Les droits d’administrateur peuvent se révéler une arme à double tranchant : si les spécialistes informatiques ont besoin de droits élevés pour accomplir leur travail, ces privilèges peuvent être mal utilisés par les administrateurs eux-mêmes, ainsi que par des adversaires qui auraient compromis leurs comptes.
Pour faire face à ces risques, la première étape est plutôt simple : réduire le nombre de comptes d’administrateur en n’octroyant aucun droit d’administrateur local aux utilisateurs professionnels. Les utilisateurs s’y opposent souvent, mais ils n’en ont généralement pas besoin pour effectuer leur travail. Supprimer ces droits limite considérablement le contrôle que peuvent prendre les adversaires en compromettant leur compte. Par exemple, il leur sera impossible d’installer des enregistreurs de frappe ou d’exécuter des logiciels malveillants sans droits d’administrateur local.
Obtenez une copie gratuite :
En revanche, cette première mesure ignore tous les autres comptes hautement privilégiés présents au sein de l’environnement informatique, et qui représentent un risque encore plus élevé. Les titulaires de ces comptes ont réellement besoin de ces droits pour accomplir les tâches qui leur sont assignées, notamment le réglage des configurations de l’infrastructure informatique, la création de comptes pour les nouveaux employés ou la réinitialisation des mots de passe des utilisateurs. Pour les organisations, il est tout simplement impossible de révoquer ces droits élevés comme elles pourraient le faire pour des droits d’administrateur local : il leur faut également un mécanisme pour accorder des privilèges élevés lorsque cela est nécessaire.
La stratégie « zéro privilège permanent » (ZSP) constitue une approche efficace pour faire face à ce défi. Le Zéro privilège permanent remplace les comptes à privilèges, qui présentent un risque élevé, par des accès juste-à-temps, c’est-à-dire temporaire. Cet article explique comment fonctionne le ZSP et la manière dont il permet de résoudre les difficultés inhérentes aux approches traditionnelles de la gestion des accès privilégiés (PAM).
Pourquoi les solutions PAM classiques offrent-elles une immense surface d’attaque ?
Les solutions classiques de gestion des accès privilégiés sont conçues pour aider les organisations à accorder des droits d’accès élevés pour sécuriser les comptes. Des comptes privilégiés, il en existe des dizaines, voire des centaines au sein des entreprises. Les solutions PAM classiques stockent souvent les informations d’identification des comptes privilégiés dans un coffre-fort de mots de passe. Les personnes autorisées vérifient ensuite chaque jour leurs identifiants pour obtenir un accès d’administrateur aux systèmes qu’elles gèrent, par exemple, une base de données ou un système en particulier comme Active Directory.
Toutefois, utiliser des méthodes classiques de gestion des accès privilégiés, notamment en ayant recours à un coffre-fort de mots de passe, pour contrôler strictement les accès privilégiés présente un risque de sécurité majeur. En effet, l’existence de comptes puissants, qui disposent de privilèges permanents, offre une vulnérabilité dont peuvent profiter aussi bien leurs utilisateurs légitimes que des attaquants externes.
En outre, même si des contrôles d’accès stricts sont en place, ces comptes ont tendance à accumuler beaucoup plus de droits que nécessaire. Et ils sont donc susceptibles d’être utilisés de manière abusive par leurs propriétaires, ou par des adversaires qui peuvent tenter d’en prendre le contrôle. Les données d’identification d’administrateurs sont en effet la cible favorite des acteurs malveillants, car elles leur permettent d’obtenir un accès privilégié à des données et des systèmes sensibles, ainsi qu’à d’autres ressources informatiques critiques.
Téléchargez le guide gratuit :
Qu’est-ce que le Zéro privilège permanent ?
Il s’agit d’une approche moderne de la gestion des accès privilégiés (PAM) qui permet de remédier aux lacunes des outils classiques. Son objectif : réduire le nombre de comptes disposant de privilèges élevés à un niveau aussi proche que possible de zéro. Un accès privilégié n’est ainsi accordé que lorsqu’il est nécessaire et limité précisément à la réalisation d’une tâche particulière. Une fois cette dernière effectuée, il est ensuite automatiquement supprimé. Une stratégie ZSP vous permet donc de réduire votre surface d’attaque et de diminuer considérablement le risque de violation de données et d’interruption de l’activité. Le principe de « Zéro privilège permanent », en offrant un contrôle strict des accès privilégiés, représente une composante essentielle de tout modèle Zero Trust.
À titre de comparaison, prenons l’exemple du poste de caissier ou caissière de supermarché. La plupart du temps, le tiroir-caisse des caisses enregistreuses reste verrouillé. Il ne s’ouvre que lorsqu’une transaction est effectuée, et que le caissier ou la caissière doit y accéder. Une fois la transaction terminée, le tiroir-caisse se verrouille de nouveau automatiquement. Comme pour le Zéro privilège permanent, il n’existe pas de bouton permanent sur lequel appuyer lorsque le caissier ou la caissière souhaite l’ouvrir.
Exemple de ZSP
Pour comprendre le fonctionnement du Zéro privilège permanent, analysons ce qui se passe lorsqu’un administrateur nommé Alex doit obtenir un accès privilégié à une ressource informatique sensible afin d’effectuer une tâche qui lui a été confiée :
- Alex soumet une demande qui détaille la tâche et les privilèges nécessaires pour l’effectuer.
- Lorsque la demande est approuvée, la solution PAM crée une identité temporaire avec juste assez de privilèges pour réaliser la tâche demandée.
- Soit la tâche est exécutée de façon interactive par Alex (p. ex. en utilisant RDP sur un serveur), soit par le système en son nom (p. ex. en redémarrant un serveur).
- Lorsque la tâche est terminée, l’identité temporaire est automatiquement supprimée.
Éléments clés du ZSP
Comme l’illustre l’exemple ci-dessus, le principe de « Zéro privilège permanent » est basé sur l’octroi d’un accès limité pendant une période limitée. C’est pourquoi les outils de gestion des accès privilégiés qui intègrent une approche ZSP fournissent un accès privilégié juste-à-temps (JIT), avec juste assez de privilèges (principe du moindre privilège).
- Accès juste-à-temps (JIT) — Les utilisateurs ne disposent pas de comptes à privilèges permanents. On leur octroie plutôt un accès élevé lorsqu’ils en ont besoin, et uniquement pendant le temps nécessaire à la réalisation d’une tâche particulière.
- Juste assez de privilèges — Le principe du moindre privilège établit que chaque compte ne devrait bénéficier que des droits d’accès nécessaires à l’accomplissement des tâches qui lui sont assignées. Les solutions qui proposent une approche ZSP doivent donc respecter ce principe lors de l’attribution de privilèges juste-à-temps, et n’accorder aux utilisateurs que les droits d’accès dont ils ont besoin pour utiliser les applications, les systèmes ou toute autre ressource informatique nécessaire à la réalisation de leurs tâches.
Fonctionnalités supplémentaires utiles du ZSP
Les solutions les plus avancées, celles qui intègrent une approche « Zéro privilège permanent », offrent des fonctionnalités supplémentaires très utiles, notamment :
- Flux de demande et d’approbation d’accès — Généralement, l’ouverture d’une session privilégiée doit être examinée par les personnes appropriées, qui peuvent l’approuver ou la rejeter. Les flux de travail automatisés optimisent ce processus et peuvent donc s’avérer essentiels à l’adoption d’une solution de gestion des accès privilégiés et à son adhésion par les utilisateurs.
- Surveillance des sessions en temps réel — La surveillance continue de l’activité des comptes à privilèges est essentielle pour la détection et l’atténuation des risques en temps réel des comportements suspects, des erreurs et de toute autre action potentiellement nuisible.
- Enregistrement et lecture des sessions enregistrées — La possibilité de consulter les enregistrements des sessions constitue une fonctionnalité très importante pour les enquêtes et la responsabilisation individuelle. En outre, une piste d’audit complète des activités privilégiées peut être exigée lors des audits de conformité.
Comment Netwrix peut vous aider
La solution de gestion des accès privilégiés (PAM) de Netwrix vous permet d’adopter les meilleures pratiques en matière d’accès privilégiés et d’atténuer les risques liés à leur mise en œuvre. Il s’agit d’une solution PAM de pointe qui identifie les privilèges permanents et les remplace par un accès juste-à-temps et avec juste assez de privilèges. Elle propose également des flux automatisés de demande et d’approbation d’accès, et vous permet de surveiller, d’enregistrer et de lire les sessions privilégiées enregistrées afin d’intercepter les menaces avant qu’elles ne s’aggravent. Par ailleurs, ses nombreuses fonctionnalités ultramodernes sont un rouage essentiel d’une stratégie de sécurité Zero Trust générale.
