Comptes Privilégiés : gestion et sécurisation

Les comptes privilégiés désignent tout compte disposant de droits d'accès élevés sur un système, un annuaire ou une infrastructure réseau. Leur gestion et leur sécurisation constituent un enjeu central en cybersécurité. Ces comptes incluent les administrateurs locaux et de domaine, les comptes de service, les comptes root Unix, ainsi que les identités techniques utilisées par les pipelines CI/CD ou les solutions de sauvegarde. Leur particularité réside dans leur capacité à modifier des configurations système, accéder à des données sensibles, créer d'autres comptes ou désactiver des mécanismes de sécurité. En Active Directory, les groupes Domain Admins, Enterprise Admins et Schema Admins concentrent l'essentiel de ce périmètre à risque. Un compte de service mal contrôlé, doté d'un SPN et d'un mot de passe statique, constitue une surface d'attaque directement exploitable. Le principe de moindre privilège exige que chaque compte ne dispose que des droits strictement nécessaires à sa fonction, pour une durée limitée. Les solutions PAM (Privileged Access Management) permettent de stocker les secrets, de provisionner des accès temporaires et d'enregistrer les sessions d'administration.

La détection des abus sur les comptes privilégiés repose sur la surveillance fine des journaux d'événements Windows et des logs d'annuaire. L'événement 4672 (attribution de privilèges spéciaux à une nouvelle ouverture de session) signale toute connexion avec des droits élevés. L'événement 4728 indique l'ajout d'un membre à un groupe de sécurité global, souvent utilisé pour la persistance. L'événement 4624 corrélé avec un logon de type 3 (réseau) ou 10 (RemoteInteractive) sur un compte admin mérite une alerte systématique. Côté SIEM, des règles de détection doivent cibler les connexions en dehors des plages horaires habituelles, les authentifications depuis des postes non référencés comme stations d'administration, et les mouvements latéraux impliquant des tickets Kerberos anormaux (durée de vie excessive, chiffrement RC4 sur un compte sensible). Microsoft Defender for Identity remonte des alertes natives sur le Kerberoasting, le Pass-the-Hash et la réplication DCSync. Les logs de solution PAM comme CyberArk ou BeyondTrust enregistrent chaque session privilégiée avec horodatage, commandes exécutées et identité de l'opérateur, ce qui facilite la réponse sur incident.

L'exploitation des comptes privilégiés suit des chemins d'attaque bien documentés dans MITRE ATT&CK. Le Kerberoasting cible les comptes de service disposant d'un SPN : un attaquant authentifié demande un ticket de service TGS chiffré avec le hash du mot de passe du compte cible, puis effectue une attaque hors ligne avec Hashcat ou John the Ripper. Le Pass-the-Hash permet de s'authentifier avec le hash NTLM d'un administrateur local sans connaître le mot de passe en clair, via des outils comme Mimikatz ou Impacket. La technique DCSync simule le comportement d'un contrôleur de domaine secondaire pour extraire les hashes de tous les comptes du domaine, en exploitant les droits DS-Replication-Get-Changes. Pour contrer ces vecteurs, plusieurs mesures s'imposent. LAPS (Local Administrator Password Solution) randomise les mots de passe administrateur locaux par machine. Le tiering model Active Directory isole les comptes Tier 0 (contrôleurs de domaine) des comptes Tier 1 et Tier 2. Les comptes privilégiés ne doivent jamais être utilisés pour naviguer sur Internet ou consulter des mails. La rotation automatique des secrets via une solution PAM et l'activation de Windows Credential Guard limitent significativement la surface d'exploitation.