CIEM Cloud

Définition

CIEM (Cloud Infrastructure Entitlement Management) est une catégorie de solutions de sécurité spécialisée dans l'analyse et la gestion des droits d'accès dans les environnements cloud multi-cloud. Les solutions CIEM analysent l'ensemble des permissions effectives (pas seulement les permissions attribuées) pour identifier les identités sur-permissionnées, les chemins d'escalade de privilèges, et les accès inactifs représentant des risques. Les CIEM répondent à un défi fondamental des environnements cloud : la complexité des permissions. Dans AWS seul, les permissions effectives d'une identité résultent de l'interaction entre les IAM Policies (jusqu'à 10 policies attachées), les Resource Policies (policies sur les ressources comme S3 ou KMS), les SCPs (Service Control Policies de l'organisation), les Permission Boundaries, et les Session Policies (lors d'un AssumeRole). Cette complexité rend quasi-impossible l'analyse manuelle des permissions effectives. Les CIEM analysent en continu les permissions cloud en ingérant les APIs IAM et les logs d'activité CloudTrail/Azure Monitor/Cloud Audit Logs. Ils calculent les permissions effectivement utilisées (activité des 90 derniers jours) vs les permissions accordées, identifient les déltas (permissions accordées mais jamais utilisées), et génèrent des recommandations de permissions de moindre privilège. Ils identifient aussi les chemins d'escalade de privilèges : des combinaisons de permissions qui permettent à une identité d'obtenir plus de droits que ceux qui lui sont directement accordés. Les solutions CIEM leaders incluent Ermetic (acquis par Tenable), Microsoft Entra Permissions Management (acquis par Microsoft, anciennement CloudKnox), Sonrai Security, Saviynt Cloud PAM, et des fonctionnalités CIEM intégrées dans les CNAPPs comme Wiz et Prisma Cloud. La convergence CSPM+CIEM+CWPP dans les CNAPPs rend les solutions CIEM pures moins nécessaires pour les organisations ayant déjà une CNAPP. La valeur principale d'un CIEM est l'identification des identités sur-permissionnées à haut risque : des ServiceAccounts Kubernetes avec des rôles cluster-admin, des fonctions Lambda avec des permissions AdministratorAccess, ou des rôles IAM dont la trust policy permet à n'importe quel compte IAM de les assumer. Ces risques sont difficiles à identifier sans un outil spécialisé capable d'analyser les permissions à l'échelle de centaines de comptes cloud.