Postes d'administration dédiés (PAW) : administrer Active Directory depuis une source propre
Un compte d'administration n'est jamais plus sûr que la machine depuis laquelle il est utilisé. Mots de passe forts, authentification multifacteur et silos ne servent à rien si le poste de l'administrateur est compromis : l'attaquant voit ce qu'il saisit et agit dans ses sessions. Le poste d'administration dédié applique le principe de la source propre.
Le principe de la source propre
Tout système qui contrôle un autre système doit être au moins aussi sûr que lui. Un contrôleur de domaine administré depuis un poste bureautique hérite du niveau de sécurité de ce poste : navigation web, messagerie, pièces jointes, logiciels installés par l'utilisateur, périphériques USB. Il suffit d'un hameçonnage réussi sur ce poste pour que l'attaquant attende la prochaine session d'administration.
La séparation des comptes (un compte bureautique, un compte d'administration) est nécessaire mais insuffisante : si les deux comptes sont utilisés sur la même machine, un attaquant présent sur celle-ci capture les deux. C'est la machine elle-même qu'il faut séparer.
Ce qu'est un PAW
Un poste d'administration dédié est une machine réservée aux tâches d'administration d'un niveau donné. Ses caractéristiques habituelles :
- système récent, installé à partir d'un média de confiance et durci selon une référence de sécurité ;
- aucun accès à la messagerie ni à la navigation internet générale, flux sortants limités aux destinations d'administration nécessaires ;
- contrôle des applications (App Control for Business ou AppLocker) n'autorisant que les outils approuvés ;
- Credential Guard, protection LSA, chiffrement BitLocker et démarrage sécurisé activés ;
- aucun droit d'administration local pour l'utilisateur ;
- gestion, mises à jour et supervision assurées par des moyens du même niveau que le PAW.
Pour le niveau 0, le PAW est lui-même un actif de niveau 0 : il est membre du silo d'authentification correspondant et ses outils de gestion le sont aussi.
Architectures possibles
| Modèle | Principe | Point d'attention |
|---|---|---|
| Deux appareils | Un poste bureautique et un PAW physiquement distincts. | Le plus simple et le plus sûr ; coût et encombrement. |
| PAW hôte, bureautique virtualisée | Le PAW est la machine physique ; l'environnement bureautique tourne dans une machine virtuelle ou un bureau distant. | Acceptable, car la machine la plus sûre contrôle la moins sûre. |
| Bureautique hôte, PAW virtualisé | Une VM d'administration sur le poste bureautique. | À proscrire : l'hôte compromis contrôle la VM. |
Serveurs de rebond ou PAW ?
Beaucoup d'organisations pensent être protégées parce que l'administration passe par un serveur de rebond. Le rebond apporte une traçabilité et un point de filtrage réseau, mais il ne règle pas la question de la source : si l'administrateur s'y connecte depuis un poste bureautique compromis, l'attaquant capture la session ou les identifiants en amont. Le serveur de rebond devient en outre un actif du niveau le plus élevé qu'il permet d'administrer, à protéger comme tel.
Le bon modèle combine les deux : un PAW comme point de départ, éventuellement un serveur de rebond pour certains usages, jamais un rebond seul.
Commencer par le niveau 0. Inutile d'équiper toute la DSI dès le premier jour. Quelques PAW pour les administrateurs du domaine, de l'infrastructure de certificats et de la synchronisation hybride couvrent le risque le plus élevé. Les niveaux 1 et 2 suivront.
Faire adopter le PAW
Le PAW échoue le plus souvent pour des raisons d'usage : outils manquants, transfert de fichiers pénible, procédures d'astreinte inexistantes. Prévoyez une liste d'outils approuvés, un mécanisme de transfert de fichiers contrôlé, une solution pour le travail à distance et un appareil de secours. Complétez par des mesures techniques qui rendent le contournement impossible : restriction des ouvertures de session par niveau et silo d'authentification limitant les comptes de niveau 0 aux PAW. Microsoft décrit ces principes dans son modèle d'accès d'entreprise ; consultez sa documentation actuelle pour l'articulation avec les services cloud.
Ce qu'un audit vérifie
- les machines depuis lesquelles les comptes de niveau 0 s'authentifient réellement ;
- le durcissement des PAW : contrôle des applications, accès internet, droits locaux, protections des identifiants ;
- la chaîne de gestion des PAW et son niveau ;
- le rôle des serveurs de rebond et les postes qui s'y connectent ;
- l'existence de restrictions techniques empêchant l'administration depuis d'autres machines.