Menace externe et menace interne
Les menaces de sécurité se classent généralement selon l'origine de l'acteur. Une menace externe vient de quelqu'un sans lien légitime avec l'organisation : pirate isolé, groupe criminel organisé, acteur soutenu par un État ou attaquants automatisés qui balaient internet à la recherche de services exposés. Une menace interne vient d'une personne à qui l'organisation a déjà accordé un accès : salarié, prestataire ou partenaire.
La distinction compte, car les deux types contournent des contrôles différents. L'acteur externe doit d'abord entrer, alors que les menaces internes sont déjà à l'intérieur et contournent entièrement les défenses périmétriques.
Comment opèrent les attaquants externes
Les attaquants externes entrent généralement par quelques voies connues. Un message de hameçonnage par clonage, copie d'un courriel authentique, est une façon d'obtenir un mot de passe valide.
| Vecteur | Fonctionnement |
|---|---|
| Hameçonnage et ingénierie sociale | Pousser des salariés à révéler leurs identifiants ou à exécuter un malware |
| Exploitation de services exposés | Passerelles VPN non corrigées, portails d'accès distant ou cloud mal configuré |
| Bourrage d'identifiants et force brute | Rejouer contre les comptes de l'entreprise des mots de passe fuités ailleurs |
| Logiciels malveillants et rançongiciels | Charges livrées par courriel, téléchargements malveillants ou sites compromis |
| Attaques de la chaîne d'approvisionnement | Compromettre un fournisseur de confiance ou une mise à jour logicielle |
La frontière estompée
La séparation nette entre interne et externe ne tient pas dans la pratique. Lorsqu'un attaquant externe obtient le mot de passe valide d'un salarié, il agit à travers un compte interne.
Ce scénario hybride est souvent décrit comme un compte interne compromis. L'auteur est extérieur, mais l'accès et l'activité paraissent internes. C'est l'un des schémas d'attaque les plus dommageables.
- 1
Obtenir un mot de passe valide
Par hameçonnage, par un journal de voleur d'informations ou par une fuite d'identifiants.
- 2
Se connecter comme un salarié
Chaque système voit un utilisateur légitime et authentifié. Rien n'a été « percé » au périmètre.
- 3
Hériter des privilèges
Les contrôles périmétriques sont contournés, et l'attaquant hérite des droits de l'utilisateur.
À quoi cela ressemble dans Anexet
Le volet détection des menaces internes d'Anexet ajoute au tableau de bord un widget Users risk. Il classe les utilisateurs selon leur risque et peut n'afficher que les risques que personne n'a encore examinés, pour repérer plus facilement un compte dont le comportement a changé.
Signaux d'un compte compromis
Aucun signal isolé ne prouve qu'un attaquant externe se trouve dans le système. Classer les signaux selon ce qu'ils suggèrent permet à l'équipe sécurité de se concentrer sur les comptes les plus importants.
L'étape finale est souvent une exfiltration de données. Un transfert par un canal inhabituel mérite donc l'attention, même lorsque la connexion paraît normale.
| Signal | Ce qu'il peut indiquer | Priorité d'examen |
|---|---|---|
| Activité à des heures inhabituelles | Une session qui ne correspond pas au rythme de travail habituel du titulaire | À examiner bientôt |
| Accès à des données hors du rôle de l'utilisateur | Un compte utilisé au-delà des tâches de son titulaire | À examiner en premier |
| Transfert par un canal nouveau ou inhabituel | Des données qui sortent par une voie que l'utilisateur n'a jamais empruntée | À examiner en premier |
| Travail courant à des heures normales | Généralement rien d'anormal à lui seul | Généralement normal |
Se défendre contre les menaces externes
La défense classique face aux acteurs externes repose sur le périmètre : pare-feu, prévention d'intrusion, filtrage du courriel, application rapide des correctifs, authentification multifacteur et gestion de la surface d'attaque.
Les identifiants pouvant être volés quelle que soit la solidité du périmètre, les programmes matures supposent aussi que des acteurs externes peuvent entrer. Ils ajoutent des contrôles centrés sur l'identité, le moindre privilège et la surveillance interne : suivi de l'activité des utilisateurs, analyse comportementale et prévention de la perte de données. Ces contrôles observent ce que font réellement les utilisateurs authentifiés. Le virage vers les architectures de confiance zéro traduit exactement cela : la position dans le réseau ne suffit plus à établir la confiance.
Erreurs courantes
La plupart des failles viennent de la confiance accordée à une connexion valide, considérée comme la preuve que l'utilisateur légitime travaille. Il faut examiner ce que fait le compte, et pas seulement la façon dont il s'est connecté. Comparez les signaux aux indicateurs de menace interne connus pour décider lesquels méritent un examen plus poussé.
- Considérer la défense périmétrique comme seule ligne de défense
- Prendre une connexion réussie pour la preuve que le titulaire travaille
- Alerter sur chaque anomalie, si bien que les vrais signaux se perdent dans le bruit
- N'examiner les risques qu'après un incident, et non à leur apparition
Par où commencer
Commencez par les comptes qui accèdent aux données les plus sensibles, puis par les canaux qu'ils peuvent atteindre. Les alertes liées à ces comptes méritent d'être examinées en premier.
Pour aller plus loin : Menaces à la sécurité de l'information; Malware : top 7 des programmes dangereux en 2025.
L'attaquant externe le plus difficile à repérer est celui qui se connecte avec un mot de passe valide.
Anexet TeamComment Anexet traite ce sujet
Anexet se consacre au risque interne, pas à la défense périmétrique. Ce n'est ni un pare-feu, ni une passerelle de messagerie, ni un scanner de vulnérabilités, et arrêter les acteurs externes à la frontière sort de son périmètre. Anexet est directement pertinent dans le cas hybride décrit plus haut : un attaquant externe qui agit déjà de l'intérieur avec des identifiants volés.
L'architecture on-premise conserve toutes les données de surveillance et d'investigation dans l'infrastructure de l'organisation.
Détection comportementale de la compromission d'identifiants
le module Activity établit un référentiel du comportement normal de chaque utilisateur : heures de travail, applications utilisées, activité sur les fichiers et le web. Les écarts, comme des horaires inhabituels, l'accès à des données rares ou des canaux atypiques, ressortent même si la connexion est « valide ».
Moteur d'analyse de risque
les utilisateurs sont notés selon huit catégories de risque prédéfinies, avec seuils paramétrables, tableaux de tendance et notifications à seuil, si bien qu'une anomalie persistante fait monter le score et parvient à l'équipe sécurité.
DLP à la sortie
si un compte compromis tente de déplacer des données sensibles, le module DLP évalue les transferts selon leur contenu (thésaurus, banques d'empreintes de hachage, empreintes numériques, étiquettes de sensibilité) sur la messagerie, le web, le cloud, les messageries instantanées, l'USB, l'impression et le presse-papiers. Il peut bloquer ou mettre en quarantaine le transfert, quel que soit le titulaire du compte.
Piste d'audit
chaque événement est enregistré avec l'utilisateur, l'horodatage, le canal et la classification du contenu, ce qui aide à établir si le titulaire du compte ou un acteur extérieur était à l'origine de l'activité.
Fonctionnalité de détection des menaces internes
En savoir plus