Peu de réglages, beaucoup d'effet
Le durcissement d'un annuaire donne lieu à des listes de centaines de points. Une PME n'en appliquera pas le dixième, et ce n'est pas grave : quelques réglages couvrent la majorité des chemins d'attaque réellement utilisés.
Voici ceux qui comptent, avec la raison de chacun, parce qu'un réglage appliqué sans sa raison est le premier à sauter le jour où il gêne.
Les six qui font la différence
Refuser l'ouverture de session des comptes privilégiés sur les postes. C'est la traduction technique de la séparation des niveaux vue à la leçon précédente. Sans elle, la règle est un voeu.
Désactiver les protocoles d'authentification anciens. Les versions historiques de l'authentification réseau se cassent hors ligne en quelques heures. Elles ne subsistent que pour de vieux équipements, à identifier et à traiter séparément.
Interdire l'enregistrement des mots de passe en mémoire pour les sessions non nécessaires, ce qui réduit ce qu'un attaquant récolte sur une machine compromise.
Activer la corbeille de l'annuaire. Elle permet de restaurer un objet supprimé sans restaurer l'annuaire entier. Une suppression massive de comptes devient récupérable en heures plutôt qu'en jours.
Limiter les postes autorisés par compte pour les comptes sensibles : un compte administrateur qui ne peut se connecter que depuis deux machines devient nettement moins utile à un attaquant.
Imposer l'authentification à deux facteurs sur les accès distants et sur les comptes à privilèges, quand l'infrastructure le permet.
Les mots de passe : ce qui a changé
La doctrine a évolué et beaucoup d'entreprises appliquent encore l'ancienne.
Le changement forcé tous les trente jours est contre-productif. Il produit des variantes prévisibles, avec un chiffre incrémenté à la fin, et des mots de passe écrits sur des papiers.
La longueur bat la complexité. Une phrase de passe longue résiste mieux qu'un mot court truffé de caractères spéciaux, et se retient sans support écrit.
Le filtrage des mots de passe déjà connus dans les fuites publiques apporte plus que toutes les règles de composition réunies.
Le changement forcé garde un cas d'usage : après un incident, ou pour un compte dont on doute.
Ce qui se vérifie une fois par trimestre
Quatre requêtes, une demi-heure :
- qui est membre des groupes à privilèges, et pourquoi
- quels comptes ont un mot de passe qui n'expire jamais
- quels comptes ne se sont pas connectés depuis quatre-vingt-dix jours
- quels comptes de service portent des privilèges élevés
La troisième ligne est celle qui rapporte le plus : les comptes de salariés partis restent actifs bien plus souvent qu'on ne l'imagine, et ils sont parfaits pour un attaquant, puisque personne ne surveille leur activité.
À retenir
Six réglages couvrent l'essentiel. Traduisez la séparation des niveaux en règle technique, coupez les protocoles anciens, activez la corbeille. Sur les mots de passe, préférez la longueur au renouvellement forcé, et chassez chaque trimestre les comptes oubliés.