Le modèle de tiering Active Directory, appliqué pour de vrai
Le modèle de tiering est connu de tous et appliqué par peu. Son principe tient en une phrase ; sa mise en œuvre bute sur la définition du Tier 0 réel. Voici une approche pragmatique, par étapes.
Une idée simple
Le modèle de tiering part d'un constat : un compte qui administre un actif critique ne doit jamais s'exposer sur un actif moins sûr. Si un administrateur du domaine ouvre une session sur un poste compromis, ses identifiants ou son ticket Kerberos restent en mémoire, prêts à être récupérés. Le tiering organise le système d'information en niveaux et interdit ces descentes.
Les trois niveaux
- Tier 0 : ce qui contrôle l'identité. Contrôleurs de domaine, forêt Active Directory, autorité de certification AD CS, serveur Entra Connect, ADFS — et tout ce qui peut les modifier : hyperviseurs et consoles de sauvegarde qui hébergent ou restaurent les contrôleurs de domaine, outils de déploiement qui y installent des agents.
- Tier 1 : les serveurs et applications de l'entreprise.
- Tier 2 : les postes de travail et les utilisateurs.
Microsoft a depuis fait évoluer sa doctrine vers l'« Enterprise Access Model », qui étend ces principes au cloud. Le cœur reste le même : délimiter le plan de contrôle et ne jamais le laisser dépendre d'un niveau inférieur.
Le Tier 0 est toujours plus grand qu'on le croit
La première étape, et la plus instructive, consiste à recenser le Tier 0 réel. On y trouve presque toujours des surprises : un serveur de supervision dont le compte de service est administrateur du domaine, une console de sauvegarde capable de restaurer un contrôleur de domaine, un outil d'inventaire installé sur les DC, des délégations sur la racine du domaine accordées à un groupe du support. Tout ce qui peut prendre le contrôle du Tier 0 est du Tier 0.
Les mesures concrètes
- Comptes séparés par niveau : chaque administrateur dispose d'un compte bureautique et d'un compte d'administration dédié, jamais utilisé pour la messagerie ou la navigation.
- Postes d'administration dédiés (PAW) pour le Tier 0 : durcis, sans messagerie ni navigation, seuls autorisés à se connecter aux contrôleurs de domaine.
- Restrictions d'ouverture de session par GPO : les comptes Tier 0 se voient refuser l'ouverture de session sur les serveurs et postes des niveaux inférieurs.
- Silos et stratégies d'authentification Kerberos pour lier les comptes privilégiés à leurs postes d'administration.
- Groupe Protected Users pour les comptes administrateurs : plus de NTLM, plus de délégation, plus de mise en cache des identifiants.
Commencer petit. Isoler d'abord les administrateurs du domaine et les contrôleurs de domaine apporte l'essentiel du bénéfice. Le Tier 1 viendra ensuite.
Ce qu'un audit mesure
Un audit outillé fait apparaître les violations du modèle : comptes privilégiés ayant ouvert une session sur des machines de niveau inférieur, chemins d'attaque menant d'un groupe d'utilisateurs à un objet Tier 0, comptes de service membres de groupes d'administration, délégations excessives sur les objets sensibles. Chaque chemin supprimé réduit concrètement la surface d'attaque — un indicateur de progrès bien plus parlant qu'un pourcentage de conformité.