Le chemin d'attaque le plus court
Un attaquant qui prend le contrôle d'un poste de travail cherche une seule chose : trouver, sur cette machine, la trace d'un compte plus puissant.
Il la trouve presque toujours, pour une raison d'organisation et non de technique. L'administrateur du domaine se connecte à un poste pour dépanner un utilisateur. Son identifiant laisse alors des éléments réutilisables en mémoire. Le poste est compromis, le compte suit, et le domaine avec.
Le vol d'identifiants en mémoire est un moyen. La cause est ailleurs : un compte à privilèges élevés a été utilisé sur une machine à faible niveau de confiance.
Le principe des trois niveaux
Le modèle qui répond à ce problème est simple à énoncer et exigeant à tenir.
| Niveau | Ce qu'il administre | Où ses comptes peuvent se connecter |
|---|---|---|
| 0 | contrôleurs de domaine, annuaire | uniquement sur le niveau 0 |
| 1 | serveurs, applications | niveaux 1 et en dessous, jamais 0 |
| 2 | postes de travail | postes uniquement |
La règle tient en une phrase : un compte d'un niveau ne se connecte jamais sur une machine d'un niveau moins protégé. Un administrateur du domaine n'ouvre pas de session sur un poste utilisateur, jamais, même cinq minutes, même pour rendre service.
Ce que cela change concrètement
Une même personne détient plusieurs comptes : un compte nominatif ordinaire pour sa messagerie et son travail courant, et un ou plusieurs comptes d'administration selon les niveaux dont elle a la charge.
C'est contraignant, et c'est le prix. La contrainte a un bénéfice mesurable : la compromission d'un poste reste la compromission d'un poste.
L'interdiction se technique par une stratégie qui refuse l'ouverture de session des groupes à privilèges sur les machines de niveau inférieur. Une règle seulement écrite finit contournée un vendredi soir.
Le poste d'administration dédié
C'est la pièce que les PME sautent, et celle qui fait le plus de différence.
Une machine réservée à l'administration, sans messagerie, sans navigation web, sans outils bureautiques, avec le strict nécessaire. Les deux principaux vecteurs d'infection, la pièce jointe et le site piégé, n'y existent pas.
Une machine dédiée, même modeste, protège mieux qu'une longue liste de règles appliquées à une machine polyvalente.
Les comptes à surveiller en priorité
Les administrateurs du domaine : la liste doit être courte et vérifiée. Deux ou trois comptes dans une PME, pas quinze.
Les comptes de service avec des privilèges élevés : ils ont souvent des mots de passe anciens et jamais changés, et ils sont la cible des attaques hors ligne.
Les comptes désactivés mais toujours membres de groupes sensibles : réactivés un jour pour dépanner, ils rouvrent tout.
Le compte administrateur intégré, dont le nom est connu de tous : à surveiller particulièrement.
À retenir
Un compte privilégié utilisé sur une machine peu protégée transfère ses privilèges à qui contrôle cette machine. Séparez les niveaux, techniquement et pas seulement par consigne, et administrez depuis un poste dédié.