La meilleure pratique en matière de sécurité consiste à supprimer les droits administrateur des utilisateurs finaux afin de les réduire aux privilèges d'utilisateur standard sur leurs postes de travail locaux. Je crois que tous les professionnels de la sécurité informatique partagent ce point de vue. Mais la manière dont les entreprises le mettent en pratique peut faire toute la différence en termes de productivité et de diminution des risques.

Une méthode courante consiste à créer deux comptes pour une identité, mais cette approche présente de graves lacunes pour les utilisateurs non IT. Pour un utilisateur final classique, ce type de séparation des privilèges implique de disposer d’un compte utilisateur standard pour se connecter à un poste de travail et d’un compte admin avec un mot de passe différent pour effectuer tout type d’activité nécessitant des privilèges spécifiques. Cela peut inclure l’installation d’une nouvelle imprimante ou la modification de la date, jusqu’à l’exécution des programmes de mise à jour pour les applications Adobe ou Java. 

Dans cette approche, le format du compte admin est généralement une dérivation du nom d'utilisateur standard auquel on ajoute un préfixe ou un suffixe « x- » ou « admin- », faisant de toute obfuscation prévue des identifiants un point discutable. Il s'agit d'un risque de sécurité mineur, acceptable pour la plupart des organisations, mais cela reste un risque. Pour cet utilisateur type, lorsque des tâches privilégiées sont exécutées sur son poste de travail, le système d'exploitation Microsoft Windows ou Apple MacOS demandera les informations d'identification via UAC (Universal Account Control) ou des informations d'identification de sécurité. Cette invitation les oblige à entrer leurs identifiants privilégiés dans la boîte de dialogue et à cliquer sur « OK » avant toute activité privilégiée.

Bien que de nombreux utilisateurs se soient habitués à cette approche, celle-ci représente finalement une étape inutile qui non seulement nuit à la productivité, mais crée également des risques de sécurité supplémentaires. 

- Les logiciels malveillants supprimant la mémoire: lors de l'utilisation d'un compte secondaire pour les privilèges, le mot de passe administratif est stocké en mémoire après sa saisie. Cela signifie qu'il est susceptible d’être utilisé dans le cadre d'attaques comme Pass-the-Hash et d'outils d'exploitation comme Mimikatz. 

- La perte de productivité: chaque fois qu'une activité privilégiée a lieu, l'utilisateur final doit passer du temps à saisir ses informations d'identification privilégiée dans une « invite » UAC. Si cela se produit fréquemment, cela entraîne avec le temps une perte de productivité importante et une gêne. 

- Les ressources :lors de la mise en œuvre d'un modèle de compte privilégié à double authentification, chaque identité potentielle (utilisateur) a au moins deux comptes. Cela double à la fois la quantité dans Active Directory et le nombre à gérer. Dans certains cas, cela pourrait même avoir un impact sur les licences d'une solution, du fait qu'il double le nombre de comptes actifs pour les achats. 

Une protection contre les techniques d'exploitation

Pour de nombreuses organisations, les solutions opérationnelles et de sécurité ne sont concédées sous licence que si elles permettent de réduire les risques, d'économiser de l'argent ou de générer des revenus. Une solution d’Endpoint Privileged Management peut aisément satisfaire à ces deux premières exigences.

Lors de l'utilisation d'une solution de gestion des privilèges sur les endpoints, l'application est élevée à l'aide d'un token personnalisé, ce qui la protège contre les techniques d'exploitation, et contre sa réutilisation dans d'autres attaques utilisant les privilèges. Il n'y a pas non plus d'invite de contrôle de compte d'utilisateur et l'application ou la tâche est exécutée avec un niveau élevé, sans aucune interaction supplémentaire de l'utilisateur final, comme toute autre application. L’expérience de l’utilisateur final est exactement la même que s’ils s’identifiaient réellement avec des identifiants admin (ce qui serait une vraie mauvaise idée !). La consolidation en un seul compte par identité simplifie tous les processus, de la gouvernance des identités aux rapports de certification. De plus, le risque cyber est encore réduit si aucun nom d'utilisateur de compte privilégié prévisible et facile à deviner n'est attribué à un acteur menaçant.

En sécurisant et en éliminant les obstacles à la productivité, on donne à une organisation et à ses collaborateurs la confiance de prendre de nouvelles initiatives commerciales avec une plus grande capacité, les collaborateurs peuvent alors se concentrer sur ce qui génère des revenus et sur d’autres initiatives sources de succès pour l’entreprise. Les risques et la perte de productivité sont des paramètres que chaque organisation doit aujourd’hui sérieusement considérer.