Intrus de Données

Le terme recouvre deux profils d'acteurs indiscernables pour les systèmes de contrôle d'accès. Les équipes de sécurité les rangent souvent sous la menace interne, car le dommage commence par un accès déjà accordé.

L'initié qui abuse de ses droits. Un salarié, un prestataire ou un partenaire commercial dispose déjà de droits légitimes et les utilise au-delà de leur finalité. Il consulte par exemple, par curiosité, des dossiers clients ou patients, accumule des fichiers de projet avant une démission ou copie une base de clients pour un futur employeur.

L'acteur extérieur muni d'identifiants. Un attaquant extérieur, ou son logiciel malveillant, agit avec des identifiants volés mais valides : mot de passe obtenu par hameçonnage, clé d'API qui a fuité, session détournée. Pour les défenses périmétriques, cela ressemble à un utilisateur légitime, car techniquement c'en est un.

La plupart des intrus de données suivent un schéma reconnaissable en quatre étapes.

1. 1

   Reconnaissance

   Repérer où se trouvent les données de valeur.

2. 2

   Extension d'accès

   Demander ou dérober des droits supplémentaires.

3. 3

   Collecte

   Rassembler des fichiers dans des archives ou des dossiers cloud.

4. 4

   Exfiltration

   Faire sortir les données par courriel, dépôt cloud, messagerie ou support amovible.

L'intrus utilise des droits légitimes sur des canaux légitimes : les signaux les plus forts sont donc comportementaux, et non techniques, ce qui relève de l'analyse comportementale. Les intrus prudents travaillent peu et lentement, avec de petits transferts étalés sur des semaines, aux heures normales de travail et fondus dans la routine. Surveillez notamment :

• accès à des dépôts sensibles que la personne n'avait jamais ouverts ;
• horaires, lieux ou appareils inhabituels ;
• volumes anormaux de copie, d'impression ou d'archivage ;
• recours soudain à un cloud personnel, à une messagerie web ou à des clés USB ;
• activité de préparation autour d'une date de départ connue (démission, fin de contrat, licenciement).

Les pare-feu et les antimalwares empêchent une entrée non autorisée. L'intrus est déjà à l'intérieur et autorisé : ces outils ne voient donc rien d'anormal. La détection demande deux choses : un référentiel de ce qui est normal pour chaque utilisateur, et l'inspection du contenu transféré, pas seulement du canal. Cette inspection du contenu est le cœur de la prévention de la perte de données (DLP).

Un intrus de données qui atteint son but provoque un vol de données, une exposition réglementaire au titre de cadres comme le RGPD (GDPR), l'HIPAA ou le PCI DSS, une perte de propriété intellectuelle et de longues investigations. Le dommage dépasse souvent celui d'une compromission externe, car l'accès de confiance raccourcit le chemin vers les données les plus précieuses.

Dans la console d'Anexet DLP, les événements liés sont regroupés en incidents. Depuis un incident, l'administrateur peut ouvrir l'activité de cet utilisateur ou ajouter l'événement à une investigation.

Commencez par cartographier les données sensibles auxquelles chaque rôle peut accéder et les canaux par lesquels elles peuvent sortir. Les revues d'accès qui s'arrêtent à la question de savoir qui peut ouvrir un dossier laissent passer l'intrus qui peut déjà l'ouvrir. Une fois cette carte établie, la détection des menaces internes ajoute la couche comportementale.

Les référentiels comportementaux demandent du temps pour devenir fiables. Examinez donc les premières alertes avec le responsable hiérarchique avant de tirer une conclusion sur une personne.

Pour aller plus loin : Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?.