Comment VaultPAM sécurise les enregistrements de sessions

Un enregistrement auquel on ne peut pas se fier n’est pas une preuve. Il peut montrer une activité, sans répondre aux questions plus difficiles : s’agit-il de l’enregistrement de cette session, a-t-il été modifié, qui l’a consulté et son traitement a-t-il respecté les règles ? Protéger un enregistrement ne consiste donc pas seulement à placer un fichier dans un stockage. C’est une chaîne d’ingénierie qui commence par une capture contrôlée et se poursuit par le chiffrement, la vérification de l’intégrité, les décisions d’accès, la conservation et l’historique d’audit. Cet article explique comment VaultPAM établit cette chaîne pour qu’un enregistrement puisse servir de preuve dont l’utilisation engage la responsabilité, plutôt que d’être traité comme un artefact non vérifié.

Pour la perspective d’audit et d’enquête — les questions qu’un évaluateur pose au dossier finalisé — consultez L'enregistrement de sessions comme preuve d'audit. Il s’agit de la vue complémentaire : comment l’enregistrement est traité pour que les preuves soient dignes de confiance.

Commencez par le chemin d’accès contrôlé

La confiance ne peut pas être ajoutée uniquement après la fin d’une session. VaultPAM capture les enregistrements par son chemin d’accès contrôlé, sans agent et basé sur un navigateur, en relayant les sessions RDP, SSH, VNC et HTTP. Ce chemin fournit le point auquel un enregistrement est capturé comme partie intégrante de la session à privilèges.

C’est important, car la preuve doit rester liée à l’activité d’accès qu’elle représente. L’enregistrement n’est pas simplement un fichier pratique à conserver ; c’est le dossier protégé d’une session qui a emprunté le chemin contrôlé. Tout ce qui suit est conçu autour de la même question : un évaluateur peut-il se fier à cet artefact précis dans ce contexte précis ?

Chiffrez chaque artefact et liez-le à son contexte

Au repos, chaque artefact d’enregistrement est chiffré avec AES-256-GCM à l’aide de sa propre clé de données par artefact. Il s’agit d’un chiffrement par enveloppe : la clé de données protège l’artefact, tandis qu’un service dédié de gestion des clés enveloppe cette clé. Le matériel de clé ne se trouve jamais à côté des données qu’il protège.

Cette séparation est délibérée. Un enregistrement contient une activité à privilèges ; la protection de son contenu ne doit donc pas dépendre du traitement de l’enregistrement et de la clé comme un seul paquet. Le chiffrement par enveloppe sépare l’artefact chiffré du matériel de clé tout en permettant à chaque artefact d’avoir sa propre clé de données. En clair, l’artefact est protégé par une clé créée pour lui, et cette clé est protégée séparément.

Le chiffrement seul ne suffit pas si du texte chiffré peut être déplacé entre des contextes et accepté comme s’il leur appartenait. VaultPAM authentifie aussi des métadonnées contextuelles en tant que données authentifiées supplémentaires : l’organisation, l’enregistrement, l’artefact et le fragment. C’est la liaison de contexte. Si le texte chiffré est déplacé ou réétiqueté pour un autre contexte, le déchiffrement échoue.

Ce choix protège le sens qui entoure les octets autant que les octets eux-mêmes. Un évaluateur n’a pas à supposer qu’un fragment chiffré appartient toujours à l’enregistrement, à l’artefact, à l’organisation et au contexte de fragment indiqués à côté de lui. Le chiffrement vérifie cette relation lors du déchiffrement.

Ne supprimez le texte en clair qu’après avoir prouvé l’existence de la copie protégée

Le traitement sécurisé comporte un détail important dans le chemin d’écriture : le texte en clair capturé localement n’est pas supprimé simplement parce qu’un téléversement a été lancé. Il n’est supprimé qu’après la persistance du téléversement chiffré et la réussite d’une vérification par déchiffrement et relecture, octet par octet.

L’ordre est intentionnel. Il évite de considérer une demande de téléversement comme la preuve que l’artefact protégé est disponible et lisible. La condition de persistance confirme que le téléversement chiffré a été stocké ; le contrôle par déchiffrement et relecture confirme que l’artefact chiffré peut être vérifié octet par octet. Le texte en clair capturé localement n’est supprimé qu’après la réussite de ces deux conditions.

Cette petite règle de séquencement a une conséquence probatoire majeure. Le dossier protégé doit être établi et contrôlé avant l’effacement du texte en clair local. Sinon, une défaillance entre la capture et la persistance chiffrée vérifiée pourrait empêcher une organisation de se fier à l’artefact d’enregistrement prévu.

Lorsque les métadonnées d’enregistrement et les preuves circulent entre des services internes, ces appels sont authentifiés mutuellement avec mTLS. L’authentification mutuelle garantit que les parties internes qui transportent ce contexte d’enregistrement s’authentifient l’une auprès de l’autre.

Rendez les modifications détectables, puis la vérification répétable

La confidentialité et l’intégrité répondent à des questions différentes. Le chiffrement protège le contenu des enregistrements au repos. L’intégrité demande si le contenu de l’enregistrement reste cohérent avec la session enregistrée.

VaultPAM protège le contenu des enregistrements au moyen d’une chaîne de hachage SHA-256 sur les fragments d’enregistrement. Il conserve des manifestes d’intégrité durables, et un outil de vérification hors ligne peut contrôler à nouveau tout enregistrement. Ensemble, ces éléments donnent à un vérificateur un moyen répétable de tester l’intégrité d’un enregistrement, plutôt que de s’en remettre à l’affirmation selon laquelle il n’a pas changé.

La chaîne de hachage fait de chaque fragment d’enregistrement une partie d’un contrôle d’intégrité ordonné. Le manifeste durable conserve les informations nécessaires à la vérification, et l’outil hors ligne permet de refaire ce contrôle lorsqu’une preuve est requise. C’est utile lors d’un examen courant, d’une enquête ou d’un audit : la question de l’intégrité peut recevoir une réponse par vérification, et non par la seule confiance.

L’enregistrement RDP natif comporte une condition supplémentaire. Un fichier auxiliaire d’intégrité des images est requis, et l’ingestion échoue si sa vérification n’est pas satisfaisante. L’intégrité des images devient ainsi une partie obligatoire de l’acceptation d’un enregistrement RDP natif, et non un contrôle facultatif effectué ultérieurement.

Contrôlez qui peut voir les preuves — et consignez cet accès

Un enregistrement protégé peut encore créer un risque si trop de personnes peuvent le consulter ou l’exporter. VaultPAM sépare les autorisations de consultation ou de relecture d’un enregistrement de celles d’exportation ou de téléchargement. Il s’agit d’actions distinctes, avec des décisions d’autorisation distinctes.

Toutes les opérations d’enregistrement sont limitées au locataire concerné. Cela s’applique aux opérations relatives aux enregistrements, y compris l’accès aux preuves. Cette limite est importante, car un enregistrement n’a de sens que dans le contexte de l’organisation et de l’enregistrement auxquels il appartient.

VaultPAM consigne dans le journal d’audit les accès réussis comme les refus d’autorisation. Il en résulte un principe simple, mais important : l’accès à la preuve est lui-même une preuve. Une relecture ou une exportation réussie laisse une trace, tout comme une tentative non autorisée. Cela rend l’examen des enregistrements traçable, sans prétendre que toute personne devrait pouvoir y accéder.

Conservez les enregistrements avec des garde-fous opérationnels

La conservation doit équilibrer la disponibilité des preuves et un cycle de vie défini. VaultPAM propose des périodes de conservation configurables de 30, 90, 180 ou 365 jours. La valeur par défaut est de 90 jours, avec un délai de grâce de 7 jours.

La réduction d’une période de conservation reçoit des garanties supplémentaires. Elle exige une nouvelle authentification renforcée et une confirmation saisie par un administrateur de plateforme. Les suppressions qui en résultent sont auditées, et la suppression respecte les garanties de conservation légale.

Ces garde-fous attirent l’attention sur le changement qui peut réduire la disponibilité des preuves d’enregistrement. Une réduction de conservation n’est pas traitée comme une modification ordinaire de configuration : elle exige une nouvelle étape d’authentification, une confirmation explicite saisie et le rôle d’administrateur de plateforme. L’activité de suppression qui en résulte devient partie intégrante de l’historique d’audit, tandis que les conservations légales restent une garantie du processus de suppression.

Ce que cela signifie pour les lecteurs de NIS2 et SOC 2

Pour les lecteurs de NIS2, la cartographie de conformité de VaultPAM associe l’article 21, paragraphe 2, point a) à la piste d’audit et à l’enregistrement de sessions pour tous les accès à privilèges, et l’article 21, paragraphe 2, point b) aux alertes en temps réel sur les sessions à privilèges suspectes et à la relecture complète des sessions pour les enquêtes sur les incidents. Les détails techniques de cet article expliquent pourquoi un enregistrement de session peut étayer cette correspondance : le dossier est capturé par le chemin contrôlé, protégé au repos, lié à son contexte et susceptible de vérification d’intégrité.

Pour SOC 2, le statut actuel est précis : audit de type II en cours, rapport en attente en 2026. La protection des enregistrements doit être évaluée selon les contrôles qui peuvent être démontrés, notamment le chiffrement, la vérification, les limites d’autorisation, les garde-fous de conservation et l’historique d’audit — et non selon un rapport qui n’a pas encore été publié.

Pour le contexte de sécurité plus large autour des protections d’enregistrement décrites ici, consultez la page de sécurité de VaultPAM.

Les preuves doivent être testables, et non seulement stockées

Le résultat n’est pas la promesse qu’un enregistrement stocké est digne de confiance simplement parce qu’il existe. C’est un ensemble de contrôles et de limites : capture contrôlée, chiffrement par enveloppe avec une clé de données par artefact, contexte authentifié, persistance chiffrée vérifiée avant suppression du texte en clair local, vérification de la chaîne de hachage, autorisations d’accès distinctes, opérations limitées au locataire et conservation régie.

C’est la norme d’ingénierie qui sous-tend un enregistrement pouvant avoir une valeur probatoire. Lorsque la question porte sur ce qui s’est produit lors d’une session à privilèges, la réponse doit reposer sur un dossier dont le contenu, le contexte, l’accès et le cycle de vie peuvent tous être examinés. C’est ainsi que l’enregistrement de session devient une preuve sur laquelle une organisation peut s’appuyer.