Postes d'administration sécurisés : concevoir des PAW qui respectent vraiment le principe de source propre

Le principe de source propre

Le principe est simple : un système ne peut pas être plus sûr que les systèmes qui le contrôlent. Si un contrôleur de domaine est administré depuis un poste compromis, l'attaquant qui contrôle ce poste contrôle aussi le contrôleur de domaine. Toute la chaîne compte : le poste, son système de gestion, les comptes qui l'administrent, le réseau qu'il traverse.

Ce principe s'articule avec le modèle de niveaux : le niveau 0 regroupe ce qui contrôle l'identité (contrôleurs de domaine, AD CS, serveurs de synchronisation, et leurs administrateurs), le niveau 1 les serveurs et applications, le niveau 2 les postes de travail et utilisateurs. Un PAW de niveau 0 ne doit dépendre d'aucun élément de niveau inférieur.

Serveur de rebond ou poste dédié

Beaucoup d'organisations pensent avoir résolu la question avec un serveur de rebond : les administrateurs s'y connectent en RDP, puis administrent depuis ce serveur. Le problème est que la connexion part du poste bureautique. Un attaquant présent sur ce poste peut capturer les frappes clavier, détourner la session ou voler les identifiants saisis. Le serveur de rebond ne fait que déplacer le problème.

Le serveur de rebond reste utile comme point de passage réseau contrôlé, pour la journalisation des sessions ou pour l'accès à des outils, mais il vient en complément du PAW, pas à sa place.

Concevoir le poste

Un PAW crédible combine plusieurs mesures :

• usage exclusif : pas de messagerie, pas de navigation Internet générale, pas d'outils bureautiques ;
• contrôle d'application : seuls les outils d'administration approuvés s'exécutent ;
• durcissement : démarrage sécurisé, chiffrement du disque, Credential Guard, aucun droit d'administration local pour l'utilisateur ;
• filtrage réseau : flux sortants limités aux systèmes administrés et aux services nécessaires ;
• comptes séparés : le compte de niveau 0 ne s'utilise que sur un PAW de niveau 0, et réciproquement ;
• gestion dédiée : correctifs et configuration appliqués par des moyens qui relèvent du même niveau.

Deux modèles physiques existent : un poste dédié distinct du poste bureautique, ou un poste unique où l'environnement d'administration est l'hôte et l'environnement bureautique une machine virtuelle. L'inverse, administrer depuis une machine virtuelle hébergée sur un poste bureautique, ne respecte pas la source propre.

Les PAW gérés depuis le cloud

Pour l'administration d'Entra ID et de Microsoft 365, des PAW joints à Entra ID et gérés par Intune constituent une approche courante. L'accès conditionnel peut alors exiger, pour les rôles privilégiés, un appareil conforme identifié par un filtre d'appareil ou un groupe dédié. C'est un moyen efficace de lier les privilèges cloud à des postes maîtrisés.

Ce modèle a une conséquence directe : les administrateurs Intune capables de modifier la configuration ou de pousser des scripts sur ces PAW contrôlent de fait les comptes qui s'y connectent. Ils doivent donc être traités au même niveau que les rôles qu'ils permettent d'atteindre. Pour le niveau 0 AD, la question de l'outil de gestion des PAW se pose de la même manière : il ne doit pas être administrable depuis un niveau inférieur.

Les postes virtuels dans le cloud peuvent servir de PAW pour certains usages, à condition de respecter la même logique : le poste physique depuis lequel on s'y connecte fait partie de la chaîne. Vérifiez les options disponibles et leurs limites au moment du projet.

Démarrer de façon réaliste

Inutile de viser d'emblée un dispositif complet pour tous les administrateurs. Une progression raisonnable consiste à équiper d'abord les administrateurs de niveau 0 et les administrateurs généraux cloud, à interdire techniquement la connexion des comptes de niveau 0 ailleurs que sur ces postes, puis à étendre au niveau 1.

Ce qu'un audit vérifie

• Les postes depuis lesquels les comptes de niveau 0 se connectent réellement, d'après les journaux.
• Les restrictions de connexion empêchant ces comptes d'ouvrir une session sur des systèmes de niveau inférieur.
• Le durcissement des PAW : contrôle d'application, absence de messagerie et de navigation, droits locaux.
• La chaîne de gestion des PAW et le niveau des administrateurs qui la contrôlent.
• Les stratégies d'accès conditionnel liant les rôles cloud privilégiés à des appareils dédiés.
• L'usage des serveurs de rebond et le poste d'origine des connexions.