La gestion des accès distants à privilèges (RPAM) est la pratique consistant à sécuriser, contrôler et enregistrer les sessions à privilèges que des utilisateurs distants, qu'il s'agisse d'employés ou de fournisseurs tiers, ouvrent vers des systèmes critiques. Plutôt que de distribuer un VPN permanent et un large accès réseau, la RPAM accorde l'accès à un système précis, pour une tâche précise, pour une durée limitée, et enregistre ce qui se passe. Les analystes en ont fait une catégorie distincte parce que l'accès distant à privilèges est devenu le chemin d'accès que les attaquants privilégient le plus.
Qu'est-ce que la RPAM ?
La RPAM répond à une question étroite mais à fort enjeu : lorsque quelqu'un se connecte depuis l'extérieur pour effectuer un travail à privilèges sur un système critique, comment s'assurer qu'il s'agit de la bonne personne, réalisant uniquement la tâche approuvée, sur le seul système approuvé, avec une trace consultable a posteriori. Elle combine la vérification d'identité, l'autorisation juste-à-temps et au moindre privilège, le relais de la session et son enregistrement en un seul chemin contrôlé. L'objectif est de supprimer les accès permanents et de les remplacer par un accès accordé à la demande et révoqué une fois la tâche terminée.
En quoi la RPAM diffère-t-elle du PAM ?
La gestion des accès à privilèges traditionnelle est née au sein de l'entreprise, centrée sur la mise en coffre des identifiants, la rotation des mots de passe et la gestion des comptes à privilèges. La RPAM resserre la focale sur la dimension distante : la session elle-même. Elle part du principe que l'utilisateur se trouve hors du périmètre, souvent sur un appareil non géré, et parfois un prestataire externe que vous ne contrôlez pas. Elle met donc l'accent sur le relais de la connexion, son rattachement à une identité vérifiée, sa restriction à une seule cible et son enregistrement, plutôt que sur la seule gestion du secret associé au compte.
En quoi la RPAM diffère-t-elle d'un VPN ?
Un VPN place l'utilisateur distant sur le réseau. Une fois connecté, et si le réseau est à plat, il peut atteindre bien plus que le seul système sur lequel il venait travailler. La RPAM inverse cela : l'utilisateur se connecte à un intermédiaire, non au réseau, et se voit accorder un chemin vers exactement un système pour exactement une tâche. Rien d'autre sur le réseau n'est atteignable. C'est cette différence qui fait qu'un accès VPN à plat vers des systèmes à privilèges est désormais considéré comme un risque plutôt que comme un contrôle.
Pourquoi la RPAM est-elle importante pour l'OT ?
En technologie opérationnelle, l'accès le plus privilégié et le plus exposé est généralement la maintenance à distance par les fournisseurs. Les intégrateurs et les fabricants d'équipements (OEM) se connectent pour intervenir sur des PLC, des variateurs et des systèmes SCADA qui ne peuvent ni authentifier un utilisateur ni enregistrer une session par eux-mêmes. C'est ce qui fait de l'accès distant des tiers le chemin de compromission classique en OT. Appliquée à l'OT, la RPAM revient à placer un intermédiaire devant ces systèmes afin que chaque session distante, y compris celle d'un fournisseur, soit liée à l'identité, au moindre privilège, limitée dans le temps et enregistrée, sans rien installer sur l'équipement.
Que doit faire une solution de RPAM ?
Les capacités fondamentales sont constantes d'un fournisseur à l'autre :
- Vérifier l'identité auprès de votre fournisseur d'identité, avec une authentification multifacteur, ou servir de point d'ancrage d'identité quand il n'y en a pas.
- Accorder un accès juste-à-temps et au moindre privilège à un seul système cible pour une seule tâche, puis le révoquer.
- Relayer la session pour que l'utilisateur ne touche jamais directement au réseau.
- Enregistrer chaque session de bout en bout, pour qu'un incident soit une simple recherche plutôt qu'une investigation forensique.
- Fonctionner avec les systèmes hérités qui ne peuvent héberger un agent ni s'authentifier par eux-mêmes.
L'Access Gate de Trout offre la RPAM pour les environnements industriels : il se place devant les actifs OT et relaie un accès distant lié à l'identité, au moindre privilège et enregistré, en particulier pour les fournisseurs tiers, sans modifier les contrôleurs. Voyez sécuriser l'accès distant et fournisseur en OT.
