ITDR pour vos identités SaaS : détection et réponse aux menaces d'identité
Un attaquant qui se connecte avec une identité valide peut ressembler à un utilisateur normal. Cydenti ITDR repère ces abus dans Microsoft 365 / Entra ID, Google Workspace et Salesforce, pour les utilisateurs comme pour les identités non humaines : comptes de service, applications OAuth, clés API et jetons. La découverte se fait sans agent, en lecture seule. Les données sont hébergées en Europe.
L'ITDR en deux lignes
ITDR signifie Identity Threat Detection and Response, soit détection et réponse aux menaces d'identité. L'ITDR repère les attaques qui passent par les identités (identifiants volés, privilèges détournés) et aide votre équipe à réagir avant que les dégâts ne s'étendent. Lire la définition complète de l'ITDR.
La sécurité ITDR pour votre parc SaaS
Cydenti combine des profils comportementaux et des détections alignées sur MITRE ATT&CK. Cinq domaines sont analysés :
- Anomalies de comportement : une activité qui sort des habitudes d'une identité.
- Usage abusif d'identifiants : utilisation suspecte de mots de passe, de clés API ou de jetons OAuth.
- Élévation de privilèges : changements de rôles ou de permissions incohérents.
- Abus d'identités machine : comptes de service et applications OAuth utilisés hors de leur finalité.
- Flux d'authentification à risque : connexions, localisations ou consentements inhabituels.
Anomalies comportementales
Détecte les écarts par rapport aux schémas d’accès habituels des utilisateurs, comptes de service et applications.
Usage abusif d’identifiants
Identifie les connexions anormales, les sessions suspectes et l’utilisation détournée d’identifiants valides.
Élévation de privilèges
Signale les tentatives d’obtenir des privilèges élevés via des changements de rôle, des abus de permissions ou des chemins d’accès à risque.
Abus d’identités machine
Surveille les identités non humaines (NHI) — comptes de service, comptes techniques, clés API — pour détecter accès excessifs, activités inhabituelles et usages non autorisés.
Flux d’authentification à risque
Détecte les méthodes d’authentification non sécurisées ou anormales dans vos environnements SaaS et cloud.
Comment fonctionne Cydenti ITDR
Construire le contexte d'identité.
L'Identity Graph cartographie quelles identités peuvent atteindre quelles ressources.
1Établir des profils comportementaux.
Cydenti apprend l'activité normale des identités humaines et non humaines.
2Détecter les anomalies.
Les écarts par rapport au profil deviennent des alertes.
3Prioriser selon le risque et le rayon d'impact.
L'AI Risk Engine note chaque alerte et montre ce que l'identité peut atteindre.
4Recommander une action.
Chaque alerte s'accompagne d'une action conseillée. Si vous l'activez, la remédiation des droits excessifs ou inutilisés s'exécute automatiquement, selon les politiques que vous définissez.
5
Exemples de signaux surveillés par l'ITDR
La couverture dépend des événements exposés par chaque application connectée. Ce sont des exemples, pas une liste garantie de détections.
- Microsoft 365 / Entra ID : un nouveau secret ou certificat ajouté à un principal de service ; un rôle d'administrateur attribué hors des circuits habituels ; un consentement OAuth risqué accordé à une application tierce.
- Google Workspace : une application tierce qui obtient des scopes OAuth larges ; des droits de super administrateur donnés à un compte inattendu ; un compte de service utilisé depuis un lieu inhabituel.
- Salesforce : une application connectée dont les permissions s'élargissent ; une activité API inhabituelle d'un utilisateur d'intégration ; un ensemble d'autorisations à privilèges attribué à un compte dormant.
ITDR, SIEM, EDR et ISPM : quelles différences ?
| Outil | Périmètre | Question traitée |
|---|---|---|
| SIEM | Collecte et corrélation des journaux | Que s'est-il passé dans mes systèmes ? |
| EDR | Postes et serveurs | Cette machine est-elle compromise ? |
| ISPM | Posture des identités | Quelles identités sont à risque avant une attaque ? |
| ITDR | Abus d'identité en cours | Quelqu'un détourne-t-il une identité en ce moment ? |
L'ISPM révèle d'abord le risque de posture ; l'ITDR détecte l'abus actif. Voir ISPM et ITDR. Cydenti complète votre SIEM, votre EDR, votre PAM et votre IGA ; il ne les remplace pas et n'est pas un coffre-fort de secrets.
Comment évaluer une solution ITDR
Six questions pour comparer les solutions de détection et réponse aux menaces d'identité.
- Identités non humaines : la solution surveille-t-elle les comptes de service, les applications OAuth et les clés API, et pas seulement les utilisateurs ?
- Profondeur SaaS : lit-elle les signaux d'identité dans les applications que vous utilisez ? Demandez quels objets et événements chaque connecteur couvre.
- Déploiement : la découverte est-elle sans agent et en lecture seule ? Quelles permissions faut-il accorder ?
- Priorisation : montre-t-elle le rayon d'impact, ou seulement une liste d'alertes ?
- Maîtrise de la réponse : pouvez-vous choisir entre recommandations et remédiation automatique pilotée par politiques ?
- Hébergement : où sont hébergées les données d'identité, et chez quel fournisseur ?
Conçu en Europe
Cloud-agnostique, hébergé en Europe : Hetzner (Allemagne) par défaut, OVHcloud ou Scaleway sur demande. RGPD dès la conception. Cydenti est prestataire retenu du programme CYBIAH (coordonné par le Campus Cyber avec Hub France IA) et accompagne 10+ clients. Les constats alimentent vos revues NIS2, ReCyF, DORA et ISO 27001 ; Cydenti ne certifie pas la conformité.
Voir aussi : identités non humaines · Silverfort ou Cydenti · Oasis Security ou Cydenti · Tarifs
Questions fréquentes
Que signifie ITDR ?
ITDR signifie Identity Threat Detection and Response : détection et réponse aux menaces d'identité. Elle couvre la détection des attaques qui passent par les identités, les identifiants et les accès, et la réponse à ces attaques. Voir la définition ITDR.
Quelle différence entre ITDR, SIEM et EDR ?
Un SIEM centralise les journaux de nombreux systèmes. Un EDR surveille les postes. L'ITDR se concentre sur l'usage des identités et de leurs permissions. Cydenti apporte le contexte d'identité et des détections au niveau SaaS en complément de votre SIEM ; il ne le remplace pas.
Cydenti ITDR couvre-t-il les identités non humaines ?
Oui. Cydenti recherche les menaces impliquant les comptes de service, applications OAuth, clés API et jetons visibles dans Microsoft 365 / Entra ID, Google Workspace et Salesforce, en plus des utilisateurs humains.
À quelles applications Cydenti ITDR se connecte-t-il ?
Microsoft 365 / Entra ID, Google Workspace et Salesforce, via des API en lecture seule, sans agent à installer.
Que se passe-t-il après une détection ?
Cydenti note l'alerte selon le risque et le rayon d'impact, puis recommande une action. Si vous l'activez, la remédiation des droits excessifs ou inutilisés s'exécute automatiquement, selon les politiques que vous définissez.
Comment démarrer, et combien ça coûte ?
Commencez par un Audit Flash gratuit : jusqu'à 3 applications SaaS, en lecture seule, sans carte bancaire, premier inventaire en général sous une semaine. L'ITDR avec profils comportementaux fait partie du POC Try & Buy, à partir de 490 € par mois. Voir les tarifs.
Découvrez quelles identités un attaquant pourrait utiliser.
Lancer mon Audit Flash gratuitLecture seule. Sans carte bancaire. Premier inventaire en général sous une semaine.
Relier posture et détection des menaces
L'ITDR est plus convaincant quand les acheteurs peuvent remonter des détections vers les conditions de posture qui les ont rendues possibles.
Ce que l'ISPM révèle avant qu'une menace ne devienne un incident
Comprendre le contexte de posture derrière les accès sur-privilégiés, les configurations obsolètes et les chemins d'identité risqués.
ISPM, ITDR, SSPM et CIEM : quelles différences ?
Voir à quelle question répond chaque approche : la posture d'abord, puis l'abus actif.