Synthèse
La compromission d’identités cloud exploite souvent des faiblesses de gouvernance plutôt qu’une rupture technique isolée : authentification insuffisamment résistante, consentements applicatifs excessifs, secrets persistants, comptes de service peu surveillés ou sessions non révoquées. L’analyse doit porter sur l’identité, les terminaux, les applications et les actions réalisées après authentification.
Impact business, souveraineté et continuité
Une identité compromise peut exposer messagerie, documents, interfaces d’administration et environnements techniques. Elle peut également servir de relais vers des partenaires ou des clients.
Implications pour une organisation exposée
Les équipes doivent corréler les événements d’identité avec le contexte métier, disposer de procédures de révocation complètes et limiter les dépendances à des comptes permanents.
Ce que les équipes doivent vérifier
- Contrôler la couverture MFA et les méthodes d’authentification réellement autorisées
- Identifier les comptes, rôles et applications disposant de privilèges élevés
- Vérifier la détection des connexions atypiques et des changements de règles sensibles
- Tester la révocation des sessions, jetons et secrets lors d’un incident
- Revoir les accès invités, les comptes dormants et les consentements applicatifs