Administration sécurisée : bastion, comptes à privilèges et MFA

L'administration sécurisée regroupe les mesures qui protègent les comptes et les accès des administrateurs : comptes d'administration dédiés et nominatifs, authentification multifacteur, poste et réseau d'administration séparés, bastion qui contrôle et enregistre chaque connexion aux serveurs. Ces comptes donnent le contrôle total du système d'information, c'est pourquoi les attaquants les cherchent en priorité. Ce chapitre suit les recommandations de l'ANSSI sur l'administration sécurisée, explique le modèle en niveaux d'Active Directory, compare les méthodes de MFA et montre comment fonctionne un bastion.

Pourquoi les comptes d'administration sont la cible

Dans presque toutes les attaques par rançongiciel, l'attaquant suit le même chemin : il entre sur un poste utilisateur (hameçonnage, faille), y récupère des identifiants, rebondit de machine en machine jusqu'à obtenir un compte d'administrateur du domaine, puis déploie le chiffrement partout en une nuit. Les erreurs qui lui facilitent le travail sont toujours les mêmes :

• un technicien utilise le même compte, administrateur du domaine, pour lire ses courriels, naviguer et administrer ;
• un administrateur ouvre une session sur un poste utilisateur pour le dépanner : ses identifiants restent en mémoire sur ce poste, où l'attaquant peut les récupérer ;
• un compte admin partagé par toute l'équipe, dont le mot de passe n'a pas changé depuis le départ d'un ancien collègue ;
• les interfaces d'administration sont joignables depuis n'importe quel poste ;
• aucune trace de qui a fait quoi.

Les principes de l'ANSSI

Les Recommandations relatives à l'administration sécurisée des systèmes d'information de l'ANSSI reposent sur quelques idées simples :

Les comptes à privilèges dans Active Directory

Le modèle en niveaux. Le principe de séparation par niveaux (tiering), recommandé par l'ANSSI et Microsoft, classe les ressources selon le contrôle qu'elles donnent (le cours Sécurité de l'Active Directory le met en œuvre au chapitre Le modèle en tiers) :

La règle d'or : un compte d'un niveau ne se connecte jamais sur une machine d'un niveau moins sûr. Un administrateur du domaine (niveau 0) n'ouvre jamais de session sur un poste utilisateur (niveau 2) : si ce poste est compromis, ses identifiants ne s'y trouvent pas. Pour dépanner un poste, le technicien utilise un compte de niveau 2, qui n'a aucun droit sur les serveurs.

Les autres mesures.

• Placer les comptes très privilégiés dans le groupe Protected Users : leurs identifiants ne sont plus mis en cache, et l'authentification NTLM leur est refusée.
• Utiliser des comptes de service gérés (gMSA) pour les services Windows : leur mot de passe, long et aléatoire, est changé automatiquement par l'annuaire, et personne ne le connaît.
• Garder un compte de secours (« bris de glace ») pour le cas où l'annuaire ou la MFA serait indisponible : mot de passe très long, conservé dans un coffre (physique ou numérique), toute utilisation déclenche une alerte et un changement de mot de passe.
• Ranger les secrets d'administration (mots de passe des équipements, clés) dans un coffre-fort de mots de passe partagé par l'équipe, avec des droits par dossier et un historique des accès (KeePassXC pour une petite équipe, Vaultwarden, Passbolt).
• Auditer régulièrement la sécurité de l'annuaire, par exemple avec PingCastle, qui signale les comptes trop privilégiés, les délégations dangereuses et les mots de passe qui n'expirent jamais.

L'authentification multifacteur

L'authentification multifacteur (MFA) demande au moins deux facteurs de natures différentes :

• ce que je sais : un mot de passe, un code PIN ;
• ce que je possède : un téléphone, une clé de sécurité, une carte à puce ;
• ce que je suis : une empreinte digitale, un visage (en général pour déverrouiller l'objet possédé).

Deux mots de passe ne font pas une MFA : ce sont deux facteurs de même nature. Toutes les méthodes ne se valent pas :

Pour les comptes d'administration et l'accès distant (chapitre 7), on vise les méthodes résistantes à l'hameçonnage. La MFA ne dispense pas d'un mot de passe robuste et unique, ni de surveiller les connexions.

Le bastion

Un bastion (ou passerelle d'administration, PAM pour Privileged Access Management) est le point de passage unique et contrôlé de toutes les connexions d'administration. L'administrateur ne se connecte plus directement aux serveurs : il se connecte au bastion, qui vérifie son identité et ses droits, puis ouvre la session vers la cible.

Exemples de solutions : The Bastion (logiciel libre d'OVHcloud, pour SSH), Teleport, Wallix Bastion (éditeur français, solution certifiée par l'ANSSI), CyberArk. Apache Guacamole offre une passerelle web vers RDP, SSH et VNC avec enregistrement des sessions, pratique en TP, sans toutes les fonctions d'un bastion complet.

Le bastion n'a de sens que si les serveurs refusent les connexions d'administration qui ne viennent pas de lui. Sur le pare-feu de Sorbier :

Le poste d'administration (192.168.10.209) et le bastion sont dans le même VLAN : leurs échanges ne traversent pas le pare-feu, c'est le pare-feu local du bastion qui n'accepte que ce poste et le réseau nomade.

Ces règles remplacent l'accès direct du réseau ADMIN aux serveurs (règle 7 de l'exercice du chapitre 3) : même le poste d'administration passe désormais par le bastion.

Pour SSH, un client peut traverser le bastion de façon transparente avec l'option ProxyJump. Dans le fichier ~/.ssh/config du poste d'administration :

Host bastion
    HostName 192.168.10.210
    User adm-lucas

Host srv-web
    HostName 192.168.10.225
    User adm-lucas
    ProxyJump bastion

ssh srv-web passe alors par le bastion sans commande supplémentaire. Un bastion complet va plus loin : l'administrateur ne détient même pas de clé pour les serveurs, c'est le bastion qui s'y connecte.

Les accès des prestataires

Les prestataires d'infogérance ou de maintenance sont une porte d'entrée fréquente : leurs accès sont souvent permanents, partagés entre plusieurs techniciens, et peu surveillés. Les bonnes pratiques :

• un compte nominatif par technicien du prestataire, avec MFA ;
• un accès par le VPN puis le bastion, limité aux équipements du contrat, ouvert pour la durée de l'intervention ;
• les sessions enregistrées, les journaux conservés ;
• des clauses dans le contrat : obligations de sécurité, notification des incidents, droit d'audit, suppression des accès en fin de contrat.

Les outils de prise en main à distance du support, et leurs règles de sécurité, sont détaillés dans le cours ITIL et support.

Pour aller plus loin. Le modèle en niveaux d'Active Directory, LAPS et la traçabilité des actions d'administration sont développés dans le chapitre Comptes à privilèges, PAM et bastion, et Kerberos dans le chapitre Annuaire LDAP, Active Directory et Kerberos du cours Authentification.

Exercices