Active Directory organise les identit\u00e9s et les acc\u00e8s de nombreuses entreprises. Sa s\u00e9curit\u00e9 d\u00e9pend aussi des postes, des comptes et des pratiques qui permettent de l\u2019administrer. Prot\u00e9ger uniquement les contr\u00f4leurs de domaine laisse une partie du probl\u00e8me hors du champ.<\/p>\n\n\n
L\u2019ANSSI d\u00e9crit des compromissions qui commencent sur des postes de travail puis progressent par d\u00e9placements lat\u00e9raux et \u00e9l\u00e9vations de privil\u00e8ges. Un cloisonnement insuffisant et de mauvaises pratiques d\u2019administration peuvent faciliter cette progression.<\/p>\n\n\n
Rep\u00e9rez les comptes tr\u00e8s privil\u00e9gi\u00e9s, les \u00e9quipements depuis lesquels ils sont utilis\u00e9s et les services qui en d\u00e9pendent. Les comptes techniques et les outils de d\u00e9ploiement m\u00e9ritent une attention particuli\u00e8re : leur fonction peut leur donner une port\u00e9e importante.<\/p>\n\n\n
Exemple fictif : le m\u00eame compte sert au support utilisateur et \u00e0 l\u2019administration de l\u2019annuaire. La premi\u00e8re \u00e9tape consiste \u00e0 documenter les t\u00e2ches concern\u00e9es, puis \u00e0 organiser leur s\u00e9paration. Le changement doit \u00eatre test\u00e9 pour \u00e9viter de bloquer les op\u00e9rations essentielles.<\/p>\n\n\n
Une revue utile produit des actions hi\u00e9rarchis\u00e9es : usages \u00e0 s\u00e9parer, acc\u00e8s \u00e0 retirer, chemins \u00e0 cloisonner et contr\u00f4les \u00e0 mettre en place. Les modifications doivent \u00eatre valid\u00e9es avec les responsables d\u2019exploitation. Une recommandation g\u00e9n\u00e9rique appliqu\u00e9e sans \u00e9tude peut perturber des d\u00e9pendances r\u00e9elles ; l\u2019objectif est une r\u00e9duction du risque v\u00e9rifi\u00e9e, compatible avec le fonctionnement du syst\u00e8me.<\/p>\n\n\n