Comptes de service
Comptes qu'utilisent des applications, des scripts ou des tâches planifiées plutôt qu'une personne, souvent dotés de droits larges, d'un mot de passe qui ne change jamais et d'aucune MFA.
Un compte de service est un compte qu'utilise une application, une tâche planifiée ou un script pour s'authentifier, et non un être humain. Sauvegarde, antivirus, base de données, outil de supervision : chacun tourne avec le sien. Ces comptes cumulent des défauts qu'un compte nominatif réunit rarement. Leurs droits sont larges, parce qu'à l'installation on voulait que ça marche. Leur mot de passe ne change pas, parce qu'en changer peut arrêter la production. Et la MFA (authentification multi-facteurs) ne s'y applique pas, faute d'humain pour valider. Dans l'Active Directory, l'attaque type s'appelle le Kerberoasting. Tout utilisateur du domaine peut demander un ticket pour un service enregistré ; ce ticket est chiffré avec le mot de passe du compte de service, que l'attaquant casse ensuite hors ligne, sans bruit sur le réseau. Un mot de passe court posé il y a dix ans tombe vite. Septembre 2022, Uber : l'intrus, entré par la fatigue MFA d'un prestataire, dit avoir trouvé sur un partage réseau un script PowerShell qui contenait en clair des identifiants d'administration de l'outil de gestion des accès privilégiés. Janvier 2024 : Microsoft explique que Midnight Blizzard s'est servi d'une ancienne application OAuth de test, dotée de droits élevés, pour lire des boîtes de messagerie de sa direction. Le questionnaire demande un inventaire des comptes de service, combien appartiennent aux groupes d'administration du domaine, la rotation de leurs mots de passe et le recours aux comptes de service gérés (gMSA, group Managed Service Accounts), dont le domaine change lui-même le secret. Les annexes rançongiciel les placent souvent à côté des questions sur la gestion des accès privilégiés. La réponse honnête est fréquemment « on ne sait pas combien ». Un souscripteur expérimenté préfère ce chiffre inconnu avoué à un zéro rond.
Cas d'école, chiffres inventés : une société de logistique recense 140 comptes de service. 22 sont membres du groupe des administrateurs du domaine, 90 ont un mot de passe vieux de plus de trois ans, 8 seulement sont des gMSA. Le souscripteur lit les 22 comme autant de clés du domaine, cassables hors ligne par Kerberoasting si leur mot de passe est faible. Il demande la longueur minimale imposée à ces comptes et un calendrier pour sortir les 22 du groupe, et note au dossier que la réponse « MFA partout » ne couvre pas ces comptes.
compte de service, comptes techniques, comptes applicatifs, identités non humaines
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.