Container-2.svg
Comment stopper les attaques basées sur l'IA :
Obtenez le guide de préparation

En réponse au mandat SSM-2026-0301 de la BCE

Le volet identitaire de
Mandat de la BCE en matière de cyber-risques liés à l'IA : Guide à l'intention des RSSI et
Dirigeants IAM

Comment combler les lacunes en matière d'identité mentionnées dans la lettre de la BCE avant le 31 octobre 2026 ?

Parlez-nous maintenant

Ce guide s'adresse aux RSSI et aux responsables IAM des institutions importantes supervisées par la BCE qui répondent au mandat de la BCE en matière de cybersécurité et d'IA (lettre BCE SSM-2026-0301) et qui se demandent maintenant : que dois-je faire concrètement en matière d'identité, et dans quel ordre ?

Nous avons rassemblé en un seul endroit les exigences d'identité du mandat de la BCE en matière de cybersécurité et d'IA, nous avons associé chacune d'elles à des contrôles spécifiques que vous pouvez déployer dès maintenant et nous avons séparé ce que le mandat exige de ce que nous recommandons ; le tout est structuré autour des schémas d'attaque que les modèles d'IA de pointe utilisent réellement dans les environnements de production.

Nous vous recommandons de lire ce guide en complément de notre document d'information principal. La BCE vient de faire des risques cybernétiques liés à l'IA une urgence au niveau du conseil d'administration : voici votre plan d'action.Ce document couvre l'intégralité du mandat de la BCE en matière de cybersécurité et d'IA, ses six domaines d'intervention prioritaires et ses sept pistes opérationnelles recommandées. Ce guide se concentre sur les actions de gestion des identités et des accès (IAM) que votre équipe doit mettre en œuvre dans le cadre de ces pistes. 

Partie 1 : Le mandat

Contrôles de sécurité d'identité contre les attaques d'IA : ce qui fonctionne réellement

SilverfortL'équipe de recherche de [Nom de l'entreprise] a testé des modèles d'IA de pointe, dont Mythos d'Anthropic, dans des environnements d'entreprise réels. La découverte la plus importante n'était ni une nouvelle vulnérabilité ni une nouvelle technique d'exploitation. C'était le moment opportun. L'IA a compressé toute la chaîne d'attaque—de la reconnaissance aux déplacements latéraux et à l’élévation de privilèges—en quelques minutes. Parallèlement, il est devenu évident que l’identité était devenue le principal champ de bataille et le principal point de contrôle. Plutôt que de s’appuyer sur des exploits inédits, ces modèles ont systématiquement exploité des identités de confiance, des comptes surprivilégiés, des protocoles d’authentification obsolètes, et Active Directory établir des relations de confiance pour se déplacer dans l'environnement à la vitesse de la machine.

Cela change fondamentalement la nature des contrôles de sécurité qui restent efficaces.

Contrôles du temps d'administration

Les mécanismes de contrôle conçus pour intervenir avant une attaque, tels que la gestion des vulnérabilités, la gestion de la posture et la gouvernance périodique des identités, restent essentiels mais ne permettent plus d'éliminer les risques assez rapidement.

Contrôles post-accès

Les mécanismes de contrôle qui interviennent après l'octroi de l'accès (comme la détection et la réponse) arrivent souvent trop tard une fois qu'un attaquant utilisant l'IA commence à agir à la vitesse d'une machine.

Contrôles d'exécution

Ce qui s'est avéré systématiquement efficace, ce sont les contrôles agissant en temps réel : l'application de l'identité en temps réel au moment de l'authentification, avant que l'accès ne soit accordé.

C’est pourquoi les attentes de la BCE sont si importantes. La vérification continue, le principe du moindre privilège, l’authentification multifacteur, la segmentation des identités et les contrôles compensatoires pour les systèmes existants ne sont plus de simples bonnes pratiques en matière d’identité. Ce sont les contrôles les plus susceptibles d’empêcher la propagation des attaques basées sur l’IA une fois qu’un attaquant a réussi à s’infiltrer.

Parlez-nous maintenant
Lire le rapport complet de Mythos Field

Informations pratiques

Découvrez comment stopper les attaques d'IA

Consultez le guide de préparation des équipes d'identité et de sécurité

Obtenez le guide
Kit de préparation au mythe

Comment ce guide s'inscrit dans le mandat de la BCE en matière de cybersécurité et d'IA

Le plan d'action de la BCE couvre de multiples domaines, de la gestion de la surface d'attaque à la résilience opérationnelle. Ce guide traduit ces attentes en flux de travail opérationnels axés sur l'identité, en associant chaque recommandation aux domaines pertinents de la BCE et en proposant des actions concrètes que les responsables de la sécurité peuvent mettre en œuvre immédiatement. 

Section GuideZone BCEÉléments de la liste de contrôle
Mettez fin à l'utilisation abusive des identifiants (y compris les identifiants privilégiés).Zone 1 (Surface d'attaque), Zone 2 (Gestion des correctifs), Zone 5 (Défense en profondeur et confiance zéro)
Rupture du mouvement latéralZone 5 (Défense en profondeur et confiance zéro)
Protéger les comptes de serviceZone 5 (Défense en profondeur et confiance zéro)
Accès privilégié sécuriséDomaine 4 (Gouvernance et chaîne d'approvisionnement), Domaine 5 (Défense en profondeur et confiance zéro)
Limiter les protocoles faiblesZone 5 (Défense en profondeur et confiance zéro)
Surveiller et détecter les menaces d'identitéZone 3 (Surveillance et détection)
Contenir les incidentsDomaine 6 (Résilience opérationnelle)

Comment utiliser ce guide

Chaque section établit une distinction entre :

finance@2x

Ce dont la BCE a besoin

Contrôles et capacités explicitement requis ou sous-entendus par les attentes de surveillance de la BCE et par la loi sur la résilience opérationnelle numérique (DORA).

Notre approche recommandée

Mesures supplémentaires fondées sur SilverfortL’expérience de terrain de la BCE en matière de défense contre les attaques d’IA de pointe. Bien que non explicitement exigées par la BCE, ces mesures de contrôle peuvent améliorer la résilience et renforcer les plans de réponse globaux des banques.

01

Mettez fin à l'utilisation abusive des identifiants à la source.

Domaines 1, 2 et 5 de l'ECB : Surface d'attaque, gestion des correctifs et défense en profondeur

Pourquoi cela compte

Les modèles d'IA de pointe commencent par la voie la plus rapide pour obtenir un accès privilégié. Des techniques telles que la réplication de l'intégralité du répertoire (Synchronisation DC), le craquage hors ligne des mots de passe des comptes de service (Kerberasting), et en exploitant des comptes sans pré-authentification (Torréfaction AS-REP) permettent aux attaquants de transformer des contrôles d'identité faibles en une compromission à l'échelle de l'entreprise en quelques minutes.

Consultez la FAQ ci-dessous pour connaître la signification de chacune de ces techniques.

actions recommandées par la BCE

  • Protéger les voies d'authentification des ressources de grande valeur exposées sur Internet.
  • Appliquer des mesures de contrôle compensatoires lorsque les systèmes ne peuvent pas être corrigés immédiatement.
  • Appliquer le principe du moindre privilège et l'authentification multifacteur comme contrôles fondamentaux.

Actions supplémentaires

  • Limiter la réplication d'annuaire aux contrôleurs de domaine et aux comptes de synchronisation approuvés.
  • Identifier et corriger les comptes qui ne nécessitent pas de pré-authentification Kerberos.
  • Cloisonnez virtuellement les comptes de service aux sources, destinations et protocoles approuvés.
  • Étendez la protection des accès privilégiés au-delà de la couverture traditionnelle des coffres-forts PAM.

Comment Silverfort aide

Silverfort renforce la sécurité des identités conformément au flux d'authentification, permettant aux organisations de :

  • Bloquer la réplication non autorisée des répertoires.
  • Protégez les comptes à privilèges grâce à des politiques MFA/de refus adaptatives sur tous les protocoles.
  • Privilégier l'accès juste-à-temps aux privilèges permanents.
  • Comptes de service de clôture virtuelle.
  • Découvrez les administrateurs fantômes et les nouveaux comptes privilégiés.
Parlez-nous maintenant
Voir en action

02

Rupture du mouvement latéral

Domaine 5 de la BCE : Défense en profondeur et confiance zéro

Pourquoi cela compte

Les attaques basées sur l'IA enchaînent les authentifications légitimes à la vitesse de la machine. Prises individuellement, chaque authentification semble légitime. Le danger réside dans leur séquence.

Les listes blanches statiques ne suffisent plus. On peut s'attendre à ce qu'un même administrateur se connecte depuis un poste de travail disposant d'un accès privilégié pendant les heures de bureau. En revanche, l'authentification avec les mêmes identifiants depuis un poste de travail inconnu à 3 h du matin auprès d'un contrôleur de domaine devrait déclencher une réponse totalement différente.

C’est précisément ainsi que des attaques telles que passe le hash (passage d'un poste de travail compromis à un contrôleur de domaine en quelques minutes) ou Distribution PsExec L'utilisation d'identifiants légitimes pour se propager simultanément sur des dizaines de serveurs réussit (en réussissant). Chaque authentification utilise des identifiants valides et des protocoles légitimes, mais ensemble, ils forment une voie d'attaque malveillante qu'il faut stopper.

actions recommandées par la BCE

  • Vérifiez systématiquement les identités avant d'accorder l'accès.
  • Imposer l'authentification multifacteur pour l'accès privilégié.
  • Appliquer la segmentation basée sur l'identité et le principe du moindre privilège.

Actions supplémentaires

  • Évaluer chaque authentification en utilisant l'identité et le contexte de risque en temps réel.
  • Limiter l'accès aux identités privilégiées aux voies d'authentification approuvées.
  • Appliquez l'authentification multifacteur (MFA) à tous les protocoles d'administration (RDP, WinRM, PsExec, SMB).
  • Supprimer progressivement ou limiter les protocoles d'authentification faibles aux ressources sensibles.
  • Appliquez des politiques d'authentification adaptatives qui autorisent, contestent ou refusent dynamiquement l'accès en fonction du risque.

Comment Silverfort aide

Protection d'accès à l'exécution (RAP) Il évalue chaque authentification en temps réel et applique des politiques adaptatives en temps réel pour autoriser, renforcer ou refuser l'accès en fonction du risque dans tous les protocoles, empêchant ainsi les attaques basées sur l'IA de se propager latéralement avant l'octroi de l'accès. C'est ce qui a permis de stopper Mythos.

Voyez comment nous avons arrêté Mythos lors de l'exécution

03

Protéger les comptes de service 

Domaine 5 de la BCE : Défense en profondeur et confiance zéro

Pourquoi cela compte

Les comptes de service figurent parmi les cibles privilégiées des attaques utilisant l'IA. Ils disposent souvent de privilèges excessifs, ne peuvent pas effectuer d'authentification multifacteur (MFA), utilisent des identifiants à longue durée de vie et sont rarement surveillés. Dans de nombreux environnements d'entreprise, ils génèrent une part importante du trafic d'authentification, ce qui en fait un mécanisme idéal pour les déplacements latéraux et l'élévation de privilèges.

actions recommandées par la BCE

  • Découvrir et inventorier en permanence tous les comptes de service et autres identités non humaines.
  • Mettre en œuvre des mesures de contrôle compensatoires lorsque l'authentification multifacteur ne peut être appliquée.

Actions supplémentaires

  • Comportement d'authentification attendu de base.
  • Limitez chaque compte de service aux sources, destinations et protocoles approuvés.
  • Désactiver ou restreindre strictement les comptes de service inactifs (plus de 90 jours sans connexion).

Comment Silverfort aide

Silverfort Ce système détecte et classe en continu les comptes de service dans les environnements hybrides. Il établit une base de référence pour le comportement normal et applique le contrôle d'accès virtuel, limitant ainsi les lieux et les méthodes d'authentification des comptes de service sans modifier les identifiants ni perturber les processus métier. Les comptes inactifs sont automatiquement identifiés pour une correction rapide.

Découvrez la sécurité NHI avec Silverfort
Parlez-nous maintenant

04

Accès privilégié sécurisé à grande échelle 

Domaines 4 et 5 de la BCE : Gouvernance, défense en profondeur et confiance zéro

Pourquoi cela compte

Les identités privilégiées demeurent la voie la plus rapide vers la compromission des systèmes d'entreprise. Les attaquants utilisant l'IA exploitent activement des techniques de coercition d'identifiants telles que PetitPotam, abusent de l'administration multiniveau et ciblent les comptes privilégiés protégés uniquement par mot de passe. Les solutions PAM traditionnelles ne protègent souvent qu'une partie des identités privilégiées, créant ainsi d'importantes failles dans les environnements hybrides.

actions recommandées par la BCE

  • Imposer l'authentification multifacteur pour tous les comptes à privilèges.
  • Appliquer le principe du moindre privilège et une vérification continue.
  • Intégrer le risque d'identité dans la gouvernance et les rapports du conseil d'administration en fonction du cadre d'appétit pour le risque

Actions supplémentaires

  • Limiter les emplacements où les comptes de machines du contrôleur de domaine peuvent s'authentifier.
  • Empêcher l'administration inter-niveaux.
  • Étendez la protection des accès privilégiés au-delà de la couverture traditionnelle des coffres-forts.
  • Protégez les comptes à privilèges grâce à l'authentification multifacteur (MFA) sur tous les protocoles, y compris les protocoles existants.
  • Accès JIT pour supprimer les privilèges permanents.

Comment Silverfort aide

Silverfort Il protège l'accès privilégié à grande échelle et au-delà du coffre-fort en découvrant toutes les identités privilégiées et en appliquant des contrôles de sécurité conformes au flux d'authentification.

Les politiques d'exécution appliquent l'authentification multifacteur adaptative à Active DirectoryIl isole les niveaux d'administration, restreint l'authentification des comptes machines et supprime les privilèges permanents avec accès JIT, ainsi que les systèmes existants et les protocoles administratifs. Il couvre toutes les identités privilégiées ciblées en priorité par Frontier AI, y compris celles que les coffres-forts traditionnels ne peuvent pas prendre en charge : Niveau 0 (Administrateurs de domaine, PKI, Entra Connect), Niveau 1 (Administrateurs de serveur, DBA, comptes de service) et Niveau 2 (Assistance technique, Support informatique).

Découvrez Vaultless PAM en action

05

Restreindre les protocoles d'authentification faibles

Domaine 5 de la BCE : Défense en profondeur et confiance zéro

Pourquoi cela compte

Les protocoles d'authentification traditionnels — notamment NTLM, LDAP non signé, RC4 et les anciennes configurations Kerberos — restent courants dans les institutions financières. Ces protocoles permettent le relais d'identifiants, les attaques par transmission de hachage et la coercition d'authentification, ce qui en fait une cible privilégiée pour les attaquants utilisant l'IA et cherchant à s'infiltrer le plus rapidement possible dans l'environnement.

actions recommandées par la BCE

  • Moderniser les technologies et les protocoles d'authentification existants lorsque cela est possible.
  • Mettre en œuvre des mesures compensatoires lorsque la modernisation n'est pas immédiatement possible.

Actions supplémentaires

  • Recenser et quantifier l'utilisation des protocoles faibles.
  • Privilégier la restriction des protocoles faibles aux systèmes sensibles.
  • Abandonnez progressivement NTLM et les autres protocoles hérités.
  • Suivre la réduction des protocoles hérités comme indicateur de performance clé (KPI) de sécurité.

Comment Silverfort aide

Silverfort Offre une visibilité complète sur les protocoles d'authentification existants et applique des politiques d'accès adaptées aux protocoles dès l'authentification. Les organisations peuvent bloquer ou renforcer sélectivement les protocoles à risque sans perturber les applications critiques existantes, ce qui permet une modernisation progressive tout en réduisant immédiatement l'exposition aux risques.

Découvrez comment éliminer NTLM de vos environnements
Parlez-nous maintenant

06

Détecter les menaces d'identité en temps réel 

BCE, domaine 3 : Surveillance et détection

Pourquoi cela compte

Les attaques par injection d'identifiants — notamment le spamming de mots de passe, la lassitude face à l'authentification multifacteur, les attaques par force brute et les comportements d'authentification anormaux — sont souvent les premiers indicateurs d'une attaque utilisant l'IA. Les solutions de surveillance traditionnelles manquent fréquemment de contexte d'identité, ce qui rend difficile la distinction entre une activité administrative légitime et une compromission à la vitesse de la machine.

actions recommandées par la BCE

  • Renforcer la surveillance de l'authentification.
  • Améliorer les capacités de défense basées sur l'IA.

Actions supplémentaires

  • Comportement de référence pour toutes les identités.
  • Détectez en temps réel les abus d'identifiants et les anomalies d'authentification.
  • Intégrez les signaux d'identité dans les plateformes SIEM et SOAR existantes.
  • Déployez des leurres et des identités de déclenchement pour exposer la reconnaissance automatisée.

Comment Silverfort aide

Silverfort La détection des menaces d'identité (ITDR) analyse en continu le comportement d'authentification et détecte en temps réel les attaques par usurpation d'identité, la lassitude face à l'authentification multifacteur (MFA), les attaques par force brute et les activités d'identité anormales. Les signaux d'identité fiables sont intégrés directement aux flux de travail SIEM et SOAR existants, améliorant ainsi la détection sans infrastructure supplémentaire. Une réponse basée sur les risques est générée automatiquement et en temps réel pour bloquer les accès risqués avant qu'ils ne soient validés.

Voir Plus Silverfort ITDR

07

Contenir les incidents avant qu'ils ne se propagent 

Domaine 6 de la BCE : Résilience opérationnelle

Pourquoi cela compte

Les méthodes traditionnelles de réponse aux incidents supposent que les équipes de défense disposent de plusieurs heures pour enquêter sur une attaque et la contenir. Les modèles d'IA de Frontier AI réduisent ce délai à quelques minutes. Dès que les attaquants commencent à se déplacer latéralement, la capacité à contenir immédiatement les identités compromises devient cruciale pour limiter l'impact sur l'activité.

actions recommandées par la BCE

  • Intégrer l'identité dans la gestion de crise et la planification de la résilience opérationnelle et les tester (en accord avec DORA).
  • Tester régulièrement les procédures de réponse aux incidents et de reprise après incident, notamment pour les contrôles où la modernisation n'est pas immédiatement possible.

Actions supplémentaires

  • Prédéfinir des politiques de confinement d'identité d'urgence (scénarios « gros bouton rouge ») : refuser toute authentification à partir d'un compte compromis, bloquer les protocoles faibles vers le niveau 0, imposer l'authentification multifacteur sur tous les accès privilégiés.
  • Isolation automatique des identités compromises et des voies d'accès privilégiées.
  • Intégrez les contrôles d'identité aux signaux EDR et SIEM.
  • Valider que le confinement de l'identité peut être exécuté en quelques minutes grâce à des exercices réguliers.

Comment Silverfort aide

Silverfort Permet aux organisations de contenir les attaques basées sur l'identité en quelques secondes en appliquant des politiques d'exécution alignées sur le flux d'authentification, y compris des politiques d'urgence prédéfinies. L'intégration avec les plateformes EDR/SIEM existantes renforce la détection et le confinement des attaques. Les équipes de sécurité peuvent immédiatement bloquer ou contester les identités compromises, segmenter les accès affectés et activer des politiques de confinement prédéfinies pour stopper les attaquants avant qu'ils ne puissent poursuivre leur progression dans l'environnement.

Découvrez comment nous neutralisons les attaques alimentées par l'IA
Parlez-nous maintenant

Feuille de route sur 12 semaines pour la sécurité de l'identité en vue de la conformité au mandat de la BCE

Les attentes de la BCE concernent de nombreuses équipes et technologies, mais elles ne doivent pas nécessairement se transformer en une multitude de projets déconnectés. Forts de notre expérience en matière d'accompagnement des organisations face aux attaques basées sur l'IA, nous avons constaté que les mesures de contrôle les plus efficaces peuvent être mises en œuvre de manière structurée, permettant une réduction significative des risques en quelques semaines et contribuant à une résilience à long terme.

La feuille de route ci-dessous hiérarchise les contrôles en fonction de la réduction des risques, de l'effort de mise en œuvre et de la dépendance, permettant ainsi aux banques de démontrer des progrès mesurables bien avant la date limite de soumission du 31 octobre. Suivez ce plan pour que 75 % des exigences d'identité soient appliquées d'ici la semaine 8 et que 93 % soient prêtes pour la soumission JST d'ici la semaine 12.

phaseFocusPrioriserRésultat
Phase 1 (Semaines 1 à 2)
Victoires rapides		Ces mesures de contrôle peuvent généralement être mises en œuvre rapidement et réduisent immédiatement les vecteurs d'attaque les plus fréquemment exploités par les attaquants utilisant l'IA.
  • Imposer l'authentification multifacteur sur tous les comptes à privilèges.
  • Étendre l'authentification multifacteur aux protocoles administratifs (RDP, PsExec, SMB).
  • Identifier les identités privilégiées critiques qui ne bénéficient pas d'une protection.
  • Commencez à rédiger des rapports de direction sur les risques liés à l'identité.
Réduction immédiate des abus d'identifiants privilégiés tout en établissant une visibilité sur la gouvernance.
Phase 2 (Semaines 2 à 4)
Construire les fondations		Avant de mettre en place des contrôles, établissez une visibilité sur votre paysage d'identités.
  • Découvrir et classer tous les comptes de service et les identités non humaines.
  • Inventaire des protocoles d'authentification hérités.
  • Quantifier l'utilisation de NTLM, en commençant par les ressources de niveau 0.
  • Identifier les comptes privilégiés inactifs et les administrateurs fantômes.
Un inventaire complet des identités et des voies d'authentification que les attaquants utilisant l'IA sont le plus susceptibles d'exploiter.
Phase 3 (Semaines 4 à 8)
Déployer les contrôles d'exécution principaux		Une fois la visibilité établie, commencez à appliquer les contrôles d'exécution au niveau de la couche d'authentification.
  • Appliquer la technique du « clôture virtuelle » aux comptes de service.
  • Déployez l'authentification multifacteur adaptative et l'authentification basée sur les risques.
  • Activer la détection des menaces d'identité et l'établissement de références comportementales.
  • Intégrer les signaux d'identité dans SIEM/SOAR.
L'identité devient un plan de contrôle actif capable d'arrêter les attaques alimentées par l'IA avant même que le mouvement latéral ne commence.
Phase 4 (Semaines 8 à 12)
Renforcer l'environnement		Grâce à une protection en temps réel, l'exposition structurelle est réduite dans tout l'environnement.
  • Limiter DCSync aux contrôleurs de domaine autorisés.
  • Supprimer l'administration à plusieurs niveaux.
  • Restreindre ou désactiver les comptes inactifs.
  • Valider les procédures de confinement d'urgence.
Une infrastructure d'identité renforcée, conforme aux attentes de la BCE en matière de défense en profondeur.
En cours
Réduire l'exposition héritée		Les protocoles hérités restent l'une des voies d'attaque les plus fréquemment exploitées par les IA de pointe.
  • Éliminez progressivement NTLMv1 partout où cela est possible.
  • Remplacez les protocoles d'authentification faibles.
  • Mettre en œuvre des mesures compensatoires là où la modernisation n'est pas encore possible.
  • Suivre la réduction des protocoles comme indicateur de performance clé au niveau du conseil d'administration.
-

À la fin du programme de 12 semaines, les organisations devraient viser à avoir :

  • L'authentification multifacteur protège toutes les identités privilégiées 
  • Chaque demande d'accès est évaluée lors de l'exécution. 
  • Contrôles d'exécution appliquant les décisions d'accès en ligne 
  • Comptes de service découverts et mis sous scellés 
  • Détection des menaces d'identité intégrée au SOC 
  • Niveau 0 isolé des environnements de confiance inférieure 
  • Les procédures de confinement d'identité d'urgence ont été testées. 
  • L'authentification héritée est activement réduite. 

Feuille de route pour la sécurité des identités : Cocher la case BCE

Phase 1 | Semaines 1 à 2

Victoires rapides

  • L'authentification multifacteur (MFA) sur tous les comptes privilégiés
  • Authentification multifacteur sur les protocoles d'administration (RDP, WinRM, RsExec, SMB)

Mesures de contrôle à fort impact. Déploiement en quelques jours, et non en quelques semaines.

Couverture cumulée : 20 %

3 exigences d'identité sur 14

Phase 2 | Semaines 2 à 4

Fondation

  • Découvrir et classer tous les comptes de service
  • Quantifier et limiter NTLM au niveau 0

On ne peut pas clôturer ce qu'on ne connaît pas.

Couverture cumulée : 45 %

6 exigences d'identité sur 14

Phase 3 | Semaines 4 à 8

Commandes principales

  • Les comptes de service de clôture correspondent à l'enveloppe prévue
  • Application de la loi PAW pour les administrateurs
  • Déployer la détection des menaces d'identité

Contrôles d'exécution appliqués. Le SoC possède des signaux d'identité.

Couverture cumulée : 74 %

10 exigences d'identité sur 14

Phase 3 | Semaines 4 à 8

Durcissement

  • Restriction DCSync aux contrôleurs de domaine uniquement
  • Isolation de niveau 0 / refus inter-niveaux
  • Restriction de compte inactif

Défense renforcée en profondeur. Prêt pour la soumission au JST.

Couverture cumulée : 93 %

13 exigences d'identité sur 14

En cours

Réduire l'exposition héritée

  • Suppression progressive de NTLMv1
  • Remplacer les protocoles faibles
  • Réduction du suivi comme indicateur de performance clé

Restriction de phase NTLM plus large.

Couverture cumulée : 100 %

14 exigences d'identité sur 14

Liste de contrôle complète de l'identité de la BCE 

Accélérez votre programme de sécurité d'identité de la BCE avant le 31 octobre 2026

Le délai est court, mais réalisable avec les bonnes priorités. SilverfortLes experts en sécurité des identités de [Nom de l'entreprise] ont collaboré avec certaines des plus grandes entreprises mondiales pour se prémunir contre les attaques basées sur l'IA, notamment Mythos d'Anthropic. Ces collaborations ont permis d'élaborer ce guide. Que vous lanciez votre programme ou que vous en testiez la robustesse, nous pouvons vous aider à prioriser les contrôles les plus importants et à accélérer leur mise en œuvre avant le 31 octobre.
Accélérez dès aujourd'hui votre programme de préparation à l'IA de la BCE

FAQ

Qu’est-ce que DCSync et pourquoi le mandat de la BCE s’y intéresse-t-il ?
Synchronisation DC est une technique qui abuse Active DirectoryLes autorisations de réplication permettent de demander directement les hachages de mots de passe à un contrôleur de domaine, usurpant ainsi l'identité de ce dernier. Les attaquants qui obtiennent ces droits de réplication, souvent via un compte compromis ou surprivilégié, peuvent extraire les identifiants de tous les utilisateurs de l'annuaire, y compris les administrateurs de domaine, sans jamais accéder directement au contrôleur de domaine. La directive de la BCE (Banque centrale de l'Europe) s'attaque indirectement à ce problème grâce à ses exigences de moindre privilège et de vérification continue, car la restriction des droits de réplication aux comptes approuvés bloque cette possibilité.
Kerberasting Cette technique cible les comptes de service utilisant l'authentification Kerberos. Un attaquant demande un ticket de service pour tout compte possédant un nom de principal de service (SPN), puis le déchiffre hors ligne pour récupérer le mot de passe du compte. Les comptes de service ayant souvent des mots de passe faibles ou inchangés et des privilèges élevés, cette technique offre aux attaquants un accès privilégié rapide et discret, sans déclencher d'alertes de connexion.

AS-REP L'attaque Roasting exploite les comptes configurés sans authentification préalable Kerberos. Normalement, un utilisateur doit prouver son identité avant de recevoir une réponse d'authentification ; sans ce contrôle, un attaquant peut demander directement la réponse et la déchiffrer hors ligne pour récupérer le mot de passe du compte. Elle ne nécessite aucune information d'identification valide pour démarrer, ce qui en fait une première étape facile pour les attaques automatisées qui analysent un environnement à la recherche de comptes mal configurés.
Petit Potam Il s'agit d'une technique de coercition qui force un système Windows, souvent un contrôleur de domaine, à s'authentifier auprès d'un serveur contrôlé par un attaquant. Ce dernier intercepte cette tentative d'authentification et la relaie pour obtenir un accès ou des identifiants valides, sans jamais avoir besoin du mot de passe de la victime. Cette technique est particulièrement dangereuse car elle n'exploite pas une vulnérabilité au sens traditionnel du terme ; elle détourne une fonctionnalité légitime d'authentification Windows.
Passer le hachage Cette faille permet à un attaquant de s'authentifier directement à l'aide d'un hachage de mot de passe volé, sans jamais avoir à le déchiffrer en clair. Une fois qu'un attaquant a compromis un système et extrait un hachage d'identifiants mis en cache, il peut le réutiliser pour accéder à d'autres systèmes acceptant les mêmes identifiants, atteignant souvent un contrôleur de domaine quelques minutes seulement après la compromission initiale.
PsExec PsExec est un outil d'administration Windows légitime permettant d'exécuter des commandes à distance. Lors d'une attaque par diffusion, un attaquant disposant d'identifiants valides ou volés utilise PsExec pour exécuter simultanément des commandes sur des dizaines, voire des centaines de machines. L'outil et les identifiants étant légitimes, chaque authentification individuelle semble normale ; seule la répétition des opérations (nombreuses machines, sur une courte période) révèle l'attaque.
NTLM NTLM est un protocole d'authentification Windows ancien qui ne prend pas en charge les protections modernes telles que l'authentification mutuelle, ce qui le rend vulnérable aux attaques par relais et par transmission de hachage. De nombreuses institutions financières utilisent encore NTLM parallèlement à des protocoles plus récents pour assurer la compatibilité avec les applications existantes, ce qui offre aux attaquants une faille de sécurité, même dans des environnements par ailleurs modernisés. Le mandat de la BCE exige la modernisation des protocoles existants et la mise en place de mesures de contrôle compensatoires lorsque leur remplacement n'est pas immédiatement possible, comblant ainsi directement cette lacune. Guide pour éliminer complètement NTLM de votre environnement.