Maîtrisez les prises de contrôle de compte en quelques minutes avec Abnormal AI et Cyera

La prise de contrôle de compte (ATO) est un risque majeur abordé par l'OWASP Top 10, plus précisément dans la catégorie des défaillances d'identification et d'authentification. Lorsqu'elle est exécutée avec succès, elle peut donner à un attaquant l'accès à tout ce à quoi l'identité compromise a accès : e-mails, applications SaaS, stockage cloud et données sensibles. À partir de ce moment, c'est une course contre la montre.

Pouvez-vous contenir l'utilisateur compromis avant que vos données ne soient déplacées ?

Traditionnellement, la réponse était non. Les équipes détectent la compromission. Ensuite, elles enquêtent :

• Quelles données ont été consultées ?
• Quelque chose a-t-il été téléchargé ?
• A-t-il été partagé en externe ?

Le temps que le SOC obtienne les réponses, l'attaquant a eu des heures, voire des jours, d'accès illimité. C'est ce décalage qui cause les véritables dégâts. C'est là qu'Abnormal et Cyera peuvent réduire le temps de réponse de plusieurs heures à quelques minutes et réduire considérablement l'exposition et les risques. 

Cyera et Abnormal rapprochent la détection et l'action

Abnormal identifie et aide à corriger les comptes compromis dès qu'une prise de contrôle est détectée. Cyera limite immédiatement ce à quoi cette identité peut accéder et ce qu'elle peut déplacer. Le transfert est automatique, ainsi le confinement commence pendant que l'enquête est encore en cours de lancement.

De la détection d'ATO au confinement

Abnormal avait déjà considérablement amélioré la détection des ATO. Il utilise l'IA pour créer une base de référence du comportement des utilisateurs et comprendre comment chacun interagit normalement avec les systèmes de messagerie et d'identité. Dès qu'Abnormal détecte des déviations par rapport à la base de référence établie, il signale une tentative de prise de contrôle de compte. Voici quelques signaux qu'Abnormal recherche : 

• Comportement de connexion inhabituel
  Détecte les déviations par rapport aux schémas d'authentification normaux d'un utilisateur, tels que des heures de connexion, des lieux ou une activité de session atypiques.
• Appareils ou emplacements nouveaux ou non fiables
  Signale les accès provenant d'appareils, d'adresses IP ou de zones géographiques jamais vus auparavant qui ne correspondent pas au comportement historique de l'utilisateur.
• Changements dans les schémas de communication
  Identifie les changements dans la manière dont un utilisateur envoie des e-mails, y compris le ton, les destinataires, le moment et le comportement d'envoi.
• Indicateurs de compromission de messagerie professionnelle (BEC)
  Reconnaît les schémas cohérents avec la BEC, tels que les demandes de paiement, les modifications bancaires ou l'activité suspecte de la boîte aux lettres.

Ces signaux sont très fiables et souvent précoces. Mais la détection seule ne réduit pas le risque.

Un compte compromis a toujours accès à des fichiers sensibles, des lecteurs partagés, des entrepôts de données et des plateformes SaaS. Les attaquants agissent rapidement pour accéder, télécharger et exfiltrer des données. Les violations impliquant des identifiants volés prennent en moyenne 246 jours à être identifiées et contenues, la seule phase de confinement prenant en moyenne 60 jours. Cela représente deux mois entre la détection d'un compte compromis et la limitation des dégâts. 

Les équipes de sécurité savent qui est compromis, mais ne peuvent pas répondre immédiatement aux questions qui déterminent le rayon d'impact : À quelles données sensibles cet utilisateur peut-il accéder ? À quoi l'attaquant a-t-il déjà accédé ? Qu'est-ce qui était surexposé avant même le début de l'incident ? Sans ces réponses, le confinement est soit trop large (tout verrouiller, perturber l'activité), soit trop lent (enquêter d'abord, confiner ensuite).

Comment ça marche : Cyera + Abnormal 

L'intégration entre Cyera et Abnormal (disponible en avant-première publique) relie directement le risque lié à l'identité au contrôle des données.

Étape 1. Détecter le risque utilisateur  

Abnormal utilise l'IA comportementale pour établir une base de référence sur la manière dont chaque utilisateur interagit avec les systèmes de messagerie et d'identité au fil du temps. Cela inclut le comportement de connexion, l'utilisation des appareils, les schémas de communication et les flux de travail professionnels typiques. Plutôt que de s'appuyer sur des règles statiques ou des indicateurs connus, il apprend en permanence ce qui constitue un comportement « normal » pour chaque utilisateur individuel.

Lorsque l'activité s'écarte de cette base de référence, Abnormal évalue le risque en temps réel. Un seul signal, comme un nouvel emplacement de connexion, peut ne pas suffire à déclencher une alerte. Mais lorsque plusieurs anomalies se produisent simultanément, telles qu'un appareil inconnu, un horaire de connexion inhabituel et un changement dans le comportement de communication, Abnormal corrèle ces signaux pour déterminer si le compte est probablement compromis.

Une fois que la plateforme a une grande confiance qu'une prise de contrôle de compte est en cours, elle génère un signal d'identité à haut risque et initie immédiatement des actions de réponse.

L'une de ces actions s'effectue via l'intégration Cyera.

‍

Étape 2. Contenir l'accès aux données 

Lorsque Cyera reçoit le signal d'identité à haut risque d'Abnormal, deux choses se produisent simultanément.

Renforcer les contrôles autour de l'utilisateur à haut risque. Cyera Omni DLP recommande des politiques de prévention des pertes de données (DLP) plus strictes spécifiquement pour l'identité signalée. Ces politiques sont transmises aux outils DLP existants de l'organisation, tels que Microsoft Purview. Omni agit comme la couche d'intelligence pour la DLP. Concrètement, cela signifie l'exécution d'une politique de collecte pour détecter les mouvements de données sensibles et d'une politique d'application pour bloquer l'exfiltration de données, toutes deux ciblées sur l'identité compromise.

Évaluer le rayon d'impact. La gestion de la posture de sécurité des données (DSPM) de Cyera montre aux analystes l'étendue de l'exposition : où résident les données sensibles de l'organisation, à quelles données cet utilisateur spécifique peut accéder, et ce qui était déjà surexposé avant l'incident. Plutôt que de tracer manuellement les permissions à travers des dizaines de systèmes, l'analyste dispose d'une vue unifiée de l'empreinte de données de l'utilisateur compromis.

L'objectif est immédiat : réduire ce que l'attaquant peut faire avant que les données ne soient exposées, sans attendre la fin de l'enquête.

Étape 3. Enquêter et prioriser

Le confinement fait gagner du temps. Omni DLP aide ensuite les équipes à prioriser les investigations en corrélant l'identité compromise avec le contexte des données sensibles et les signaux de mouvement de données. Au lieu d'examiner chaque événement d'accès, les analystes voient quels incidents impliquent des données réellement sensibles, quels mouvements sont anormaux et quelles expositions comportent le plus grand risque commercial.

Un compte compromis dans une grande entreprise peut avoir accédé à des centaines de fichiers et d'applications. Avec Omni DLP qui corrèle le risque lié à l'identité avec la sensibilité des données, l'équipe se concentre sur l'essentiel. Il est crucial que cette investigation ait lieu alors que l'utilisateur est déjà confiné. Le SOC travaille sur un problème circonscrit, sans courir après une exfiltration de données en cours.

Ce que votre analyste constate en quelques minutes

Un employé clique sur un lien de phishing de credentials. Un attaquant accède à son compte Microsoft 365.

Dans un flux de travail traditionnel, ce qui suit est une investigation. L'analyste SOC révoque la session et réinitialise les identifiants, puis commence le travail plus lent : extraire les journaux de connexion, examiner les règles de boîte aux lettres et vérifier si des fichiers ont été consultés ou partagés. Dans la première heure, ils découvrent que l'attaquant a accédé à un site SharePoint contenant des contrats clients. Ils escaladent. Une autre équipe vérifie si quelque chose a été téléchargé ou envoyé à l'extérieur. Les recherches du secteur montrent constamment que les attaquants peuvent passer de la compromission initiale au mouvement latéral en moins d'une heure, tandis que les équipes de sécurité qui s'appuient sur des investigations manuelles mettent en moyenne plus de huit heures pour contenir la menace. Au moment où le SOC a les réponses, l'attaquant a eu des heures d'accès illimité.

Avec l'intégration en place, la même alerte déclenche une expérience différente. En quelques minutes, l'analyste constate que l'accès de l'utilisateur compromis aux référentiels sensibles a déjà été restreint et que des politiques de blocage sont en place. Les équipes SOC prennent toujours les mesures de remédiation standard : révocation des sessions, réinitialisation des identifiants, application de la MFA et remédiation des appareils. Mais elles ne sont plus en course contre une exfiltration de données active pendant qu'elles agissent. La question immédiate passe de « comment arrêter cela ? » à « que dois-je investiguer ? » L'analyste peut voir quelles données sensibles l'utilisateur pouvait atteindre, ce qui était déjà surexposé et où se concentrer. Au lieu de reconstituer une chronologie à partir de zéro sur des dizaines de systèmes, ils travaillent à partir d'une vue priorisée des expositions qui comportent un risque commercial réel.

Le résultat est un temps de confinement réduit, un risque d'exposition diminué et moins de pression sur la réponse aux incidents. L'investigation a toujours lieu. Mais l'analyste examine un incident maîtrisé, et non une brèche active.

Confinez les utilisateurs à haut risque avant le déplacement de vos données
La détection et le confinement ne sont pas des étapes séquentielles. Ce sont les deux faces d'un même problème. Si vous pouvez repérer un compte compromis mais ne pouvez pas limiter immédiatement ce qu'il peut atteindre, vous assistez au déroulement d'une brèche en temps réel. Si vous pouvez verrouiller les données mais ne savez pas quelle identité cibler, vous perturbez votre propre activité. 

Abnormal vous indique qui accède à vos données et à quoi ressemble un accès normal. Cyera contrôle ce qu'ils peuvent faire avec vos données. Ensemble, ils permettent à votre équipe de contenir la prise de contrôle de compte à la vitesse à laquelle elle se produit réellement, et non à la vitesse que votre investigation permet.

Découvrez comment Cyera et Abnormal collaborent pour contenir la prise de contrôle de compte avant le déplacement des données. Demandez une démo.

FAQ sur la protection contre la prise de contrôle de compte

Q.) Qu'est-ce que l'ATO et pourquoi la seule détection est-elle insuffisante pour la sécurité des entreprises ?
R.) La prise de contrôle de compte (ATO) se produit lorsque des attaquants obtiennent un accès non autorisé aux identifiants d'un utilisateur, leur donnant accès à tout ce que l'utilisateur légitime peut consulter, y compris les e-mails, les applications SaaS et les données sensibles. La seule détection est insuffisante car les comptes compromis conservent des privilèges d'accès complets, permettant aux attaquants d'exfiltrer des données pendant la période d'investigation. Les organisations ont besoin de capacités de confinement immédiates pour restreindre l'accès aux données pendant que les équipes de sécurité évaluent l'étendue de l'incident.

Q.) En quoi la protection contre la prise de contrôle de compte diffère-t-elle des approches traditionnelles de réponse aux incidents ?
R.) La protection traditionnelle contre la prise de contrôle de compte suit un modèle séquentiel : détecter la compromission, investiguer l'étendue, puis remédier. Cette approche laisse aux attaquants un accès illimité pendant des heures, voire des jours. La protection moderne contre la prise de contrôle de compte met en œuvre un confinement immédiat dès la détection, restreignant l'accès de l'utilisateur compromis aux données sensibles pendant que l'investigation se poursuit. Ce passage d'une réponse réactive à une réponse proactive réduit considérablement l'exposition potentielle des données.

Q.) Qu'est-ce qui rend l'approche de Cyera en matière de confinement de la prise de contrôle de compte unique par rapport aux autres solutions ?
R.) Cyera combine la gestion de la posture de sécurité des données avec l'application dynamique de politiques pour offrir un confinement sensible au contexte. Lorsqu'Abnormal AI détecte un compte compromis, Cyera comprend immédiatement quelles données sensibles cet utilisateur peut accéder et restreint automatiquement ces permissions. Cela élimine le besoin d'investigations manuelles sur plusieurs systèmes et fournit aux équipes de sécurité une vue unifiée du rayon d'impact avant le déplacement des données.

Q.) En combien de temps l'intégration Cyera et Abnormal AI peut-elle maîtriser les incidents de prise de contrôle de compte ?
R.) L'intégration permet une maîtrise en quelques minutes après la détection, plutôt que la moyenne du secteur de 60 jours pour une maîtrise complète. L'analyse comportementale d'Abnormal AI identifie les comptes compromis en temps réel, tandis que l'Omni DLP de Cyera applique automatiquement des politiques plus strictes pour l'identité signalée. Ce transfert automatisé élimine le délai d'enquête qui permet traditionnellement aux attaquants d'accéder sans restriction aux données de l'organisation.

Q.) Quelles sont les capacités spécifiques de prévention des pertes de données que Cyera offre lors des incidents de prise de contrôle de compte ?
R.) Les capacités de prévention des pertes de données de Cyera incluent l'application automatisée de politiques qui restreint l'accès sensible à SharePoint, bloque les téléchargements de fichiers, désactive le partage externe et supprime les exceptions DLP pour les utilisateurs compromis. Le système assure également une surveillance continue des tentatives de déplacement de données et met en corrélation le risque lié à l'identité avec la sensibilité des données afin d'aider les équipes de sécurité à prioriser leurs efforts de réponse en fonction de l'impact commercial réel.

‍