La majorité des brèches critiques ne proviennent pas d’une faille zero-day sophistiquée, mais de comptes administrateurs oubliés ou mal sécurisés. Votre DSI doit auditer ces accès privilégiés pour bloquer les ransomwares avant qu’ils n’agissent.

Pourquoi les comptes administrateurs sont la cible numéro un des attaquants

Nous avons tendance à imaginer les cyberattaques comme des assauts techniques complexes exploitant des vulnérabilités inconnues du système. La réalité est plus banale et plus inquiétante : les pirates utilisent nos propres clés pour entrer.

Selon le rapport Verizon DBIR, plus de 80 % des violations de données impliquent l’utilisation abusive ou volée d’identifiants légitimes. Un attaquant n’a pas besoin de forcer une porte blindée si vous lui avez laissé un trousseau de clés sous le paillasson.

Dans une PME, ce scénario se déroule souvent ainsi : un ancien responsable informatique quitte l’entreprise, son compte administrateur reste actif « au cas où ». Six mois plus tard, ce compte dormant sert de point d’entrée. L’attaquant pratique ce qu’on appelle le « living off the land » : il utilise les outils existants et les droits élevés pour se déplacer latéralement dans le réseau sans déclencher d’alertes immédiates.

Le danger des droits permanents

Le problème fondamental réside dans l’attribution permanente de droits élevés. Dans de nombreuses structures, les administrateurs système disposent de droits root ou domaine en continu, même pour des tâches de bureautique courantes. Cette pratique expose l’ensemble du parc à une infection massive dès qu’un seul poste est compromis.

L’ANSSI recommande explicitement la gestion stricte des comptes à privilèges et la séparation des flux d’administration comme mesure prioritaire face aux ransomwares. Il s’agit de cloisonner : le compte qui sert à lire les emails ne doit jamais être celui qui installe des correctifs sur les serveurs.

Auditer ses accès sans solution PAM coûteuse

Les solutions de Gestion des Accès Privilégiés (PAM) représentent un investissement conséquent, souvent hors de portée ou disproportionné pour une TPE ou une PME. Heureusement, l’audit et le durcissement des accès peuvent commencer avec les outils existants et une méthode rigoureuse.

L’objectif n’est pas d’acheter un coffre-fort numérique sophistiqué dès le premier jour, mais d’appliquer le principe du moindre privilège. Ce concept, soutenu par l’ANSSI, réduit la surface d’attaque en limitant les droits d’accès au strict nécessaire pour chaque rôle.

Voici comment structurer cette démarche :

• Inventaire exhaustif : Listez tous les comptes ayant des droits d’administration (domaine, locaux, bases de données, ERP). Incluez les comptes de service utilisés par les applications.
• Détection des comptes dormants : Identifiez les comptes non utilisés depuis plus de 90 jours. Comme le souligne le guide d’hygiène informatique, un compte administrateur local non utilisé depuis 6 mois est une porte d’entrée classique pour les attaquants.
• Séparation des usages : Créez des comptes dédiés à l’administration. Ces comptes ne doivent jamais servir à la navigation web ou à la messagerie.

L’exemple concret de la gestion des ERP

Prenons le cas d’un déploiement d’ERP. Souvent, le consultant externe ou l’intégrateur reçoit un accès administrateur complet pour configurer le système. Une fois le projet livré, cet accès devrait être révoqué ou limité à un mode lecture seule pour la maintenance.

Trop souvent, nous voyons des entreprises conserver ces accès « super-utilisateurs » actifs indéfiniment. C’est une négligence critique. Pour aller plus loin sur la sécurisation de vos outils métiers, consultez notre guide sur comment choisir le bon ERP pour une PME, où nous abordons également les aspects de gouvernance des données.

Méthode : 5 actions immédiates pour votre DSI

Plutôt que de viser une architecture parfaite inaccessible, voici cinq actions concrètes à réaliser cette semaine pour réduire drastiquement le risque lié aux accès privilégiés.

1. Désactiver les comptes orphelins
Supprimez ou désactivez immédiatement tout compte administratif lié à un employé parti depuis plus de 30 jours. Ne gardez pas les données, changez simplement le statut du compte.

2. Imposer le MFA sur tous les accès admin
L’authentification multifacteur n’est pas négociable pour les comptes à privilèges. Si un mot de passe est volé par phishing, le MFA bloque l’accès. C’est la barrière la plus efficace à ce jour.

3. Interdire la connexion internet sur les postes d’admin
Les postes utilisés pour l’administration des serveurs ne doivent pas avoir accès au web. Cela empêche le téléchargement de malware lors de séances de maintenance.

4. Mettre en place un journal d’audit centralisé
Activez les logs de connexion sur vos contrôleurs de domaine et serveurs critiques. Sachez qui s’est connecté, quand, et depuis quelle adresse IP. Sans traçabilité, vous êtes aveugle.

5. Réviser les droits tous les trimestres
Instaurez une revue périodique des habilitations. Les besoins évoluent, les droits accumulés aussi. Une remise à plat régulière permet de détecter les dérives.

Ce qu’il faut retenir de la gestion des accès

La sécurité des accès privilégiés n’est pas qu’une question d’outillage, c’est d’abord une question de discipline organisationnelle. Attendre d’avoir le budget pour une suite PAM complète avant d’agir est une erreur stratégique. Les attaquants profitent de cette inertie.

En appliquant le principe du moindre privilège et en nettoyant régulièrement vos annuaires, vous éliminez la majorité des vecteurs d’attaque classiques. Commencez par l’inventaire, imposez le MFA, et séparez les flux. Ces mesures basiques, recommandées par l’ANSSI, offrent un retour sur investissement sécuritaire bien supérieur à l’achat précipité d’une solution complexe mal configurée.

FAQ

Qu’est-ce qu’un compte à privilèges ?

Un compte à privilèges dispose de droits étendus permettant d’installer des logiciels, modifier la configuration système ou accéder à des données sensibles. Cela inclut les comptes administrateurs, root ou les comptes de service applicatifs.

Pourquoi le MFA est-il crucial pour les admins ?

Le MFA ajoute une seconde couche de vérification au-delà du mot de passe. Même si un pirate vole les identifiants d’un administrateur via un phishing, il ne pourra pas se connecter sans le second facteur (téléphone, clé de sécurité).

Une PME a-t-elle besoin d’une solution PAM ?

Les solutions PAM complètes sont souvent lourdes et coûteuses pour une petite structure. Il est plus efficace de commencer par appliquer rigoureusement le principe du moindre privilège et d’utiliser les outils natifs (GPO, Active Directory) avant d’envisager un outil dédié.

Comment détecter un compte administrateur inutilisé ?

Consultez les journaux de connexion (logs) de votre annuaire ou de vos serveurs. Tout compte dont la dernière connexion date de plus de 90 jours doit être considéré comme suspect et désactivé préventivement.