La menace des identités machines synthétiques

La fraude par identité synthétique, habituellement associée aux humains, s’étend désormais aux identités non humaines (NHI). Contrairement au piratage de comptes existants, cette menace consiste à créer de toutes pièces des identités illégitimes qui imitent les conventions de nommage, les métadonnées et les droits d’accès de l’entreprise. En s’intégrant discrètement dans le système, ces identités échappent aux alertes classiques car elles ne présentent aucun comportement de compromission.

Points clés

• Dissimulation par la légitimité : Ces identités ne sont pas volées, elles sont « forgées » pour paraître authentiques, rendant leur détection difficile lors d’audits superficiels.
• Automatisation par l’IA : L’émergence des agents IA accélère la création dynamique d’identités, rendant la frontière entre identités légitimes et synthétiques de plus en plus floue.
• Absence de propriétaire : Ces comptes ne sont rattachés à aucun humain, ce qui permet aux attaquants d’accumuler des privilèges sans jamais susciter l’alerte d’une victime réelle.

Vecteurs d’attaque techniques

• Comptes de service « Rogue » : Création manuelle de comptes malveillants imitant la structure des comptes légitimes.
• DCShadow : Manipulation de l’infrastructure via l’enregistrement de contrôleurs de domaine factices pour injecter des changements malveillants via une réplication légitime.
• Shadow Credentials (CVE-2022-26923) : Injection de matériel d’authentification contrôlé par l’attaquant sur des objets existants pour garantir un accès persistant.

Recommandations de sécurité

• Responsabilisation (Ownership) : Assigner systématiquement un propriétaire humain, une finalité documentée et une date d’expiration à chaque identité machine.
• Gestion des secrets : Automatiser la rotation des secrets pour limiter la durée de vie des accès injectés.
• Principe du moindre privilège : Appliquer des accès restreints et éphémères (JIT - Just-In-Time) pour limiter la surface d’attaque en cas d’intrusion.
• Vérification comportementale continue : Ne pas se fier uniquement à l’authentification initiale lors de la création du compte, mais surveiller les actions réelles effectuées dans le temps pour identifier toute anomalie.

Source