Management des accès à privilèges et leur sécurisation

Partager cette page



PAM ou Privileged Access Management

Parmi les lacunes constatées par le Centre de Cybersécurité de l’ANSSI…

  • Absence de séparation utilisateur et administrateur,
  • Laxisme dans la gestion des droits d’accès
  • Ouverture excessive d’accès externes incontrôlés au SI

         "Comment se prémunir des menaces" ANSSI

La problématique

La sécurité du SI repose fortement sur les utilisateurs à privilèges.

Le mouvement latéral est aujourd’hui prépondérant lors d’une cyberattaque, afin de donner à l’attaquant, un accès à des privilèges plus élevés, lui permettant ainsi de faire plus de dégâts. Notamment l’accès aux fonctions d’administration. Il est par ailleurs difficile de s’assurer de la sécurité du poste d’un administrateur opérant ses missions depuis un poste banalisé.

Aussi les utilisateurs à privilèges doivent-ils être particulièrement sécurisés et surveillés. Les arrêtés fixant les règles de sécurité relatives aux SI des opérateurs d’importance vitale, précisent que les opérations d’administration doivent s’effectuer sur des postes dédiés et qu’un compte d’administration ne doit servir qu’à l’administration, pratique également très fortement recommandée par l’ANSSI.

 « En tant que point d’entrée du SI d’administration, le poste de travail de l’administrateur est un composant critique par nature car il dispose d’accès étendus et privilégiés. En outre, il traite généralement des informations sensibles pour le système d’information (configurations, dossiers d’architecture, versions logicielles déployées, mots de passe, etc.) et a la capacité technique d’accéder à des informations métier. Il doit donc faire l’objet d’une sécurisation physique et logicielle afin de restreindre au mieux les risques de compromission.En premier lieu, il est indispensable que l’entité garde la maîtrise du poste d’administration qu’elle met à disposition des administrateurs, que ceux-ci soient internes ou externes. Toute pratique de type «Bring Your Own Device» (BYOD5), non recommandée de manière générale, est à proscrire pour un poste d’administration. »

 4.1 Maîtrise du poste d’administration du guide de l’ANSSI « Recommandations relatives à l’administration sécurisée des systèmes d’information »

 

Le contrôle d’un environnement à privilèges est devenu aujourd’hui incontournable pour tracer les actions réalisées afin de stopper le plus rapidement possible toute action maladroite ou malveillante.

L’objectif est également en cas d’intrusion de pouvoir comprendre ce qui s’est passé.

Autant la surveillance d’un environnement où l’utilisateur mixerait ses activités critiques d’administration et tâches classiques parait difficile pour des raisons de confidentialité et de volume d’informations, autant ce contrôle doit s’imposer pour cet environnement dédié.

Question

  • Comment maintenir la conformité réglementaire des habilitations (NIS, LPM, ISO 27001...),
  • et répondre aux certifications (HDS, ANSSI…), lors d’audits longs et coûteux,
  • pour un SI de plus en plus hors les murs, hybride et fluctuant (utilisateurs, prestataires, datacenters, cloud...) ?

 

 

      Guide de l’ANSSI « Recommandations relatives à l’administration sécurisée des systèmes d’information »

 

Les enjeux

sont donc, dans une philosophie de ZTNA (Zero Trust Network Access) pour ces postes à pouvoir, d’assurer :

  • Le renforcement des connexions aux ressources administrateurs et de la politique de mots de passe.
  • La surveillance en temps réel des actions menées par l’administrateur sur les ressources critiques.
  • Des alertes paramétrables avec déclenchement d’actions conservatoires en cas d’actions non autorisées ou malveillantes.
  • Une solution répondant aux attentes de mobilité sécurisée des administrateurs.

Et jusqu’à la mise à disposition :

  • D’un poste administrateur étanche et sécurisé.
  • D'un environnement dédié aux fonctions critiques de l’administrateur, dissocié de son environnement habituel.

 

La réponse Astrel

Il convient donc d’assurer à ces utilisateurs, un usage (standardisable par profil) :

  • Hautement sécurisé : Disposant d’une authentification forte associé à des accès « balisés »,
  • Surveillé : La session de travail de l’administrateur est enregistrée afin de s’assurer que le comportement est celui attendu. Des alertes en temps réel pourront être déclenchées sur scénarios particuliers,
  • Possiblement unique : sous forme de machine virtuelle, avec tous ses outils et applications, supprimée et recréée à chaque déconnexion/connexion.

 

Les équipes d'Astrel, raison et telecom, par leur haut niveau d’expertise, assurent la pleine efficience de votre politique de PAM.

 Nos équipes se tiennent à votre écoute.