Comptes à privilèges : les erreurs qui reviennent dans tous les audits

Quand une intrusion se transforme en compromission générale, ce n’est presque jamais à cause d’une vulnérabilité exotique. C’est parce qu’un compte disposant de droits étendus a été récupéré quelque part, et qu’aucun cloisonnement n’a limité ce qu’on pouvait en faire.

Voici les défauts que nous retrouvons dans la quasi-totalité de nos audits, classés par gain à la correction.

1. Les administrateurs qui travaillent avec leur compte à privilèges

Un administrateur qui consulte sa messagerie, navigue sur le web et administre les serveurs avec le même compte transforme chaque courriel piégé en compromission d’infrastructure.

Le principe de correction est connu et rarement appliqué jusqu’au bout : un compte nominatif standard pour l’usage courant, un compte d’administration distinct utilisé uniquement depuis un poste dédié à cet usage.

Le point qui fait échouer la mesure est le poste d’administration. Séparer les comptes sans séparer les machines ne protège de presque rien : si le poste bureautique est compromis, le second compte l’est dès sa première utilisation.

2. L’absence de cloisonnement par niveau

C’est le défaut structurant. Dans un système non cloisonné, un compte administrateur d’un poste de travail peut, de proche en proche, atteindre l’annuaire central.

Le modèle de référence consiste à définir des niveaux — infrastructure d’authentification, serveurs, postes de travail — et à interdire qu’un compte d’un niveau s’authentifie sur un niveau inférieur. Concrètement : l’administrateur de l’annuaire ne se connecte jamais sur un poste utilisateur.

C’est un chantier long, dépendant de votre segmentation réseau, mais c’est celui qui change réellement l’issue d’une intrusion.

3. Les comptes de service oubliés

Créés pour une application, dotés de droits larges « pour que ça marche », avec un mot de passe inchangé depuis six ans et connu de trois prestataires.

Ils cumulent tous les défauts : privilèges excessifs, secret ancien, absence d’imputabilité, et personne n’ose y toucher de peur de casser la production.

La démarche qui fonctionne : inventorier, identifier ce qui les utilise réellement en observant avant d’agir, réduire les droits au strict nécessaire, puis mettre en place une rotation. Dans cet ordre. Réduire les droits avant d’avoir observé produit une interruption de service et l’arrêt du chantier.

4. Les comptes partagés

Un compte « admin » utilisé par l’équipe entière rend l’imputabilité impossible. Après un incident, vous saurez qu’une action a eu lieu, jamais qui l’a menée.

C’est aussi une non-conformité directe : la mesure 5.16 d’ISO/IEC 27002:2022 sur la gestion des identités impose que chaque personne soit identifiable de façon unique.

Quand un compte partagé est techniquement inévitable, l’accès doit passer par un coffre-fort de secrets qui trace qui l’a emprunté, quand, et pour combien de temps.

5. L’accumulation des droits

Un collaborateur change de poste tous les trois ans et conserve les droits de chacun. Au bout de dix ans, il dispose d’un périmètre que personne n’a jamais décidé de lui accorder.

La revue périodique des habilitations — semestrielle pour les comptes privilégiés — est exigée par la mesure 5.18 d’ISO 27002. Elle n’a de valeur que si elle aboutit à des retraits effectifs. Une revue où le responsable valide tout en bloc pour s’en débarrasser ne prouve rien, et un auditeur le verra immédiatement.

6. Les départs non traités

Le délai entre le départ effectif d’une personne et la désactivation de ses accès se compte souvent en semaines. Pour un prestataire, en mois.

Le correctif n’est pas technique : c’est un processus entre les ressources humaines, les achats et l’informatique, avec un déclencheur automatique et un délai contractuel.

7. L’authentification multifacteur partielle

Le facteur supplémentaire est activé sur l’accès distant des utilisateurs, mais pas sur les consoles d’administration, ni sur les accès prestataires, ni sur les comptes de secours.

Or ce sont exactement les cibles. Un dispositif d’authentification renforcée qui épargne les comptes les plus puissants protège les mauvaises portes.

Par où commencer

Si tout est à faire, l’ordre qui donne le plus de résultat pour le moins d’effort :

1. Inventorier les comptes disposant de droits élevés. Le nombre trouvé dépasse presque toujours l’estimation initiale.
2. Activer l’authentification multifacteur sur l’ensemble de ces comptes, sans exception.
3. Séparer les comptes d’administration des comptes courants, avec postes dédiés.
4. Désactiver les comptes inactifs depuis plus de quatre-vingt-dix jours.
5. Traiter les comptes de service, en observant avant de restreindre.
6. Engager le cloisonnement par niveaux.

Les quatre premiers points se traitent en quelques semaines. Les deux derniers sont des projets.

Sources

• ISO/IEC 27002:2022, mesures 5.15 à 5.18 (contrôle d’accès, identités, habilitations) et 8.2 (droits d’accès privilégiés)
• ANSSI — Guide d’hygiène informatique
• MITRE ATT&CK — Privilege Escalation

Aller plus loin

Ces défauts sont systématiquement recherchés lors de nos tests d’intrusion internes et de l’audit 360. Leur correction s’inscrit dans une démarche de gouvernance et de conformité.