Défense
Modèle d’administration en tiers
Aussi appeléTieringTier modelModèle en tiers Active DirectoryTier 0
En résumé
Une organisation de l’administration en niveaux étanches : le niveau 0 regroupe les contrôleurs de domaine et les identités qui les contrôlent, le niveau 1 les serveurs, le niveau 2 les postes. Un compte d’un niveau ne se connecte jamais à un niveau inférieur, pour qu’un poste compromis ne livre pas un compte d’administration du domaine.
Modèle d’administration en tiers, en détail
Le raisonnement part d’un constat : quand un administrateur ouvre une session sur une machine, ses identifiants laissent des traces utilisables par quiconque contrôle cette machine. Un administrateur de domaine qui se connecte à un poste ordinaire pour dépanner un utilisateur prépare donc sa propre compromission, et celle du domaine entier. Le cloisonnement en tiers interdit cette situation : les comptes du niveau 0 ne servent qu’à administrer le niveau 0, depuis des postes dédiés et protégés.
Le modèle a des limites reconnues. Il suppose de séparer des comptes, des postes d’administration, parfois des serveurs, et il est long à déployer dans un annuaire ancien. Microsoft l’a depuis prolongé par un modèle d’accès d’entreprise, qui ajoute les plans de gestion, de données et d’accès, et prend en compte le cloud. Le principe reste le même : séparer ce qui contrôle l’identité de ce qui sert au travail courant.
Dans les annuaires hybrides, le niveau 0 s’étend aux éléments qui lient les deux mondes : serveur de synchronisation avec Microsoft Entra ID : définition, rôles d’administration globaux du tenant, comptes synchronisés à privilèges. Un compte d’administration du tenant utilisé sur un poste exposé annule l’effet du cloisonnement local. Il se déploie par étapes : comptes d’administration distincts, postes dédiés, puis cloisonnement des serveurs.
Qu’est-ce que cela change pour vous ?
Le cloisonnement en tiers est l’une des mesures qui ferment le plus de chemins vers l’administration du domaine. Il se déploie par étapes, chacune apportant un gain mesurable.
Exemple illustratif (fictif)
Imaginons un annuaire non cloisonné où un administrateur se connecte à un serveur de fichiers déjà compromis. L’attaquant récupère sa session et contrôle le domaine en quelques minutes. Avec des comptes et des postes dédiés, cette session n’existerait pas sur ce serveur.
La confusion fréquente
Penser qu’un second compte suffit. Un compte d’administration distinct, utilisé sur le même poste que la messagerie et le navigateur, ne protège rien. Le cloisonnement porte autant sur les postes d’où l’on se connecte que sur les comptes.
Qui peut vous aider à le mettre en place ?
- Audit Active Directory : la prestationSavoir qui peut devenir administrateur du domaine, et par quel chemin.
- Audit Microsoft 365 : la prestationVérifier que votre tenant résiste à un compte compromis, pas seulement à un mot de passe faible.
Aller plus loin
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- AttaqueChemin d’attaque Active Directory : définitionUne suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
- AttaqueKerberoasting : définitionUne technique d’attaque contre Active Directory où un utilisateur ordinaire du domaine demande des tickets de service Kerberos pour des comptes de service, puis tente de retrouver leur mot de passe hors ligne.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début