d’identifiants déjà compromis. L’identité est ainsi établie comme vecteur initial dominant des incidents majeurs actuellement.

Et l’identité régit les accès des employés, mais également des contractuels, et de tous les automatismes. Et cela pour les ressources internes au système d’information ainsi qu’aux plateformes SaaS, aux API, etc. Les attaquants n’ont pas besoin d’exploiter des vulnérabilités s’ils peuvent se connecter avec des identifiants volés ou des jetons API compromis. Une situation aggravée par la prolifération des identités non humaines, souvent mal gérées, voire sur-privilégiées.

Dans ce contexte, l’authentification à facteurs multiples (MFA) constitue un contrôle de sécurité essentiel, capable d’arrêter une grande part des attaques basées sur des identifiants. Cependant, la simple activation de la MFA ne garantit pas une protection adéquate. Le problème réside souvent dans la manière dont elle est déployée, configurée ou administrée.

Une erreur courante est de supposer que la MFA offre une couverture universelle. Des exceptions s’accumulent au fil du temps : comptes de service, applications patrimoniales ou accès VPN sont fréquemment exclus du déploiement, laissant des portes ouvertes aux attaquants. De plus, toutes les méthodes de MFA n’offrent pas le même niveau de protection.

Mais ce n’est pas tout. Face à la décentralisation des environnements et à la complexité des menaces, les modèles de confiance dynamique s’imposent. L’architecture de confiance zéro (Zero Trust) rejette l’idée de faire confiance à une entité une fois qu’elle a obtenu l’accès au réseau. Au contraire, les appareils et les individus sont continuellement authentifiés, autorisés et validés.

La démocratisation des outils d’IA ajoute à tout cela, en renforçant les capacités des acteurs malveillants à berner les utilisateurs légitimes afin de compromettre leurs identifiants, plus ou moins directement.

1Comprendre-

Pourquoi et comment mettre en œuvre la MFA

2Menaces-

Les risques induits par l’absence de MFA

3Victimes-

C'est arrivé aux autres