Réduisez votre rayon d'impact
Identifiez, visualisez et réduisez les dommages potentiels d'une identité compromise avant même qu'une attaque ne se produise.
Le concept
Qu'est-ce que le rayon d'impact ?
En sécurité des identités, le rayon d'impact correspond à l'ensemble des ressources qu'une personne, un compte de service ou une charge de travail peut atteindre via des accès directs, l'appartenance à des groupes ou la prise de rôle.
Un rayon d'impact important signifie qu'un seul identifiant compromis peut provoquer un incident beaucoup plus large. Le réduire, c'est contenir la menace plus tôt.
Pourquoi c'est important
- Prévention des mouvements latéraux
- Confinement d'un rançongiciel
- Limitation de l'exfiltration de données
- Conformité au principe du moindre privilège
- Article 21(2)(i) de NIS2 : contrôle d'accès pour toutes les identités
Étude de cas : le scénario "Luca"
Comment un compte d'alternant apparemment inoffensif devient un vecteur critique.
L'identité
Luca, un alternant d'été, rejoint l'entreprise. Il a besoin d'accéder à Slack et Jira pour son projet.
Le groupe
Pour résoudre rapidement un problème de droits, un admin ajoute Luca au groupe "DevOps" au lieu de créer un rôle spécifique.
L'impact
Le groupe DevOps a hérité d'un accès aux bases de données de production. Luca dispose alors d'un accès d'écriture complet sur des données clients critiques.
Comment Cydenti corrige cela
L'Identity Graph de Cydenti cartographie automatiquement ce chemin. Il voit que Luca (alternant) -> DevOps (groupe) -> Prod DB (ressource) existe, mais constate que Luca n'utilise jamais réellement la base de données.
Étude de cas : le compte de service "zombie"
Les identités non humaines sont souvent le plus grand risque silencieux.
Build-Bot-2024
Créé il y a 2 ans pour un projet de migration.
Comment Cydenti remet cela à niveau
Les comptes de service ne se plaignent pas quand on réduit leur accès. Cydenti analyse les appels API réellement effectués par le bot dans le temps et les compare aux droits attribués.
Détection de dérive
Signale le compte comme « administrateur dormant » en raison de l'absence d'activité d'administration.
Génération du moindre privilège
Génère automatiquement une politique Terraform/IAM n'autorisant que s3:PutObject sur logs-bucket.
Nettoyage automatisé
Supprime entièrement l'attribution du rôle « Editor ».
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en France · Réponse sous 24h