Surveillance des utilisateurs privilégiés (PUM)
La PUM enregistre ce que font les comptes admin et de service. Ce qu'elle journalise, sa différence avec le PAM et les erreurs fréquentes.
Qu'est-ce que la surveillance des utilisateurs privilégiés (PUM) ?
La surveillance des utilisateurs privilégiés (PUM, pour Privileged User Monitoring) consiste à enregistrer et à examiner ce que font les comptes disposant de droits élevés : administrateurs système et de bases de données, comptes root et de service, prestataires externes. Le NIST définit l'utilisateur privilégié comme une personne autorisée à exécuter des fonctions liées à la sécurité que les utilisateurs ordinaires ne peuvent pas exécuter. La PUM fournit une piste d'audit et révèle tôt les abus.
Pourquoi c'est important
- Un seul compte administrateur compromis peut exposer tout ce qu'il atteint.
- Les abus internes, volontaires ou par négligence, se repèrent mieux dans l'activité privilégiée.
- De nombreux référentiels de conformité attendent des pistes d'audit pour les actions d'administration. Vérifiez le texte exact de celui qui vous concerne.
- Après un incident, les journaux montrent ce qui s'est passé et dans quel ordre.
Ce que la PUM enregistre
| Activité | Pourquoi la surveiller |
|---|---|
| Connexions aux comptes privilégiés | Les horaires ou lieux inhabituels ressortent |
| Commandes et usage de sudo | Commandes destructrices, élévation de privilèges |
| Requêtes de base de données | Exports massifs, changements de schéma |
| Appels d'API cloud et IAM | Changements de droits, nouvelles ressources |
| Changements de configuration | Contrôles de sécurité affaiblis |
| Enregistrement de sessions | Rejeu complet des sessions les plus risquées |
PUM et PAM
La gestion des accès privilégiés (PAM) contrôle qui reçoit un accès privilégié et pour combien de temps : coffre-fort, rotation, octroi juste à temps. La PUM surveille ce qui se passe une fois l'accès accordé. En pratique, la PUM est une fonction d'un programme PAM. Les deux complètent votre gestion des identités et des accès (IAM) et votre contrôle d'accès basé sur les rôles, qui décident qui peut détenir des privilèges.
Comment cela fonctionne en pratique
- Listez tous les comptes privilégiés, y compris les comptes de service et les accès de prestataires.
- Faites passer les sessions privilégiées par un point contrôlé, comme un bastion ou un proxy d'accès, pour pouvoir les journaliser.
- Envoyez les journaux vers un stockage que les administrateurs ne peuvent pas modifier eux-mêmes.
- Alertez sur les comportements inhabituels. L'analyse du comportement des utilisateurs et des entités (UEBA) établit une référence et signale les écarts, et une plateforme XDR peut les corréler avec d'autres signaux.
- Examinez régulièrement les alertes et un échantillon de sessions, et vérifiez que la détection fonctionne.
Erreurs fréquentes
- Journaux modifiables : un administrateur compromis efface ses traces.
- Comptes de service non surveillés : souvent plus puissants qu'une personne et rarement examinés.
- Enregistrer sans relire : des enregistrements que personne ne regarde ne dissuadent pas.
- Trop d'alertes : les règles bruyantes sont ignorées. Commencez par quelques-unes, à forte valeur.
- Mots de passe administrateur partagés : impossible de savoir qui a fait quoi. Utilisez des comptes individuels. Voir aussi sécurité des bases de données.
Où se place LoadFocus
LoadFocus n'est pas un produit PAM ni de surveillance des utilisateurs privilégiés et n'enregistre pas les sessions d'administration. Aux côtés de la PUM, il peut surveiller vos propres endpoints : la surveillance d'API vous alerte quand une API d'administration ou de connexion ralentit ou tombe, et les tests de charge montrent comment ces systèmes se comportent sous trafic. Pour la sécurité des données de test, lisez bonnes pratiques de sécurité des tests dans le cloud.
Questions fréquentes sur la surveillance des utilisateurs privilégiés
Quelle est la différence entre PUM et PAM ?
Le PAM contrôle qui reçoit un accès privilégié et dans quelles conditions. La PUM enregistre et examine ce que font ces utilisateurs. La PUM est généralement une partie d'un programme PAM.
Qui est considéré comme utilisateur privilégié ?
Toute personne dont le compte peut faire ce que les utilisateurs ordinaires ne peuvent pas : administrateurs système et de bases de données, administrateurs root et cloud, comptes de service et prestataires avec un accès élevé.
La PUM impose-t-elle d'enregistrer chaque session ?
Pas forcément. De nombreuses équipes journalisent les commandes et requêtes de tout accès privilégié et réservent l'enregistrement complet aux cas les plus risqués, comme les bases de production et les accès de tiers.
En quoi la PUM diffère-t-elle de l'UEBA ?
La PUM est la pratique qui consiste à surveiller l'activité privilégiée. L'UEBA est une technique pour cela : elle apprend le comportement normal et signale les écarts.
Termes associés
Outils LoadFocus connexes
Mettez ce concept en pratique avec LoadFocus, la plateforme même qui propulse tout ce que vous venez de lire.