Skip to main content
Le principe de privilège minimum - comment assurer une sécurité optimale

Le principe de privilège minimum : comment assurer une sécurité optimale ?

L’objectif du principe du privilège minimum est de créer un environnement qui, tout en offrant un accès élevé, limite encore les risques. Distinguer les privilèges en fonction des besoins et ne fournir aux utilisateurs que l’accès dont ils ont besoin est une première étape clé. Mais une fois les comptes créés et les privilèges établis, il existe un écart. Même avec des privilèges limités, les mots de passe peuvent toujours être partagés et les comptes peuvent être compromis avec des logiciels malveillants. C’est pourquoi il est nécessaire d’avoir un certain niveau de surveillance et de mise en vigueur.

A quel niveau se situe la bataille des «privilèges» dans votre organisation?

Pour savoir si vous menez la bataille au bon endroit, il y a quelques facteurs clés à prendre en compte :

  1. Vous devez être capable d’identifier l’ennemi
  2. Vous devez voir l’ennemi arriver avant qu’il attaque
  3. Vous devez être capable de répondre à l’attaque immédiatement

Il y a différents niveaux auxquels les organisations informatiques peuvent se placer. Voyons voir comment s’assurer que l’intention du Privilège minimum est maintenue dans votre organisation.

 

Restriction au niveau des permissions

 

Un élément clé d’une stratégie solide de privilège minimum est l’utilisation de permissions restreintes; fournir l’accès minimum nécessaire à chaque utilisateur pour faire son travail.

Mais cela ne permet pas d’assurer pleinement l’intention du Privilège minimum.

Tout d’abord, les autorisations doivent changer au fil du temps, ce qui signifie que votre «combat» maintient un ensemble d’autorisations variables en constante évolution pour un nombre potentiellement important d’utilisateurs. C’est comme tirer des flèches dans toutes les directions, à des distances variables, sans jamais vraiment être sûr qu’il y ait un impact.

Deuxièmement, si mener un combat à ce niveau restreint qui peut avoir accès à quoi, une fois qu’un utilisateur se connecte avec ses informations d’identification, ou lorsqu’un attaquant obtient des informations d’identification et se connecte avec ceux-ci, en principe, il obtient un accès à tout dans les limites des accès de ce compte.

Avez-vous choisi le bon emplacement en fonction des trois critères?

En bref, Non. Aucun des trois critères n’est respecté. Les attaquants (initiés et externes) utilisent des identifiants approuvées avec des autorisations approuvées, ce qui rend impossible l’identification de l’ennemi et, même si vous le pouviez, les modifications d’autorisation (en particulier dans un environnement Windows) n’ont aucun effet une fois le compte connecté.

 

Restriction au niveau des comptes

 

Certaines entreprises mettent en place une politique de restriction de qui a accès à des comptes élevés et / ou demandent aux utilisateurs d’utiliser des comptes distincts : comptes de bas niveau et comptes élevés. Elles utilisent même des solutions de gestion des comptes privilégiés (PAM) pour limiter les accès aux comptes élevés.

Le problème ici c’est que les organisations ont tendance à concentrer leurs efforts de restriction sur les comptes élevés les plus importants (par exemple : Admins du domaine, etc.). Ainsi, un compte de vendeur de niveau inférieur avec accès aux données client ne sera pas considéré comme étant une priorité, malgré le fait que les données auxquelles il a accès sont importantes.

Avez-vous choisi le bon emplacement en fonction des trois critères?

Oui et non. Si vous utilisez une solution PAM, cela peut être efficace jusqu’à un certain degré. Les demandes d’utilisation d’un compte privilégié de haut niveau attireront l’attention des services informatiques, ce qui est en fait un excellent moyen de s’assurer que le privilège minimum est appliqué. Mais, si le compte en question n’est pas considéré comme une priorité – comme le commis aux comptes créditeurs, ou le vendeur mentionné ci-dessus – le fait de mener un combat au niveau des comptes sera une perte de temps.

 

Restriction au niveau des connexions

 

En général, cela ne fait pas partie du privilège minimum – principalement parce que le concept de privilège minimum se concentre sur les deux facettes précédentes (comptes et privilèges).

Mais, les connexions, à bien des égards, mettent le privilège minimum à l’épreuve. Si un compte est compromis par un attaquant externe ou est mal utilisé par un initié, il est probable que les habitudes de connexion habituelles – heure / jour, fréquence, point de terminaison utilisé, etc. – soient brisées, indiquant ainsi un malfaiteur cherchant à se cacher.

Avez-vous choisi le bon emplacement en fonction des trois critères?

Les connexions répondent aux trois critères.

  1. Vous pouvez identifier l’ennemi par les anomalies de connexion mentionnées ci-dessus.
  2. Les connexions représentent également un événement qui se produit avant que le dommage ne soit fait.
  3. Enfin, avec une solution de gestion des connexions solide en place, vous pouvez prendre des mesures immédiates, telles que notifier le département informatique de l’activité anormale de connexion, ou même déconnecter l’utilisateur et désactiver le compte.

 

Choisir le bon emplacement consiste à trouver une place dans votre sécurité où vous installez vos tentes de sécurité, assignez des guetteurs (pour repérer l’ennemi qui s’approche), et avez une contre-attaque prête à frapper. Parmi les trois parties mentionnées de votre sécurité, seule la connexion offre aux organisations un avantage tactique – le fait que votre ennemi nécessite la possibilité de se connecter pour réussir. Retirez ça et ils n’ont aucune capacité pour faire quelque chose de malveillant.

En incluant la gestion des connexions dans le cadre de votre stratégie de privilège minimum, votre environnement reste dans un état constant de contrôle afin de préserver l’objectif d’accroître la sécurité et de réduire les risques.

Lisez notre livre blanc sur la gestion des connexions en tant qu’élément clé du privilège minimum.

Joffrey Outtier

Joffrey Outtier est le fondateur de sforsecure.fr, ce blog sur la sécurité informatique a été créé pour partager mes connaissances en cybersécurité et sensibiliser les utilisateurs aux dangers du numérique. Pour le suivre sur Twitter : @JoffreyO.