Signaux d'identité contre la pulvérisation de mots de passe et les attaques d'identifiants

Les attaques contre les identités font partie des schémas les plus courants dans les opérations informatiques quotidiennes. La pulvérisation de mots de passe, le credential stuffing et les tentatives de connexion automatisées sur des comptes cloud génèrent des signaux qui peuvent également être pertinents pour un flux de périmètre.

Cybora peut considérer les échecs répétés de connexion au cloud comme un signal supplémentaire lorsque la même source apparaît dans plusieurs environnements indépendants. Ce signal est précieux, mais sensible. Un seul échec de connexion est du bruit ; la même source dans plusieurs environnements indépendants peut constituer un modèle de campagne.

Pourquoi les signaux d’identité peuvent être forts

Un seul échec de connexion n’est pas encore un indicateur fiable. Des tentatives répétées et infructueuses depuis la même infrastructure dans plusieurs environnements clients peuvent toutefois indiquer des attaques automatisées.

Les modèles typiques incluent :

• pulvérisation de mot de passe sur de nombreux comptes
• tentatives de bourrage d’informations d’identification avec des fuites connues
• tentatives de connexion depuis une infrastructure suspecte
• signaux répétés dans des environnements indépendants

Lorsque ces signaux se chevauchent avec d’autres sources ou modèles de comportement, ils peuvent accroître la confiance d’un indicateur.

De l’événement unique au modèle de campagne

La différence réside dans la répétition et l’indépendance. Un échec de connexion chez un locataire peut avoir de nombreuses causes inoffensives. Mais si la même source produit des modèles d’échec de connexion similaires dans plusieurs environnements indépendants, un événement local devient un signal plus fort.

Cette logique permet de séparer la pulvérisation de mots de passe et le bourrage d’informations d’identification des erreurs normales des utilisateurs. Cela ne remplace pas l’évaluation des dommages collatéraux, car les sources de connexion peuvent souvent fonctionner via NAT, proxys, VPN ou infrastructure du fournisseur.

Pourquoi une prudence particulière est requise

Les signaux d’identité comportent un risque élevé de dommages collatéraux. Une adresse IP peut appartenir à un service VPN, à un fournisseur de téléphonie mobile, à une grande passerelle NAT, à un proxy ou à une connexion de voyage légitime. Une manipulation trop agressive pourrait affecter les vrais utilisateurs.

Cybora devrait donc traiter ces signaux avec prudence :

• plusieurs environnements indépendants au lieu d’événements ponctuels
• comportement répété au lieu d’une seule tentative infructueuse
• preuves supplémentaires provenant d’autres sources
• évaluation prudente des VPN, des proxys et des adresses IP partagées
• pas de divulgation publique des seuils internes

Rôle dans le flux

Les signaux d’identité sont un élément constitutif de la corrélation des signaux, et non la seule raison du blocage. Ils peuvent renforcer un indicateur lorsque des preuves supplémentaires existent. Pour les infrastructures peu claires ou causant de lourds dommages collatéraux, la retenue reste plus importante que la couverture maximale.