Aller au contenu

Sécuriser les systèmes d'information et gérer les accès privilégiés

1. Objectif du cours

Évaluer et proposer une stratégie de sécurisation pour une infrastructure médicale hybride (Windows/Linux, migration AWS) avec focus sur la gestion des accès privilégiés, durcissement des systèmes et conformité réglementaire (RGPD, HDS, NIS2).

2. Notions et définitions essentielles

  • Accès privilégiés : comptes et services disposant de droits élevés (administrateurs locaux, comptes de service, root).
  • Durcissement : suppression ou configuration sécurisée des services, modules et protocoles inutiles.
  • PAM / coffre-fort : solution de gestion centralisée des secrets et accès privilégiés.
  • RBAC : contrôle d'accès basé sur les rôles métier avec héritage pour simplifier la gouvernance.
  • Modèle responsabilité partagée (Cloud) : le client gère chiffrement des données, sécurités réseau applicatives ; le fournisseur gère l'infrastructure physique.

3. Fonctionnement et principes

  • Principe du moindre privilège : limiter permissions, séparer comptes pour tâches quotidiennes et opérations administratives.
  • Élévation contrôlée : utiliser des mécanismes d'élévation temporaires (JIT) et traçabilité des actions administratives.
  • Déploiement par phases : analyser l'impact métier avant toute suppression/arrêt de service, tester en pré-production.
  • Surveillance ciblée : audit des appels système et modifications de fichiers critiques pour détecter escalades et compromissions.
  • Conformité HDS/NIS2 : classification des incidents selon niveau d'impact métier et technique (4 niveaux) et hébergement via prestataire HDS certifié.

4. Commandes et manipulations

Regroupe les actions concrètes mentionnées dans le document et leur rôle (pas de scripts complets) : - Microsoft LAPS : déploiement pour rotation automatique et stockage sécurisé des mots de passe administrateurs locaux. - Configuration sudoers + clés SSH et désactivation PermitRootLogin : interdire les connexions root directes et imposer élévation via comptes nominatifs. - /etc/modprobe.d/ (blacklisting) et sysctl : empêcher le chargement de modules kernel inutiles (USB, Bluetooth). - services.msc + GPO de démarrage : désactiver services Windows non essentiels via gestion centralisée. - GPO / renforcement politique mots de passe (références ANSSI) : appliquer règles de complexité et historique. - Déploiement de comptes de service managés (gMSA) : gérer mots de passe de services automatiquement avec permissions limitées. - Désactivation protocoles obsolètes / configuration OpenSSL : retirer TLS1.0 et forcer versions sécurisées. - Chiffrement volumes EBS & configuration groupes de sécurité (AWS) : éléments à configurer côté client dans le cloud. - Configuration d'audit des appels système et surveillance des modifications de fichiers critiques : pour détection d'escalade.

5. Sécurité et bonnes pratiques

  • Toujours analyser l'impact métier avant de désactiver un service ; procéder par phases et tests en pré-production pour préserver la disponibilité.
  • Appliquer la séparation des comptes (usage quotidien vs administration) et privilégier l'élévation Just-In-Time plutôt que droits permanents.
  • Mettre en place une classification d'incidents en 4 niveaux (impact métier + technique) pour respecter NIS2 et prioriser la réponse.
  • Choisir une solution PAM intégrant AD/LDAP, rotation automatique, audit des accès et haute disponibilité pour assurer conformité et résilience.
  • Enregistrement sélectif des sessions privilégiées basé sur rôles et criticité pour concilier sécurité, conformité et vie privée.
  • HDS : l'hébergeur de données de santé doit être certifié par un organisme accrédité (obligation réglementaire).

6. Points essentiels à retenir pour le TSSR

  • Gérer les mots de passe administrateurs locaux de façon centralisée et automatisée pour éliminer les identiques partagés.
  • Interdire les accès root directs sur Linux et imposer l'utilisation de comptes nominatif avec élévation contrôlée.
  • MFA adapté : TOTP avec codes de récupération est le meilleur compromis sécurité/usage pour mobiles (médecins).
  • Durcissement = analyse d'impact métier + déploiement par phases ; éviter arrêts massifs non testés.
  • Sauvegardes non chiffrées = risque élevé (CVSS 8.7) pour données de santé ; chiffrement impératif.
  • Dans le cloud IaaS, le chiffrement des volumes et la configuration des groupes de sécurité relèvent du client.
  • RBAC pragmatique : définir rôles métier avec héritage et séparation des responsabilités pour 150 collaborateurs.
  • Audits ciblés (appels système, modifications fichiers critiques) pour détecter escalades et manipulations malveillantes.
  • SIEM : prioriser corrélation d'événements, analyse temps réel et intégration de threat intelligence.
  • KPI stratégiques : MTTR, taux de conformité aux politiques, couverture des actifs critiques.

7. Tableau récapitulatif

Contrôle / Solution Avantage principal Limitation / Contrôle requis
Gestion mots de passe locaux centralisée Élimine mots de passe identiques Intégration AD/LDAP nécessaire
Comptes de service managés (gMSA) Rotation automatique des secrets Nécessite compatibilité applicative
MFA TOTP Robuste hors réseau mobile Nécessite dispositifs utilisateurs et codes secours
Durcissement services via GPO Réduit surface d'attaque Nécessite tests pré-production
SIEM (corrélation + TI) Détection des attaques complexes Coût et intégration des sources

8. Vérifications pratiques

  • Vérifier alertes/logs de tentatives SSH root et absence de connexions root après changement de configuration.
  • Contrôler la génération et l'historique de mots de passe uniques pour administrateurs locaux via la solution de gestion (preuve de rotation).
  • Utiliser AIDE/Tripwire pour confirmer détection des modifications non autorisées de fichiers critiques (ex. /etc/ssh/).
  • Valider via Sysmon/monitoring la capture des modifications de registre et des processus PowerShell suspects.
  • Contrôler dans le SIEM la corrélation d'événements (authentifications multi-sources, créations de tâches planifiées, trafic chiffré anormal).
  • Vérifier la certification HDS de l'hébergeur (preuve d'accréditation) pour l'hébergement des données de santé.

9. Flashcards Anki

Solution pour mots de passe administrateurs locaux identiques :: Microsoft LAPS avec rotation automatique Mesure recommandée pour connexions SSH root directes :: Désactiver PermitRootLogin et implémenter sudo avec authentification par clé MFA recommandé pour médecins en mobilité :: Application TOTP avec codes de récupération Méthodologie pour durcir services Windows non essentiels :: Analyser l'impact métier puis déployer par phases avec tests en pré-production Score CVSS attribué aux sauvegardes NAS non chiffrées :: CVSS 8.7 (Élevé) Configuration relevant du client dans AWS (responsabilité partagée) :: Chiffrement des volumes EBS et configuration des groupes de sécurité Approche RBAC préconisée pour MediSecure :: Définir des rôles métier avec héritage et séparation des responsabilités Configuration d'audit pour détecter escalade de privilèges Linux :: Audit des appels système privilégiés et modifications de fichiers critiques Critères techniques prioritaires pour un coffre-fort PAM :: Intégration AD/LDAP, rotation automatique, audit des accès, haute disponibilité KPI stratégiques à suivre :: MTTR des incidents, taux de conformité aux politiques, couverture des actifs critiques