Renforcement de la défense du système de gestion de l'identité chez Global Telecom Altice Portugal

Intervenants : Jose Alegria, directeur de la sécurité chez Altice Portugal ; Pedro Inacio, responsable de la cybersécurité et de la protection de la vie privée chez Altice Portugal. Altice Portugal est la cinquième plus grande entreprise du Portugal et le premier opérateur du pays. Nous détenons environ 50 % des parts de marché dans le secteur des télécommunications. Nous employons environ 20 000 personnes, ce qui a une incidence non négligeable sur la taille d’Active Directory, car chacune d’entre elles dispose d’un compte. Active Directory revêt une grande importance, car nous l’utilisons comme principal écosystème d’authentification. Nous ne disposons pas à proprement parler d’un produit, tel qu’Okta ou Ping Identity, pour assurer l’authentification des utilisateurs. Nous avons pris conscience de l’existence de nombreuses lacunes, car Altice Portugal est le fruit de nombreuses fusions et acquisitions : différentes entreprises, différents écosystèmes Active Directory, avec des niveaux de maturité variés, et notre défi consiste à les aligner tous au même niveau. Ma préoccupation n’est pas d’être attaqué, car nous subissons des attaques tous les jours. Ma préoccupation est qu’une de ces attaques devienne catastrophique. Mais il est important pour un RSSI de comprendre de quel type d’attaques il s’agit. Pour un opérateur, la première menace est le ransomware, derrière lequel se cache généralement le vol d’identifiants permettant de mener l’attaque. Le deuxième niveau est l’espionnage. Il s’agit donc d’attaquer l’opérateur pour atteindre l’un de nos collaborateurs. En troisième lieu vient la fraude. La fraude liée aux services de télécommunications. Mais ce qui m’inquiète le plus, ce qui m’empêche de dormir la nuit, ce sont les rançongiciels ou les « wipewares », peu importe le nom qu’on leur donne. C’est pourquoi vous devez vous assurer que vos infrastructures critiques, comme Active Directory, sont totalement sécurisées et résilientes. Nous avons pris la décision d’investir dans une technologie qui, premièrement, accélérera la restauration. Deuxièmement, elle nous offrira la fonctionnalité nécessaire pour détecter les comportements anormaux. Mais la priorité absolue était la capacité de restauration. La raison pour laquelle nous sommes passés à Semperis est que le module « ADFR » de Semperis m’a garanti que la sauvegarde serait isolée de l’écosystème de sauvegarde habituel. Je peux ainsi restaurer directement à partir des sauvegardes de Semperis en quelques heures. Nos principales préoccupations concernaient la gestion du nombre considérable d’événements générés par l’écosystème Microsoft Active Directory. Il était assez difficile de planifier des cas d’utilisation pour détecter certains types d’attaques ou de situations potentiellement dangereuses. DSP était l’outil qu’il nous fallait, car il simplifie considérablement le travail de nos techniciens, et il fonctionne en permanence en fournissant les informations dont nous avons besoin. DSP est une technologie très simple et transparente. Elle aide notre équipe à comprendre ce qui se passe. Elle permet de repérer les erreurs de configuration. Elle nous aide à respecter les bonnes pratiques que nous devons appliquer au sein de nos environnements Active Directory. Dans le cas de la solution Semperis, le module « DSP » est intégré à notre centre d’opérations de cybersécurité, ce qui permet de signaler automatiquement tout comportement anormal aux analystes afin qu’ils puissent y remédier. Enfin, et c’est peut-être le point le plus important pour notre discussion en termes de résilience d’Active Directory, il y a la capacité de restauration. C’est d’ailleurs la principale raison pour laquelle nous avons acquis Semperis, et plus précisément le module « ADFR », afin de nous assurer que la restauration d’Active Directory soit dissociée des sauvegardes habituelles, et de pouvoir garantir une restauration d’Active Directory bien plus rapide qu’auparavant.