Interdire aux comptes privilégiés de se connecter aux niveaux inférieurs avec les droits utilisateur
Le modèle d'administration en niveaux repose sur une règle simple : un compte d'un niveau supérieur ne s'authentifie jamais sur une machine d'un niveau inférieur. Tant que cette règle n'est qu'une consigne, elle finit par être contournée un soir d'astreinte. Les attributions de droits utilisateur permettent de la rendre technique.
Pourquoi appliquer techniquement le cloisonnement
Chaque ouverture de session interactive ou par Bureau à distance laisse sur la machine des éléments d'authentification exploitables par un attaquant qui la contrôle. Si un administrateur du domaine se connecte sur un poste compromis pour dépanner un utilisateur, l'attaquant récupère potentiellement les clés du domaine. Empêcher cette connexion, c'est supprimer l'opportunité plutôt que compter sur la vigilance de chacun.
Les cinq droits d'interdiction
| Droit utilisateur | Ce qu'il bloque |
|---|---|
| Interdire l'ouverture d'une session locale | Ouverture de session à la console, y compris via certains outils de prise en main. |
| Interdire l'ouverture de session par les services Bureau à distance | Connexions RDP. |
| Interdire l'accès à cet ordinateur à partir du réseau | Accès aux partages, administration à distance par SMB ou RPC. |
| Interdire l'ouverture de session en tant que tâche | Exécution de tâches planifiées sous ce compte. |
| Interdire l'ouverture de session en tant que service | Utilisation du compte pour faire tourner un service. |
Un droit d'interdiction l'emporte toujours sur le droit d'autorisation correspondant. C'est ce qui les rend efficaces, et c'est aussi ce qui les rend dangereux en cas d'erreur de ciblage.
Une conception par niveau
Le principe consiste à créer une stratégie de groupe par niveau cible, liée aux OU correspondantes :
- GPO des postes de travail (niveau 2) : interdire les cinq droits aux groupes d'administration de niveau 0 et de niveau 1.
- GPO des serveurs (niveau 1) : interdire les cinq droits aux groupes de niveau 0 ; interdire l'ouverture de session locale et RDP aux comptes de niveau 2 si ces derniers n'ont rien à y faire.
- GPO des contrôleurs de domaine et serveurs de niveau 0 : s'appuyer plutôt sur une liste d'autorisation restreinte (« Autoriser l'ouverture de session locale » et « par les services Bureau à distance » limités aux administrateurs de niveau 0).
Utilisez des groupes dédiés par niveau plutôt que d'énumérer des comptes, et incluez-y les groupes intégrés privilégiés : Admins du domaine, Administrateurs de l'entreprise, Administrateurs du schéma, ainsi que les opérateurs de comptes, de sauvegarde et de serveur s'ils sont utilisés.
Les comptes locaux aussi. Windows fournit les identités « Compte local » et « Compte local et membre du groupe Administrateurs ». Les ajouter aux droits d'interdiction d'accès réseau et RDP sur les postes limite fortement le rebond avec un compte administrateur local partagé.
Les pièges à éviter
Ne pas se bloquer soi-même. Appliquer par erreur une GPO de niveau 2 à l'OU des contrôleurs de domaine peut empêcher toute administration. Vérifiez les liaisons, le filtrage et l'héritage, et testez sur une OU pilote.
Les comptes de service. Certains comptes de service sont, à tort, membres de groupes privilégiés. Ils cesseront de fonctionner sur les machines où les droits « tâche » et « service » leur sont interdits. C'est l'occasion de corriger leurs privilèges, mais il faut les identifier avant.
L'accès réseau. Une ouverture de session réseau classique ne laisse généralement pas d'identifiants réutilisables sur la cible, contrairement aux sessions interactives. Son interdiction reste utile pour limiter le mouvement latéral, mais doit être testée plus soigneusement, car de nombreux outils d'administration en dépendent.
Le processus d'astreinte. Si le seul compte disponible la nuit est un compte de niveau 0, les restrictions seront contournées. Donnez aux équipes des comptes adaptés à chaque niveau et documentez la procédure d'urgence.
Aller plus loin
Les droits utilisateur sont appliqués par la machine cible : un attaquant administrateur de cette machine peut les modifier localement. Ils se combinent donc avec les silos d'authentification, qui déplacent le contrôle vers le contrôleur de domaine, et avec le groupe Protected Users. Pour les dépannages à distance, le mode Restricted Admin ou Remote Credential Guard évite d'envoyer des identifiants réutilisables vers la machine distante.
Ce qu'un audit vérifie
- l'existence de GPO de restriction par niveau et leur liaison aux bonnes OU ;
- la présence des groupes privilégiés intégrés dans les droits d'interdiction ;
- les ouvertures de session réelles de comptes privilégiés sur des postes et serveurs de niveau inférieur ;
- la restriction des comptes locaux pour l'accès réseau et RDP ;
- la liste des comptes autorisés à ouvrir une session sur les contrôleurs de domaine.