Chapitre 2 — Gestion des Comptes & Accès Privilégié (PAM)

La gestion du cycle de vie des comptes et des accès privilégiés est critique. Ce module couvre les types de comptes, le provisionnement/déprovisionnement, PAM, et les politiques de mots de passe.

Types de Comptes

Type	Description	Risque
Utilisateur standard	Accès limité aux ressources nécessaires	Faible si bien géré
Administrateur local	Contrôle total sur un seul système	Élevé — souvent même mot de passe partout
Administrateur de domaine	Contrôle total sur l'AD entier	Très élevé — compromis = compromis total
Compte de service	Utilisé par des applications/services	Élevé — rarement surveillés, mots de passe qui n'expirent pas
Compte partagé	Partagé entre plusieurs personnes	Très élevé — pas de responsabilité individuelle
Compte générique	guest, admin, default — non nominatif	Très élevé — désactiver ou renommer
Compte invité	Accès très limité et temporaire	Risque si mal configuré

Mémorisez ! Désactiver les comptes par défaut (guest, administrator), renommer les comptes administrateur, et ne jamais utiliser de comptes partagés pour les accès privilégiés. Chaque personne = un compte nominatif.

Cycle de Vie des Comptes

Provisionnement : création du compte avec les accès appropriés. Idéalement automatisé via HR → IAM.
Révision des accès (Access Review) : audit périodique des comptes et leurs privilèges. Identifier les accès excessifs (permission creep).
Permission creep : accumulation progressive de droits d'accès au fil du temps (changements de poste, projets). L'utilisateur garde les accès des rôles précédents.
Déprovisionnement : désactivation immédiate du compte lors du départ d'un employé. Ne jamais supprimer immédiatement — désactiver d'abord pour conserver l'audit trail.
Offboarding : processus formel de départ — récupérer équipements, révoquer accès, transférer données.

Scénario : Un développeur est promu chef de projet puis devient responsable RH. Il conserve ses accès aux systèmes de développement ET aux ressources RH. C'est du permission creep. Solution : révision des accès à chaque changement de poste et révoquer les accès devenus inutiles.

PAM — Privileged Access Management

PAM est une solution qui contrôle, surveille et audite l'utilisation des comptes à privilèges élevés.

Coffre-fort de mots de passe (Password Vaulting) : stocke les credentials privilégiés chiffrés. Rotation automatique des mots de passe. Personne ne connaît le mot de passe actuel — PAM le fournit à la demande.
Just-In-Time (JIT) Access : l'accès privilégié est accordé temporairement pour une tâche spécifique, puis révoqué. Réduit la surface d'attaque.
Session Recording : enregistre toutes les sessions privilégiées (vidéo + frappe). Forensique + dissuasion.
Least Privilege Enforcement : PAM garantit que même les admins n'ont que les droits nécessaires pour leur tâche du moment.
Dual Control : certaines actions critiques nécessitent l'approbation de deux personnes.

Astuce Examen

PAM résout le problème des comptes de service : les mots de passe sont gérés automatiquement, personne ne les connaît directement. Si un employé quitte, les credentials restent dans le vault et peuvent être immédiatement révoqués ou rotés.

Politiques de Mots de Passe

Politique	Recommandation actuelle (NIST SP 800-63)
Longueur minimale	12 caractères minimum (NIST recommande 15+)
Complexité	Favoriser les passphrases longues plutôt que complexité forcée
Expiration	Ne PAS forcer l'expiration périodique sauf si compromission détectée
Historique	Mémoriser les 24 derniers mots de passe pour éviter la réutilisation
Verrouillage	Verrouiller après 5-10 tentatives échouées (lockout policy)
Stockage	Jamais en clair — toujours hashé + salé (bcrypt, Argon2)

Mémorisez ! NIST recommande de ne plus forcer l'expiration périodique des mots de passe — les utilisateurs créent des mots de passe prévisibles ("P@ssw0rd1!" → "P@ssw0rd2!"). Mieux vaut un long mot de passe stable qu'un court mot de passe qui change tous les 90 jours.

Quiz — Gestion des Comptes

1. Un employé change de département trois fois en 4 ans et conserve tous ses accès d'origine. Quel problème cela représente-t-il ?

Violation de séparation des tâches Permission creep (accumulation excessive de droits) Compte de service non géré Violation du principe de besoin-d'en-connaître

Le permission creep désigne l'accumulation progressive d'accès au fil des changements de rôle. Solution : révision des accès à chaque changement de poste (user access review).

2. Un système PAM génère automatiquement un nouveau mot de passe pour un compte de service toutes les 24h. Quel avantage de sécurité cela apporte-t-il principalement ?

Cela rend le compte inaccessible aux administrateurs Cela élimine la nécessité de l'authentification MFA Un credential volé devient inutile dès la prochaine rotation Cela réduit la charge CPU du serveur d'authentification

La rotation automatique des mots de passe limite la fenêtre d'exploitation : si un attaquant vole le mot de passe à 14h, il est invalide le lendemain à minuit. Aucun employé ne connaît jamais le mot de passe actuel.

3. Quelle est la pratique recommandée lors du départ d'un employé concernant son compte ?

Supprimer immédiatement le compte pour libérer la licence Transférer le compte à son successeur avec le même nom d'utilisateur Laisser le compte actif 30 jours pour la transition Désactiver immédiatement le compte et conserver les données pour l'audit

Désactiver (pas supprimer) pour : préserver l'audit trail, permettre une investigation si nécessaire, récupérer les données. Supprimer immédiatement efface les journaux associés. Ne jamais réutiliser un compte nominatif.

4. Qu'est-ce que l'accès "Just-In-Time" (JIT) dans le contexte PAM ?

L'accès privilégié est accordé temporairement pour une tâche spécifique puis automatiquement révoqué Les administrateurs peuvent se connecter à tout moment sans approbation L'accès est accordé en fonction de l'heure de la journée Les tickets PAM sont valides exactement 8h

JIT Access = pas de standing privileges permanents. L'admin demande un accès, il est approuvé pour une durée limitée (ex: 2h pour effectuer une maintenance), puis automatiquement révoqué. Réduit drastiquement la surface d'attaque.

5. Selon les recommandations NIST SP 800-63, quelle politique de mots de passe est désormais DÉCONSEILLÉE ?

Exiger un minimum de 12 caractères Forcer le changement de mot de passe tous les 90 jours Bloquer les mots de passe de l'historique des 24 derniers Vérifier les mots de passe contre des listes de mots compromis

NIST recommande de ne plus forcer l'expiration périodique. Les utilisateurs contournent en faisant des incréments prévisibles (Password1 → Password2). L'expiration ne devrait être déclenchée qu'en cas de compromission détectée.

6. Quel est le principal risque des "comptes partagés" dans un environnement d'entreprise ?

Ils consomment trop de ressources système Ils sont plus difficiles à configurer dans Active Directory Il est impossible d'attribuer une action à un individu spécifique — perte de non-répudiation Ils nécessitent plus de licences logicielles

Les comptes partagés brisent la non-répudiation : si 5 personnes utilisent "admin", impossible de savoir qui a fait quoi dans les journaux. Chaque personne doit avoir un compte nominatif.

7. Quel est l'avantage du "coffre-fort de mots de passe" (password vaulting) dans une solution PAM ?

Il stocke les mots de passe en clair pour un accès rapide Il impose une politique de mot de passe de 8 caractères Il remplace l'authentification par token Les administrateurs n'ont jamais accès aux mots de passe réels — PAM les injecte directement dans les sessions

Le password vaulting stocke les credentials chiffrés. L'admin demande l'accès, PAM ouvre la session avec les credentials sans jamais les révéler à l'admin. Même si l'admin est compromis, il ne peut pas exfiltrer des mots de passe qu'il ne connaît pas.

8. Pourquoi les "comptes de service" sont-ils particulièrement à risque ?

Leurs mots de passe n'expirent souvent pas et ils ne sont pas surveillés comme les comptes humains Ils ont des droits d'accès très limités Ils sont toujours supprimés lors des mises à jour système Ils sont partagés entre tous les serveurs

Les comptes de service ont souvent des mots de passe qui n'expirent pas (pour ne pas casser les applications), des privilèges élevés, et sont rarement inclus dans les révisions d'accès. L'attaque Kerberoasting les cible spécifiquement.

9. Un administrateur système veut s'assurer que les mots de passe des utilisateurs ne sont pas stockés de manière récupérable en cas de vol de la base de données. Quelle technique devrait-il utiliser ?

Chiffrement AES-256 des mots de passe Hachage avec sel (bcrypt, Argon2) Encodage Base64 Chiffrement asymétrique RSA

Les mots de passe doivent être hachés (pas chiffrés — car le hash est à sens unique) avec un sel unique par mot de passe. Le sel empêche les attaques par rainbow table. bcrypt et Argon2 sont conçus spécifiquement pour les mots de passe (lents intentionnellement).

10. Lors d'une révision des accès (access review), un administrateur découvre 15 comptes d'anciens employés encore actifs. Quelle action doit-il entreprendre en premier ?

Supprimer immédiatement tous les comptes Informer les anciens employés que leurs comptes vont être désactivés Désactiver immédiatement tous les comptes et vérifier s'ils ont été utilisés récemment Changer les mots de passe et conserver les comptes pour les remplaçants

Désactiver en premier (urgence sécurité). Ensuite : vérifier les journaux d'activité récente (ont-ils été utilisés après le départ ?), puis suivre les procédures internes. Ne pas supprimer avant investigation complète.