Comptes dormants : pourquoi la dernière connexion ne suffit pas
Examinez les comptes inactifs sans suppression aveugle : tentatives, connexions réussies, propriétaire, dépendances et décision tracée.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Un compte sans activité récente mérite un examen. Il n’est pas nécessairement inutile. À l’inverse, une date récente ne signifie pas toujours qu’une personne autorisée l’utilise encore. Une démarche fiable commence par comprendre ce que mesure chaque champ.
Le fait confirmé
Dans Microsoft Entra ID, Microsoft précise que la propriété lastSignInDateTime représente la dernière tentative de connexion interactive, y compris les échecs.
La documentation distingue les tentatives des connexions réussies et invite à examiner les raisons légitimes d’inactivité. Source : Microsoft Learn.
La méthode proposée par Seculogik
Constituez une liste de comptes à examiner, plutôt qu’une liste à supprimer automatiquement. Pour chaque entrée, rassemblez le propriétaire, le type de compte, les accès importants, les données d’activité disponibles et la raison de son maintien.
Distinguez les comptes personnels, les accès externes, les comptes utilisés par des traitements et les comptes d’urgence. Ils ne se jugent pas selon les mêmes attentes.
Un compte réservé à une situation exceptionnelle peut être rarement utilisé tout en restant nécessaire.
Vérifiez ensuite la couverture de vos données. Quelle période est consultable ? Quels types de connexion sont inclus ? Une valeur vide correspond-elle à une absence d’activité connue ou à une information non disponible ?
Une règle automatique doit pouvoir reconnaître ces scénarios au lieu de les confondre.
Rapprocher identité et besoin métier
Demandez au responsable identifié de confirmer le besoin d’accès. La réponse doit préciser le périmètre et la durée attendue. « À conserver » sans propriétaire ni justification repousse simplement le problème.
Pour les comptes sans besoin confirmé, définissez avec les équipes concernées une mesure progressive et réversible lorsque le contexte le permet. Avant toute désactivation, recherchez les dépendances connues et prévoyez un moyen de traiter rapidement une interruption imprévue.
La suppression définitive est une décision distincte. Elle ne devrait pas être cachée dans une opération générale de nettoyage.
Une détection complémentaire pour le SOC
Lorsqu’un compte longtemps silencieux redevient actif, le contexte peut justifier une vérification. Le signal gagne en valeur s’il est rapproché de nouveaux droits, d’un appareil inhabituel ou d’un accès à un service sensible.
Il ne constitue pas, seul, une preuve de compromission.
Commencez par les comptes privilégiés et les accès externes associés à des projets terminés. Le livrable utile est un registre de décisions : maintenu avec justification, accès réduit, désactivé avec validation ou investigation en cours.
Sources
- Microsoft Learn, gestion des comptes inactifs Entra ID : https://learn.microsoft.com/en-us/entra/identity/monitoring-health/howto-manage-inactive-user-accounts