Comptes à privilèges : inventorier, réduire, surveiller
Dans la plupart des attaques graves, l'intrus finit par obtenir un compte d'administration. Savoir combien on en a, qui les utilise et ce qu'ils permettent est donc une mesure de base, rarement faite en entier.
Combien de comptes d’administration existent dans votre organisation ? La question paraît simple. Elle obtient presque toujours une réponse fausse, parce qu’on compte les administrateurs nommés de l’annuaire et qu’on oublie le reste : le compte local resté actif sur chaque serveur, le compte « admin » de l’application métier, l’accès du prestataire de maintenance, la clé d’accès au service cloud enregistrée dans un script, le compte de service qui fait tourner les sauvegardes avec tous les droits. La gestion des accès à privilèges commence par cette liste. Elle se poursuit par deux autres verbes : réduire, puis surveiller.
Pourquoi ces comptes concentrent le risque
Un rançongiciel ou un vol de données à grande échelle suit souvent le même parcours : une première entrée par un poste ou un compte ordinaire, puis une progression latérale jusqu’à obtenir des droits d’administration, notamment sur l’annuaire. À partir de là, l’attaquant peut désactiver les protections, effacer les sauvegardes et chiffrer l’ensemble. Les rapports publics de l’ANSSI et de l’ENISA décrivent ce schéma de manière récurrente.
Protéger les comptes à privilèges ne rend pas l’intrusion impossible ; cela la rend beaucoup plus difficile à transformer en catastrophe. C’est aussi une attente explicite des cadres de conformité : la directive NIS 2 cite parmi les mesures de gestion des risques les politiques de contrôle d’accès, la gestion des actifs et l’authentification à plusieurs facteurs, et la norme ISO/IEC 27001 consacre une mesure à la gestion des droits d’accès privilégiés.
Inventorier : la liste complète, pas la liste connue
L’inventaire se construit par recoupement de sources, car aucune ne suffit seule.
- Annuairesgroupes d’administration, comptes à droits délégués
- Systèmescomptes locaux des serveurs, équipements réseau, hyperviseurs
- Applicationscomptes administrateurs des logiciels métier et des bases
- Cloudrôles d’administration, clés d’accès, comptes de facturation
- Tiersaccès des prestataires, éditeurs, infogérants
- Programmescomptes de service, robots logiciels, secrets dans les scripts
Pour chaque compte, noter au minimum : le système, le titulaire ou le responsable s’il s’agit d’un compte technique, les droits effectifs, la date de dernière utilisation, le mode d’authentification, et la justification. Un compte sans responsable identifié ou inutilisé depuis plusieurs mois est un candidat immédiat à la désactivation. Le cas des comptes utilisés par des programmes mérite une attention particulière ; nous l’avons détaillé à propos des robots logiciels et de leurs secrets.
Un compte « admin » dont le mot de passe est connu de cinq personnes ne permet pas de savoir qui a fait quoi. Il empêche aussi de retirer l’accès d’une seule personne au départ d’un salarié ou à la fin d’un contrat. Le remplacer par des comptes nominatifs, ou au minimum le placer derrière un coffre qui trace chaque emprunt, fait partie des premières mesures.
Réduire : moins de comptes, moins de droits, moins longtemps
Séparer les usages
Chaque administrateur dispose d’un compte ordinaire pour la messagerie et la navigation, et d’un compte distinct pour l’administration, jamais utilisé pour lire un courriel. Idéalement, ce compte d’administration ne s’utilise que depuis un poste ou un environnement dédié. Les recommandations de l’ANSSI sur l’administration sécurisée des systèmes d’information décrivent en détail cette séparation et le cloisonnement par niveaux.
Limiter les droits
Les droits d’administration complets de l’annuaire sont réservés à un très petit nombre de personnes et à des opérations rares. Le reste du travail courant (réinitialiser un mot de passe, gérer un serveur applicatif) passe par des délégations limitées à ce qui est nécessaire.
Limiter la durée
Un droit accordé en permanence est exposé en permanence. Lorsque les outils le permettent, l’élévation de privilèges se fait à la demande, pour une durée courte et avec une justification enregistrée. Les accès des prestataires sont ouverts pour une intervention, puis refermés.
Protéger chaque connexion
Authentification à plusieurs facteurs pour tous les comptes à privilèges, résistante à l’hameçonnage quand c’est possible ; mots de passe uniques et longs pour les comptes locaux, gérés par un outil qui les renouvelle ; secrets des programmes sortis des scripts et placés dans un coffre. Pour les accès techniques des équipes et des tiers, un bastion d’administration centralise ces contrôles et enregistre les sessions.
Surveiller : savoir ce qui a été fait, et le savoir vite
La surveillance poursuit deux buts : détecter un usage anormal pendant qu’il se produit, et reconstituer les faits après coup. Elle repose sur des journaux d’authentification et d’administration centralisés, conservés hors de portée des administrateurs surveillés : un attaquant devenu administrateur commence souvent par effacer les traces.
Quelques événements méritent une alerte immédiate : ajout d’un compte à un groupe d’administration, connexion d’un compte à privilèges depuis un poste ordinaire ou à une heure inhabituelle, création d’un nouveau compte de service, désactivation d’une protection ou d’une sauvegarde. Le reste alimente une revue périodique : tous les trimestres, chaque responsable confirme que les comptes à privilèges de son périmètre sont toujours nécessaires.
Un compte d’administration que personne ne revoit finit toujours par appartenir à quelqu’un qui ne devrait pas l’avoir.
Deux cas qui demandent une attention particulière
Les prestataires
Infogérants, éditeurs qui assurent la maintenance à distance, intégrateurs en cours de projet : ils disposent souvent d’accès étendus, parfois permanents, depuis des postes que l’organisation ne maîtrise pas. Le contrat doit fixer les règles (comptes nominatifs, authentification forte, accès ouverts à la demande, enregistrement des sessions, retrait en fin de mission) et l’organisation doit pouvoir les vérifier. Plusieurs incidents graves documentés publiquement ont commencé par l’accès d’un tiers.
Le cloud
Dans un service cloud, le privilège ne se limite pas aux serveurs : il porte sur la console d’administration elle-même, la facturation, la gestion des identités et des clés. Le compte racine créé à l’ouverture doit être protégé par une authentification forte, puis réservé aux opérations exceptionnelles. Les rôles se définissent par tâche, et les clés d’accès de longue durée laissées dans le code ou les postes des développeurs sont recherchées et remplacées.
Par où commencer
Le premier mois peut suffire à réduire fortement le risque, sans achat d’outil : établir l’inventaire sur les systèmes critiques, désactiver les comptes orphelins et inutilisés, créer des comptes d’administration distincts pour les administrateurs, activer l’authentification à plusieurs facteurs sur ces comptes et sur les accès des prestataires, et vérifier que les journaux d’administration sont centralisés et protégés. Les étapes suivantes (cloisonnement par niveaux, élévation temporaire, bastion, coffre à secrets) se planifient ensuite selon les résultats de l’inventaire.
Ce chantier s’articule avec la gestion des arrivées, mobilités et départs, sans laquelle les droits s’accumulent à nouveau. Notre expertise cybersécurité et conformité accompagne l’inventaire et la priorisation, et notre dossier NIS 2 replace ces mesures dans l’ensemble des obligations.
Questions fréquentes
Qu'appelle-t-on un compte à privilèges ?
Tout compte qui peut agir au-delà de ses propres données : administrer un serveur, un annuaire, une base de données, un équipement réseau, une application métier ou un service cloud, créer des comptes, modifier des droits ou des journaux. Les comptes de service et les clés d'accès utilisées par des programmes en font partie.
Faut-il un outil spécialisé de gestion des accès à privilèges ?
Pas toujours au départ. Un inventaire rigoureux, la séparation des comptes, l'authentification à plusieurs facteurs et la centralisation des journaux apportent déjà beaucoup. Un bastion ou une solution dédiée devient utile quand le nombre d'administrateurs, de prestataires ou de systèmes rend le contrôle manuel impossible.
Les administrateurs doivent-ils avoir deux comptes ?
Oui, c'est la recommandation constante : un compte ordinaire pour la messagerie, la navigation et la bureautique, et un compte distinct pour l'administration, utilisé depuis un poste ou un environnement dédié. Une messagerie ouverte avec des droits d'administration est l'une des voies d'attaque les plus fréquentes.