Défense
Gestion des accès à privilèges (PAM)
Aussi appeléPAMPrivileged Access ManagementBastion d’administration
En résumé
Ensemble de pratiques et d’outils qui encadrent les comptes dotés de droits élevés : administrateurs, comptes de service, accès d’urgence. Elle impose des comptes dédiés, des droits accordés à la demande pour une durée limitée, un coffre pour les secrets et l’enregistrement des sessions sensibles.
Gestion des accès à privilèges (PAM), en détail
Un compte à privilèges ouvre l’accès à l’annuaire, aux serveurs ou au cloud : s’il est compromis, l’attaquant n’a plus besoin d’exploiter de faille. Le PAM réduit ce risque par quatre moyens : des comptes d’administration distincts du compte de messagerie et de la bureautique, des droits élevés accordés seulement le temps d’une tâche (accès « juste à temps »), un coffre qui stocke et fait tourner les mots de passe sensibles, et un bastion par lequel passent les connexions d’administration, avec enregistrement de la session.
On le déploie en commençant par l’inventaire des comptes à droits élevés et la suppression de ceux qui sont inutiles, avant d’acheter un outil. L’administration par paliers, que décrivent l’ANSSI et le modèle d’accès d’entreprise de Microsoft, sépare les comptes qui administrent l’annuaire, les serveurs et les postes, pour qu’un vol de session sur un poste ne donne pas le contrôle du domaine. Un coffre mal protégé devient lui-même la cible unique, et les comptes d’urgence doivent être surveillés de près.
Qu’est-ce que cela change pour vous ?
Dans la plupart des attaques abouties, un compte d’administration finit par être volé. Réduire leur nombre, leur durée de validité et les endroits où ils s’authentifient limite ce que l’attaquant peut faire de ce vol.
Exemple illustratif (fictif)
Imaginons une équipe informatique qui supprime les droits d’administration permanents de douze comptes, crée des comptes dédiés pour l’administration, et passe à un accès accordé pour deux heures sur demande. L’annuaire n’est plus administrable depuis les postes de bureautique.
La confusion fréquente
Acheter un coffre de mots de passe sans changer les habitudes : si les administrateurs gardent leur compte quotidien avec des droits élevés, l’outil n’apporte presque rien.
Qui peut vous aider à le mettre en place ?
- Identités et accès : la prestationSavoir qui a accès à quoi, et retirer ce qui ne sert plus avant qu’un attaquant s’en serve.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- DéfenseAuthentification multifacteur : définitionUne méthode de connexion qui exige au moins deux preuves d’identité de natures différentes : quelque chose que l’on sait (mot de passe), que l’on possède (téléphone, clé de sécurité) ou que l’on est (empreinte).
- AttaqueÉlévation de privilèges : définitionL’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale).
- TechniqueMicrosoft Entra ID : définitionLe service d’annuaire et de gestion des identités et des accès dans le cloud de Microsoft, anciennement Azure Active Directory.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début