Orchid Security Introduces Continuous Identity Observability for Enterprise Applications

Observabilité Continue de l’Identité pour les Applications d’Entreprise

Les solutions traditionnelles de gestion des identités et des accès (IAM) ne suffisent plus à couvrir les risques liés à la manière dont l’identité est gérée au sein des applications modernes. L’identité s’est déplacée du périmètre de la gestion centralisée vers le code applicatif, les API, les comptes de service et les couches d’authentification personnalisées, créant ainsi une “matière noire de l’identité” invisible pour les outils IAM, PAM et IGA. Cela conduit à des angles morts de sécurité, rendant difficile la détection des identités non gérées, des credentials intégrés et des chemins d’accès non autorisés.

Points Clés :

• Le Problème : L’Identité Hors des Systèmes IAM Traditionnels : La logique d’identité réside désormais dans le code applicatif, les API, les comptes de service et les authentifications personnalisées, échappant ainsi à la visibilité des outils classiques.
• Les Limites des Approches Conventionnelles : Les outils actuels s’appuient sur les données de configuration et les modèles de politiques, ce qui ne convient pas aux applications personnalisées, à la logique d’authentification héritée, aux credentials intégrés, aux identités non humaines et aux chemins d’accès qui contournent les fournisseurs d’identité.
• L’Approche d’Orchid Security : Découvrir, Analyser, Orchestrer, Auditer : Orchid Security propose une solution d’observabilité continue de l’identité à travers les applications, suivant un modèle opérationnel en quatre étapes.
  • Découvrir : Identifier l’utilisation de l’identité au sein des applications grâce à une instrumentation légère qui analyse les méthodes d’authentification, la logique d’autorisation et l’utilisation des credentials. Cela permet de dresser un inventaire précis des applications, des types d’identité, des flux d’authentification et des credentials intégrés.
  • Analyser : Évaluer les risques liés à l’identité en analysant le comportement observé, en corrélant les identités, les applications et les chemins d’accès. Des indicateurs de risque tels que les credentials partagés ou codés en dur, les comptes de service orphelins, les chemins d’accès privilégiés hors IAM et les écarts entre l’accès prévu et l’accès réel sont identifiés.
  • Orchestrer : Faciliter la prise d’action sur les découvertes en s’intégrant aux flux de travail IAM, PAM et de sécurité existants pour la remédiation. Les risques sont priorisés, les responsables sont désignés, et le suivi de la remédiation est assuré. La solution ne remplace pas les contrôles existants mais coordonne ceux-ci sur la base d’un contexte identitaire précis.
  • Auditer : Maintenir une documentation continue des contrôles d’identité grâce à la découverte et à l’analyse permanentes. Cela permet d’accéder aux inventaires d’applications, aux preuves d’utilisation de l’identité et à la documentation des lacunes de contrôle et des actions de remédiation, transformant l’audit en un processus continu.

Vulnérabilités potentielles (non spécifiquement identifiées avec des CVE dans cet article, mais implicitement couvertes par les risques) :

• Credentials intégrés ou codés en dur dans les applications.
• Comptes de service orphelins ou non surveillés.
• Chemins d’accès privilégiés qui contournent les politiques de sécurité centrales.
• Écarts entre les autorisations prévues par les systèmes IAM et les autorisations réelles au niveau applicatif.
• Identités non humaines (comptes de service, API keys) mal gérées.

Recommandations :

• Mettre en place une visibilité accrue sur l’utilisation de l’identité au niveau applicatif.
• Réduire l’exposition aux chemins d’accès non gérés.
• Accélérer la préparation des audits en disposant de données continues.
• Clarifier la responsabilité des risques liés à l’identité.
• Prendre des décisions de sécurité basées sur des données vérifiées plutôt que sur des hypothèses.
• Adopter une approche d’observabilité continue pour aligner la sécurité de l’identité sur le fonctionnement réel des environnements d’entreprise modernes.

Source