Énumération IAM (cloud)

Définition

L'énumération IAM cloud désigne la collecte systématique d'informations sur les identités, rôles, politiques d'autorisation et permissions effectives configurés dans un environnement de gestion des identités et des accès cloud, réalisée par un attaquant ayant obtenu un premier jeu d'identifiants valides, même à faibles privilèges apparents, afin de cartographier les chemins possibles vers une élévation de privilèges au sein de l'environnement cloud. Contrairement à un environnement Active Directory traditionnel où les relations de privilège reposent largement sur l'appartenance à des groupes, les environnements cloud combinent des politiques d'autorisation complexes, des rôles assumables entre comptes, des relations de confiance inter-comptes et des permissions parfois héritées de multiples niveaux hiérarchiques, rendant l'énumération manuelle particulièrement fastidieuse et poussant les attaquants comme les auditeurs à s'appuyer sur des outils automatisés de cartographie des chemins de privilège. Une énumération IAM réussie révèle fréquemment des rôles disposant de permissions bien plus larges que nécessaire pour leur fonction réelle, un phénomène connu sous le nom de surprovisionnement, exploitable pour une élévation de privilèges au sein même du compte cloud compromis. Pour les équipes défensives, la contre-mesure repose sur l'application rigoureuse du principe du moindre privilège lors de l'attribution des rôles, un audit régulier des permissions effectivement accordées via des outils de gestion des droits cloud, et la journalisation systématique des appels d'énumération d'identités inhabituels dans les journaux d'activité cloud.