Privileged Credentials Recoverable From Administrator Workstations

Des identifiants à fort privilège sont utilisés depuis les postes quotidiens des administrateurs ou depuis des machines partagées avec des activités à risque : courriel, navigation, clavardage, téléchargement et support aux utilisateurs.

Les secrets peuvent rester dans la mémoire, les jetons de session, les coffres locaux, les scripts, l’historique de commandes ou les connexions persistantes. Le poste devient ainsi un dépôt involontaire de clés administratives. Il suffit de compromettre l’appareil le plus exposé pour atteindre les systèmes les mieux protégés.

Les contrôles qui protègent un serveur privilégié ne servent plus à grand-chose si l’attaquant récupère, sur un poste utilisateur, une identité autorisée à l’administrer.

Avec ces accès, il peut désactiver les protections, extraire davantage de secrets, modifier les politiques, accéder aux sauvegardes et se déplacer sans exploiter une nouvelle vulnérabilité. L’activité ressemble alors à celle d’un administrateur légitime, ce qui réduit la qualité des alertes et complique l’attribution des gestes.

Changer le mot de passe ne suffit pas toujours : les sessions, jetons ou secrets dérivés déjà capturés peuvent survivre.

• Examiner d’où proviennent réellement les connexions privilégiées aux annuaires, hyperviseurs, pare-feu, sauvegardes et consoles de sécurité.
• Vérifier si les administrateurs utilisent leurs comptes privilégiés sur des postes servant aussi au courriel et à la navigation.
• Chercher les comptes privilégiés connectés de façon interactive sur des actifs de niveau inférieur ou partagés.
• Inspecter les scripts, tâches planifiées, fichiers de configuration, gestionnaires de mots de passe locaux et historiques de commandes pour des secrets réutilisables.
• Tester si un administrateur peut accomplir une tâche critique sans passer par un appareil ou un chemin d’administration dédié.

• Fournir des postes ou environnements d’administration dédiés, durcis et interdits aux usages quotidiens.
• Séparer les identités ordinaires et privilégiées; empêcher techniquement les comptes sensibles de se connecter aux postes de moindre confiance.
• Utiliser des privilèges juste à temps, des secrets uniques et des méthodes d’authentification résistantes à l’hameçonnage lorsque disponibles.
• Réduire la mise en cache des secrets et protéger les mécanismes d’authentification du système d’exploitation.
• Surveiller les connexions privilégiées selon leur origine et alerter lorsqu’elles proviennent d’un appareil non autorisé.

• Considérer comme exposés les secrets utilisés sur tout poste administrateur compromis ou non validé.
• Établir d’abord un appareil et une identité propres, puis effectuer les rotations depuis ce nouvel environnement.
• Révoquer les sessions, jetons, clés et certificats pertinents; ne pas limiter la réponse aux mots de passe.
• Rechercher les usages antérieurs et postérieurs des identités concernées sur toutes les plateformes accessibles.
• Isoler les postes administratifs visés et préserver leur mémoire et leurs artefacts avant de les réinstaller.