Aller au contenu

Gestion des accès privilégiés

1. Objectif du cours

Comprendre les enjeux, la stratégie et les solutions techniques (coffres-forts, isolation de sessions, audit) pour sécuriser les comptes à privilèges et satisfaire les obligations réglementaires du secteur médical.

2. Notions et définitions essentielles

  • Compte privilégié : compte disposant de droits étendus (admin domaine, admins locaux, comptes de service, comptes applicatifs).
  • PAM (Privileged Access Management) : programme structuré combinant organisation, techniques et gouvernance pour gérer les accès privilégiés.
  • Coffre-fort numérique : stockage chiffré centralisé d'identifiants avec rotation automatique.
  • JIT/JEA : accès Just‑In‑Time / Just‑Enough Administration — élévation temporaire et minimale des privilèges.
  • Traçabilité / audit : journalisation et centralisation des logs pour reconstituer et analyser les actions privilégiées.

3. Fonctionnement et principes

  • Inventaire exhaustif : cartographier tous les comptes (AD, locaux, services, applicatifs, SSH/clé) via outils automatisés + analyse manuelle pour révéler comptes orphelins et privilèges oubliés.
  • Stratégie PAM : définir objectifs, prioriser selon impact/faisabilité, piloter par workflows (demande, validation, attribution, révision) et conduire le changement.
  • Solutions techniques : coffre-fort pour supprimer mots de passe en dur, API de secrets pour applications, isolation des sessions (PAW, jump servers), MFA/adaptative auth, enregistrement et surveillance des sessions.
  • Amélioration continue : contrôles périodiques, tests de pénétration ciblés, indicateurs (sécurité, efficacité, conformité) et gouvernance dédiée.

4. Commandes et manipulations

  • Scripts PowerShell (collecte) : automatiser l’audit des comptes administrateurs locaux et la collecte d’inventaire.
  • PowerShell JEA : créer des endpoints Windows restreints avec rôles granulaires (implémentation JEA/JIT).
  • sudo (Linux) : configurer des règles restrictives et alias de commandes pour limiter les élévations sur serveurs Linux.
  • auditd (Linux) : activer la journalisation des commandes sensibles et accès fichiers critiques.
  • GPO – audit avancé (Windows) : configurer via stratégies de groupe l’audit des accès aux objets, modifications de privilèges et connexions privilégiées.
  • Stack ELK (Elasticsearch / Logstash / Kibana) : centraliser, normaliser (parsing) et visualiser les logs d’audit.
  • API de gestion des secrets (ex. Hashicorp Vault, AWS Secrets Manager, Azure Key Vault) : fournir dynamiquement des identifiants aux applications sans stockage en dur. Si aucune manipulation supplémentaire n’est présentée dans le PDF, « Non abordé dans ce cours » ne s’applique pas ici.

5. Sécurité et bonnes pratiques

  • Appliquer chiffrement fort pour coffres (ex. AES‑256) et gérer clés via HSM.
  • Activer rotation automatique des mots de passe (fréquences adaptées à la criticité).
  • Exiger MFA pour tous les accès privilégiés ; envisager authenticité adaptative selon risque contexteuel.
  • Tester la rotation des mots de passe en environnement de développement avant mise en production.
  • Prévoir haute disponibilité (réplication, récupération d’urgence, codes de déblocage) pour la solution PAM.
  • Protéger et archiver les enregistrements de sessions avec intégrité et rétention conformes.
  • Éviter le surdimensionnement fonctionnel ; déployer progressivement avec pilote et conduite du changement.
  • Préparer procédures d’urgence pour corrections rapides après tests de pénétration révélant vulnérabilités.

6. Points essentiels à retenir pour le TSSR

  • Identifier exhaustivement tous les types de comptes privilégiés (AD, locaux, service, applicatif, SSH).
  • Les administrateurs de domaine sont la cible la plus critique : compromission = contrôle total de l’AD.
  • Les comptes de service représentent ~70 % des identifiants privilégiés et sont souvent négligés.
  • Un bon programme PAM combine politique, workflows (demande/validation/attribution/révision) et architecture technique.
  • Coffre‑fort + rotation automatique + API de secrets éliminent mots de passe en dur et réduisent fenêtre d’exploitation.
  • JIT/JEA permet d’appliquer le moindre privilège de façon dynamique et mesurée.
  • Isoler les sessions (PAW, jump servers) et enregistrer les sessions pour traçabilité et preuve légale.
  • Centraliser les logs (ex. ELK) et établir une baseline comportementale pour détecter anomalies.
  • Plan d’amélioration continue : revues périodiques, tests de pénétration et indicateurs (conformité, adoption, incidents).
  • Respecter contraintes réglementaires (NIS2, RGPD, HDS) : traçabilité et capacité de justification des accès.

7. Tableau récapitulatif

Élément Risque/Problème Mesure clé
Admin domaine Prise de contrôle de l’AD Coffre‑fort + MFA + rotation stricte
Comptes de service Mots de passe statiques, mouvements latéraux API de secrets + rotation contrôlée
JIT/JEA Privilèges permanents excessifs Attribution temporaire minimale
Isolation sessions (PAW/jump) Exposition des tâches admin Stations dédiées + enregistrement vidéo
Audit & centralisation Dispersion des logs, lenteur d’investigation Stack ELK + parsing + alertes

8. Vérifications pratiques

  • Vérifier la génération des logs sur Windows (GPO audit) et Linux (auditd) et valider leur format/parseabilité.
  • Confirmer la centralisation des logs et la présence de dashboards/alertes (ex. ELK dashboards pour comptes privilégiés).
  • Tester en dev la rotation automatique des mots de passe et vérifier l’absence d’impact sur services automatisés.
  • Vérifier que MFA est requis pour tous les comptes privilégiés et que les politiques adaptatives fonctionnent.
  • Contrôler l’enregistrement des sessions : existence des fichiers vidéo, stockage sécurisé et intégrité protégée.
  • Valider la récupération dynamique des secrets via API pour applications (absence de mots de passe en clair dans configs).

9. Flashcards Anki

La directive NIS2 impose des sanctions pouvant atteindre :: 2 % du chiffre d'affaires annuel Les quatre processus essentiels d'un workflow PAM :: demande d'accès avec justification, validation hiérarchique/technique, attribution temporaire ou permanente, révision périodique Pourcentage d'identifiants privilégiés représenté par les comptes de service :: 70 % JIT/JEA implémente :: le principe du moindre privilège de manière dynamique et adaptative Outil mentionné pour centraliser et visualiser les logs :: Stack ELK (Elasticsearch, Logstash, Kibana) Algorithme de chiffrement et gestion des clés recommandés pour un coffre‑fort :: AES‑256 avec clés gérées par HSM Catégorie de compte considérée la plus critique dans l'infrastructure Active Directory :: Administrateurs de domaine Fréquence de rotation automatique recommandée pour comptes critiques (exemple) :: toutes les 30 jours Action à effectuer avant la mise en production d'une rotation de mots de passe :: tester la rotation en environnement de développement Nombre de serveurs Windows cités dans l'exemple de centralisation des logs :: 25 serveurs Windows