TITRE: Architecture résiliente de Identity and Access Management orientée menaces : modélisation formelle, détection comportementale et hardening opérationnel dans des environnements hybrides

1. Introduction

L’identité numérique s’est imposée comme le principal périmètre de sécurité dans les infrastructures d’entreprise contemporaines. La migration accélérée vers les services SaaS, les plateformes de cloud public et les architectures fondées sur des API a conduit au remplacement progressif des périmètres réseau traditionnels par des modèles centrés sur l’identité. Dans ce contexte, les mécanismes d’Identity and Access Management (IAM) ont commencé à jouer un rôle central dans la garantie de la confidentialité, de l’intégrité et de la disponibilité des systèmes d’entreprise.

Des rapports empiriques indiquent que l’abus d’identifiants légitimes demeure l’une des principales causes d’incidents de sécurité. Le Data Breach Investigations Report de 2023 indique qu’environ 74 % des violations analysées impliquaient l’utilisation abusive d’identifiants valides ou compromis (VERIZON, 2023). Des techniques telles que Valid Accounts (T1078), Steal or Forge Kerberos Tickets (T1558) et Account Manipulation (T1098) figurent régulièrement parmi les plus observées dans le framework MITRE ATT&CK (MITRE, 2023).

Des incidents largement documentés démontrent la criticité de ce vecteur. La compromission de la chaîne d’approvisionnement associée au cas SolarWinds a mis en évidence la manière dont des identités privilégiées et des relations de confiance fédérées peuvent être exploitées pour compromettre simultanément plusieurs organisations (CISA, 2021). Dans les environnements Microsoft Active Directory, des vulnérabilités telles que CVE‑2021‑42278 et CVE‑2021‑42287 ont permis une élévation de privilèges par la manipulation d’identifiants de comptes, donnant naissance à la technique connue sous le nom d’attaque « noPac » (MICROSOFT, 2021).

En outre, les environnements cloud introduisent de nouveaux risques associés à des politiques IAM mal configurées, à des autorisations excessives et à une utilisation inappropriée des jetons d’authentification. Des fournisseurs tels qu’AWS, Azure et Google Cloud reposent largement sur des modèles fondés sur des politiques déclaratives, dont la complexité augmente de manière significative à mesure que le nombre d’identités et de services croît (HUMBLE; FARLEY, 2021).

Dans ce contexte, le problème technique central consiste à garantir que les politiques d’authentification et d’autorisation demeurent cohérentes, minimisées en privilèges et résilientes face à des adversaires capables de compromettre des identifiants ou d’exploiter des relations de confiance.

Les questions de recherche qui orientent ce travail sont :

• RQ1 : Comment modéliser formellement la surface d’attaque identitaire dans des environnements hybrides et multi-cloud ?
• RQ2 : Comment détecter l’abus de comptes valides à l’aide d’une analyse comportementale avec un faible taux de faux positifs ?
• RQ3 : Comment automatiser le durcissement et la validation continue des politiques IAM à l’échelle organisationnelle ?

Les principales contributions de ce travail sont :

• Proposition d’un modèle formel basé sur des graphes pour la quantification des privilèges effectifs.
• Développement d’un mécanisme de détection comportementale appliqué à des événements d’authentification multidimensionnels.
• Mise en œuvre d’un framework opérationnel intégré à des outils largement utilisés dans les environnements d’entreprise.

2. Background and Related Work

Identity and Access Management comprend un ensemble de processus, de politiques et de technologies destinés à l’authentification, à l’autorisation et à l’audit des identités numériques (FERRAIOLLO; KUHN; CHANDRAMOULI, 2003). Ces mécanismes constituent la base de la sécurité des systèmes distribués et des infrastructures d’entreprise modernes.

Historiquement, divers modèles formels de contrôle d’accès ont été proposés.

• DAC — Discretionary Access Control
• MAC — Mandatory Access Control
• RBAC — Role‑Based Access Control
• ABAC — Attribute‑Based Access Control

Le modèle RBAC, formalisé par Sandhu et al. (1996), a introduit une abstraction fondée sur les rôles organisationnels, permettant de simplifier la gestion des permissions dans des systèmes complexes. Formellement, nous définissons :

• $U$ — ensemble des utilisateurs
• $R$ — ensemble des rôles
• $P$ — ensemble des permissions

Les relations fondamentales sont :

$UA \subseteq U \times R$

$PA \subseteq R \times P$

Ce modèle établit que les permissions sont attribuées aux rôles et que les rôles sont attribués aux utilisateurs, permettant une gestion évolutive des privilèges.

Avec la croissance des environnements distribués et fondés sur des attributs contextuels, le modèle ABAC a été introduit comme alternative plus flexible. Dans ce modèle, les décisions d’autorisation sont déterminées par des fonctions qui évaluent les attributs des utilisateurs, des ressources et du contexte opérationnel (HU; FERNADEZ; KUHN, 2015).

Les architectures Zero Trust ont élargi cette approche en introduisant une vérification continue de l’identité et du contexte, réduisant la dépendance aux périmètres réseau traditionnels (ROSE et al., 2020). Toutefois, de nombreuses implémentations pratiques manquent de formalisation mathématique de la surface de privilège effective, ce qui complique l’évaluation quantitative du risque.

Des recherches récentes explorent également la détection d’anomalies fondée sur le comportement pour identifier la compromission de comptes. Des méthodes statistiques et des techniques d’apprentissage automatique sont fréquemment utilisées pour identifier les écarts par rapport aux schémas d’authentification (SOMMER; PAXSON, 2010; CHANDOLA; BANERJEE; KUMAR, 2009). Cependant, une grande partie de la littérature se concentre sur le trafic réseau, tandis que les analyses centrées spécifiquement sur l’identité restent relativement limitées.

En outre, la croissance des environnements hybrides et multi-cloud a introduit de nouvelles catégories de risques associées aux identités de service, aux jetons OAuth et aux politiques fédérées (GUPTA; ZHANG, 2022). Ces caractéristiques renforcent la nécessité d’approches intégrant la modélisation formelle des privilèges avec des mécanismes opérationnels de détection et d’atténuation.

3. Threat Model and Problem Formalization

Nous considérons un adversaire $\mathcal{A}$ doté de capacités compatibles avec les menaces réalistes observées dans les environnements d’entreprise contemporains. Cet adversaire peut obtenir un accès initial au moyen de campagnes de phishing ciblées, d’attaques par password spraying ou de l’exploitation d’identifiants précédemment divulgués.

Après l’accès initial, nous supposons que l’adversaire peut exécuter des techniques supplémentaires, notamment l’extraction d’identifiants à partir de la mémoire (T1003), le mouvement latéral à l’aide de protocoles administratifs et l’abus de jetons d’authentification fédérée.

Nous modélisons le système IAM comme un graphe orienté :

$$ G = (V, E) $$

où :

$V = U \cup R \cup P$

représente l’ensemble des sommets correspondant aux utilisateurs, rôles et permissions, et

$E = UA \cup PA$

représente les relations d’attribution entre ces entités.

Le privilège effectif d’un utilisateur $u$ est défini par :

$$ EP(u) = {p \in P \mid \exists r \in R : (u,r) \in UA \land (r,p) \in PA} $$

Cette définition représente l’ensemble des permissions qui peuvent être effectivement exercées par un utilisateur compte tenu de la structure des rôles existante.

Nous définissons la surface d’attaque identitaire globale comme :

$$ SA = \sum_{u \in U} |EP(u)| $$

Cette métrique représente le nombre total de permissions effectivement accessibles par toutes les identités du système. Des réductions de $SA$ indiquent une diminution de l’exposition potentielle associée à la compromission de comptes.

En outre, nous introduisons la notion de chemin d’élévation de privilèges dans $G$. Un chemin $u \rightarrow r \rightarrow p$ représente la possibilité d’accéder à une ressource sensible. Des chaînes plus longues peuvent représenter des délégations indirectes ou des rôles hiérarchiques.

Les objectifs de sécurité incluent :

• application rigoureuse du principe du moindre privilège
• mise en œuvre de la séparation des tâches
• détection automatique des écarts comportementaux avec un taux de faux positifs inférieur à 5 %

4. Proposed Methodology

L’architecture proposée intègre trois couches principales : collecte d’événements, analyse comportementale et modélisation structurelle des privilèges.

La couche de collecte utilise des agents d’audit capables de capturer les événements d’authentification, l’utilisation des jetons et les modifications des politiques IAM. Les journaux provenant de différents fournisseurs d’identité sont normalisés puis envoyés vers un système central d’analyse.

La couche analytique emploie des méthodes statistiques pour identifier les écarts dans les schémas d’authentification. Chaque événement d’authentification est représenté par un vecteur comportemental :

$$ x = (hora, geoIP, deviceID, ASN, tipo_auth) $$

Pour modéliser le comportement historique de chaque identité, nous calculons la moyenne $\mu$ et la matrice de covariance $S$ associées à l’ensemble des vecteurs observés.

La distance de Mahalanobis est ensuite utilisée pour mesurer le degré d’écart d’un nouvel événement :

$$ D_M(x) = \sqrt{(x-\mu)^T S^{-1} (x-\mu)} $$

Les événements satisfaisant $D_M(x) > \tau$ sont classés comme potentiellement anormaux, où $\tau$ représente un seuil déterminé empiriquement.

Parallèlement, la structure des privilèges est modélisée dans une base de données orientée graphe. Cette approche permet d’identifier rapidement les relations complexes de délégation et les chemins potentiels d’élévation de privilèges.

Algorithme 1 : Calcul du privilège effectif

Input: UA, PA
Output: EP

for each user u in U:
    EP[u] = {}
    for each role r where (u,r) in UA:
        for each permission p where (r,p) in PA:
            EP[u].add(p)
return EP

La complexité de l’algorithme est $O(|E|)$, où $E$ représente l’ensemble total des relations d’attribution.

5. Implementation

L’implémentation expérimentale a été réalisée à l’aide d’outils largement adoptés dans les environnements d’entreprise et compatibles avec les architectures zero trust.

Componente	Technologie
Fournisseur d’identité	Keycloak 22
Annuaire d’entreprise	FreeIPA
Analyse des logs	Elastic Stack 8
Base de données graphe	Neo4j 5
Moteur de politiques	Open Policy Agent
IDS réseau	Suricata

L’intégration entre ces composants permet l’ingestion continue des événements d’authentification et la mise à jour dynamique du graphe des privilèges.

Exemple de requête Cypher utilisée pour identifier les utilisateurs disposant d’un grand nombre de permissions :

MATCH (u:User)-[:HAS_ROLE]->(r:Role)-[:HAS_PERMISSION]->(p:Permission)
RETURN u.name, count(p) AS total_permissions
ORDER BY total_permissions DESC

En outre, des scénarios d’attaque ont été simulés à l’aide d’Atomic Red Team afin de reproduire des techniques du framework MITRE ATT&CK.

6. Experimental Evaluation

L’environnement expérimental était constitué d’une infrastructure virtualisée représentant une organisation de taille moyenne. La plateforme comprenait environ 12 000 identités, plusieurs domaines d’authentification et plus de trois millions d’événements de journalisation collectés pendant la période d’évaluation.

Métrica	Avant	Après
MTTD	14.2 h	5.3 h
Faux positif	—	2.3 %
Détection T1078	—	96.8 %
Privilèges excessifs	—	réduction de 41 %

Les résultats indiquent que l’intégration entre l’analyse comportementale et la modélisation structurelle des privilèges contribue de manière significative à la réduction du temps moyen de détection des abus de comptes.

7. Case Study

Une simulation d’attaque fondée sur des techniques observées dans des incidents réels a été menée.

Le scénario a débuté par la compromission d’identifiants via un phishing ciblé. L’adversaire a obtenu un accès initial à un compte utilisateur standard et a utilisé des techniques de mouvement latéral pour atteindre des systèmes internes. Il a ensuite exploité des relations de délégation de rôles afin d’acquérir indirectement des permissions administratives.

Au cours de la simulation, le système a identifié simultanément deux indicateurs d’anomalie : une authentification provenant d’un ASN géographiquement incohérent avec l’historique de l’utilisateur et un accès soudain à des ressources administratives. La combinaison de ces facteurs a entraîné la génération d’une alerte de haute sévérité et le blocage automatique de la session.

Cette étude de cas démontre l’utilité de la corrélation entre le contexte comportemental et la structure des privilèges.

8. Discussion

Les résultats expérimentaux indiquent que la modélisation formelle de la surface de privilège offre des avantages substantiels pour l’analyse du risque identitaire. En particulier, la représentation en graphe facilite l’identification des chemins d’élévation et des relations de confiance complexes.

L’approche proposée met également en évidence l’importance de l’observabilité dans les systèmes IAM. Sans collecte cohérente des événements d’authentification et d’autorisation, les mécanismes de détection comportementale deviennent nettement moins efficaces.

Une autre implication importante concerne la gouvernance des identités dans les environnements multi-cloud. L’hétérogénéité des modèles de politique adoptés par les différents fournisseurs complique l’audit manuel et augmente la probabilité d’autorisations excessives. Les outils d’automatisation et d’analyse structurée deviennent essentiels pour maintenir la conformité et réduire le risque opérationnel.

9. Conclusion

Ce travail a présenté une architecture d’Identity and Access Management orientée menace qui intègre la modélisation formelle, la détection comportementale et l’automatisation opérationnelle. Nous avons montré que la quantification de la surface de privilège au moyen de graphes permet d’évaluer le risque identitaire de manière systématique, tandis que des techniques statistiques appliquées aux événements d’authentification permettent de détecter l’abus de comptes légitimes avec une grande précision.

L’évaluation expérimentale a mis en évidence des réductions notables du temps de détection des incidents et du nombre de permissions excessives présentes dans l’environnement. Ces résultats suggèrent que la combinaison de la formalisation mathématique, de l’analyse comportementale et de l’automatisation opérationnelle constitue une approche prometteuse pour renforcer la sécurité identitaire dans les architectures hybrides et zero trust.

References

BEHL, Abhishek; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com. Accessed on: 13 abr. 2026.

CANDOLLA, Varun; BANERJEE, Arindam; KUMAR, Vipin. Anomaly detection: A survey. ACM Computing Surveys, v. 41, n. 3, 2009. Available at: https://doi.org/10.1145/1541880.1541882. Accessed on: 13 abr. 2026.

CISA. Alert AA20-352A: Advanced Persistent Threat Compromise of Government Agencies. 2021. Available at: https://www.cisa.gov. Accessed on: 13 abr. 2026.

FERRAIOLLO, David; KUHN, Richard; CHANDRAMOULI, Ramaswamy. Role‑Based Access Control. 2. ed. Boston: Artech House, 2003. Available at: https://csrc.nist.gov/projects/role-based-access-control. Accessed on: 13 abr. 2026.

GARCIA, Sebastian et al. Anomaly‑based network intrusion detection: Techniques and challenges. IEEE Security & Privacy, 2014. Available at: https://doi.org/10.1109/MSP.2014.36. Accessed on: 13 abr. 2026.

GUPTA, Brij; ZHANG, Jie. Handbook of Cloud Security. Cham: Springer, 2022. Available at: https://doi.org/10.1007/978-3-030-78448-9. Accessed on: 13 abr. 2026.

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011.

HU, Vincent; KUHN, Richard; FERNADEZ, Eduardo. Guide to Attribute Based Access Control (ABAC). NIST SP 800‑162, 2015. Available at: https://doi.org/10.6028/NIST.SP.800-162. Accessed on: 13 abr. 2026.

HUTCHINS, Eric; CLOWERS, Michael; AMIN, Ryan. Intelligence‑Driven Computer Network Defense Informed by Analysis of Adversary Campaigns. MITRE, 2011. Available at: https://www.mitre.org. Accessed on: 13 abr. 2026.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800‑92. Available at: https://doi.org/10.6028/NIST.SP.800-92. Accessed on: 13 abr. 2026.

MICROSOFT. Security Update Guide for CVE‑2021‑42278 and CVE‑2021‑42287. 2021. Available at: https://msrc.microsoft.com. Accessed on: 13 abr. 2026.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 abr. 2026.

NIST. Digital Identity Guidelines. NIST SP 800‑63‑3. 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 13 abr. 2026.

NIST. Zero Trust Architecture. NIST SP 800‑207. 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 13 abr. 2026.

PAXSON, Vern; SOMMER, Robin. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 13 abr. 2026.

SANDHU, Ravi et al. Role‑Based Access Control Models. IEEE Computer, v. 29, n. 2, 1996. Available at: https://doi.org/10.1109/2.485845. Accessed on: 13 abr. 2026.

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800‑94. Available at: https://doi.org/10.6028/NIST.SP.800-94. Accessed on: 13 abr. 2026.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://www.wiley.com. Accessed on: 13 abr. 2026.

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018.

VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 abr. 2026.

ZHOU, Jianying; LOPEZ, Javier. Security and Privacy in Cloud Computing. Springer, 2019. Available at: https://doi.org/10.1007/978-3-030-25947-5. Accessed on: 13 abr. 2026.

BEHRENDT, Marc. Identity Security for the Cloud Enterprise. O’Reilly Media, 2021. Available at: https://www.oreilly.com. Accessed on: 13 abr. 2026.

MATHER, Tim; KUMARASWAMY, Subra; LATIF, Shahed. Cloud Security and Privacy. O’Reilly Media, 2009. Available at: https://www.oreilly.com. Accessed on: 13 abr. 2026.

ENISA. Threat Landscape 2023. European Union Agency for Cybersecurity. Available at: https://www.enisa.europa.eu. Accessed on: 13 abr. 2026.

GARTNER. Identity and Access Management Primer. 2022. Available at: https://www.gartner.com. Accessed on: 13 abr. 2026.