Modèle d'administration en tiers
Découpage des comptes et des machines d'administration de l'Active Directory en niveaux étanches, pour qu'un identifiant d'admin du domaine ne passe jamais sur un poste où un attaquant le lirait.
Le modèle d'administration en tiers est une organisation des comptes et des machines d'administration de l'Active Directory en niveaux qui ne se mélangent pas. Microsoft l'a formalisé en trois tiers. Le tier 0 regroupe ce qui contrôle l'identité de toute l'entreprise : contrôleurs de domaine, serveurs de fédération, consoles de gestion des comptes, et désormais le fournisseur d'identité cloud. Le tier 1 couvre les serveurs et les applications, le tier 2 les postes de travail et le support. La règle tient en une phrase : un compte d'un tier ne s'authentifie jamais sur une machine d'un tier inférieur. La raison est mécanique. Quand un administrateur du domaine ouvre une session sur un poste pour dépanner quelqu'un, ses identifiants restent en mémoire sur ce poste. Si le poste est déjà compromis, l'attaquant les ramasse et passe du poste au domaine en une étape. Les rapports de réponse à incident décrivent ce raccourci dans une grande partie des rançongiciels qui chiffrent tout un domaine. Septembre 2023, MGM Resorts : selon le récit publié par les attaquants eux-mêmes, un appel au support a suffi pour obtenir une réinitialisation, puis des droits de super-administrateur sur la console d'identité Okta. Le support, tier 2 par construction, pouvait toucher au tier 0. Le questionnaire détaillé et les annexes rançongiciel demandent des comptes d'administration séparés des comptes de messagerie, des postes d'administration dédiés (PAW, Privileged Access Workstation) et l'interdiction technique des connexions d'un tier vers l'autre. La preuve demandée est souvent une capture des stratégies de groupe qui refusent ces connexions. Une réserve : beaucoup d'entreprises déclarent des comptes séparés et s'arrêtent là. Un compte admin distinct utilisé depuis le poste bureautique ne cloisonne rien.
Cas d'école, chiffres inventés : un distributeur déclare 12 administrateurs du domaine. Le questionnaire demande combien ouvrent des sessions sur des postes de travail. Réponse : 9, parce que les mêmes personnes assurent aussi le support de niveau 2. Le souscripteur raisonne en chemins : sur un parc de 1 800 postes, un seul poste compromis suffit si l'un des 9 s'y est connecté dans la semaine. Il pose une question de suivi sur les postes d'administration dédiés et classe le dossier parmi ceux auxquels son marché applique une coassurance rançongiciel.
administration en tiers, cloisonnement des comptes d'administration, modèle à trois niveaux de l'Active Directory, isolement du tier 0
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.