Droits d'administrateur local
Droit d'un utilisateur d'installer, de modifier ou de couper ce qu'il veut sur son propre poste ; le questionnaire cyber demande combien de comptes le gardent, lesquels et pourquoi.
Les droits d'administrateur local sont les privilèges qui permettent à un compte d'installer des logiciels, de changer la configuration et d'arrêter des services sur un poste donné, sans passer par le service informatique. Le questionnaire cyber pose la question presque toujours sous la même forme : vos utilisateurs sont-ils administrateurs de leur poste ? 27 juin 2017 : NotPetya part d'une mise à jour piégée du logiciel comptable ukrainien M.E.Doc. Il récupère en mémoire les identifiants des comptes connectés, puis se propage par PsExec et WMI (Windows Management Instrumentation) partout où ces identifiants ouvrent une session d'administration. Sur un poste où l'utilisateur est admin local, un maliciel hérite du même pouvoir : couper l'antivirus, arrêter l'agent EDR (détection et réponse sur les terminaux), lire la mémoire du processus LSASS, où Windows garde les secrets d'authentification. L'élévation de privilèges, l'étape que l'attaquant devrait franchir lui-même, lui est offerte. Côté souscription, la réponse se vérifie mal : aucun scan externe ne voit les droits d'un poste. Le souscripteur demande donc un pourcentage du parc, la liste des exceptions et l'outil qui accorde une élévation temporaire à la demande. Il croise avec la question sur LAPS (Local Administrator Password Solution). Si le mot de passe de l'administrateur intégré est le même sur tout le parc, retirer les droits aux utilisateurs ne ferme qu'une porte sur deux. Un « non » sans exception est rarement exact. Les développeurs, la direction et quelques postes industriels gardent souvent leurs droits, et c'est là que l'entretien de souscription creuse.
Cas d'école, chiffres inventés : une PME industrielle de 400 postes répond « non » à la question sur les droits d'administrateur local. À l'entretien, le DSI précise que 60 comptes les gardent : 35 développeurs, 15 techniciens de maintenance, 10 dirigeants. Soit 15 % du parc. Le souscripteur note la réponse comme inexacte, demande si ces 60 comptes passent par une élévation temporaire et si le mot de passe de l'administrateur intégré est unique par poste. Sans réponse écrite, le dossier reste marqué à revoir avant toute cotation.
droits admin local, administrateur du poste, privilèges d'administration du poste, admin local des utilisateurs
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.