Conseils pratiques pour surveiller les utilisateurs administrateurs
Avez-vous déjà pensé à la possibilité de contrôler les utilisateurs disposant d’ autorisations d’administrateur ? Eh bien, ce n’est pas une possibilité mais un fait. Tout comme nous devons surveiller les utilisateurs «normaux», nous devons également surveiller les administrateurs. Ils disposent de plusieurs autorisations, y compris l’accès et la manipulation d’ensembles de données, qui contiennent généralement des informations sensibles. Ce guide vous montrera quelles sont les bonnes pratiques afin que vous puissiez avoir une visibilité complète sur ces super utilisateurs et vous protéger des potentielles attaques « internes ».
Les utilisateurs avec l’autorisation d’administrateur ont le pouvoir. Ils ont un accès complet à toutes les ressources du réseau et prennent en charge la résolution de plusieurs problèmes de réseau. Malheureusement, ce profil d’utilisateur n’est pas mal vu par de nombreuses personnes au sein d’une organisation. Il existe même un certain préjugé vis-à-vis des personnes qui travaillent dans le domaine informatique en général.
Il est normal d’entendre ou de lire qu’ils espionnent des collaborateurs, qu’à tout moment ils vont installer des virus sur leurs ordinateurs ou pire, ils pensent que les problèmes qui peuvent exister dans le réseau se produisent parce qu’ils ont l’intention de le faire. Peut-il y avoir autant de méfiance envers les personnes qui travaillent dans l’informatique, y compris celles qui ont des autorisations d’administrateur ? Ce n’est pas impossible.
Aujourd’hui, dans RedesZone, nous allons proposer quelques actions pour avoir un meilleur contrôle des utilisateurs qui ont des autorisations d’administrateur. L’objectif principal est qu’ils soient entre les mains de ceux qui en ont vraiment besoin. De plus, cela contribuera à améliorer la réputation de ces types d’utilisateurs en général. Ensuite, nous soulignerons les plus importants.
Authentification multifacteur
Cette méthode d’authentification est essentielle pour que les utilisateurs aient accès au réseau avec les ressources et les privilèges dont ils ont besoin. De même, il est un allié lorsque la gestion des ressources et des privilèges d’accès est conforme aux réglementations internes, locales, nationales et internationales. Il ne faut jamais ignorer l’aspect juridique.
Les comptes d’administrateur tels que les services Office 365 ne nécessitent pas de licences ou d’autorisations supplémentaires. Par conséquent, dans un petit réseau, l’existence d’un seul utilisateur administrateur n’est généralement pas nécessaire, mais les rôles d’administrateur peuvent être attribués à plusieurs utilisateurs, c’est-à-dire à tous ceux qui correspondent à cette petite organisation. En bref, un niveau de sécurité supplémentaire peut être ajouté à l’aide de services d’authentification multifacteur tels que l’authentificateur Microsoft ou Google .
Si vous ne le connaissez pas encore et que vous souhaitez essayer l’authentificateur Google, vous pouvez accéder au raccourci ci-dessous et l’essayer dès que possible :
Désormais, si les exigences de sécurité et de conformité l’exigent, vous pouvez avoir un seul utilisateur administrateur. A son tour, pour une plus grande protection, cette méthode d’authentification peut être mise en œuvre pour garantir l’accès dudit administrateur non seulement à un mais à plusieurs appareils.
Authentification multifacteur chez Microsoft
Si le réseau que vous gérez est régi par des applications et services Microsoft, sachez que l’utilisation de l’authentification multifacteur est déjà obligatoire pour tous les comptes qui proviennent des organisations qui sont vos partenaires . Sans aucun doute, c’est un point que vous devriez consulter lors de l’embauche des services d’une entreprise qui s’avère être un partenaire Microsoft.
En revanche, les configurations de sécurité des différents rôles dans les comptes utilisateurs dans Azure Active Directory ont été mises à jour et la nouveauté est qu’ils doivent utiliser cette méthode d’authentification. Cependant, cela s’applique aux rôles d’administrateur suivants :
- Global
- SharePoint
- Échange
- Accès conditionnel
- De sécurité
- Bureau d’aide
- Facturation
- Utilisateurs
- Authentification
Par conséquent, les authentifications de type Legacy ont été bloquées . C’est-à-dire ceux qui proviennent de clients qui n’utilisent aucune méthode d’authentification moderne, tels que les clients Office 2010 pour la marche arrière. Cela implique également les clients qui utilisent d’anciens protocoles pour communiquer, tels que le courrier électronique (SMTP, POP3 et IMAP).
Malheureusement, même si ces authentifications héritées s’accompagnent de l’ajout de l’authentification multifacteur, ces clients « obsolètes » sont vulnérables aux attaques. À partir du moment où le cybercriminel parvient à violer l’un des anciens protocoles ou applications héritées, l’ajout de Multi-Factor est inutile. C’est comme s’il n’avait pas existé depuis le début.
Minimiser le risque de partage d’accès
Tout accès avec des autorisations d’administrateur ou des autorisations d’administrateur global doit être étroitement surveillé. Par conséquent, sa portée et ses capacités doivent être strictement conformes à la portée qui a été définie au départ. Cependant, un utilisateur administrateur donné ne doit pas avoir de limitations exagérées par rapport aux ressources qu’il peut consommer. En plus des informations et des processus auxquels vous pouvez avoir accès.
Une bonne pratique pour les utilisateurs administrateurs consiste à utiliser des postes de travail avec accès privilégié . Ils fournissent un système d’exploitation dédié à l’exécution de tâches avec un haut niveau de sensibilité. Par conséquent, il dispose d’un haut niveau de protection contre les cyberattaques d’Internet et les menaces de sécurité en général. L’avantage d’utiliser ce type de poste de travail est qu’il permet une séparation efficace des tâches très critiques et sensibles des appareils traditionnels.
D’autre part, il est fortement recommandé de limiter le nombre d’utilisateurs avec des autorisations d’administrateur. La limite de quantité qu’il est recommandé de créer est de 5 comptes , selon la taille et les besoins du réseau. Par conséquent, vous pouvez envisager de créer des comptes avec des autorisations de sous-administrateur , qui peuvent être réparties par zones clés de l’organisation. De cette façon, chaque utilisateur sous-administrateur pourra avoir un contrôle complet uniquement sur ce qui correspond à son domaine.
Configurer des comptes d’urgence
Une autre mesure recommandée est la création de comptes d’urgence dans le cas où des services Azure (Azure Active Directory) et/ou Office 365 sont utilisés . Ces comptes n’ont pas besoin d’avoir une authentification multifacteur configurée. Si quelque chose arrive aux comptes «officiels» qui disposent de cette méthode d’authentification, vous pouvez alors récupérer l’accès à ces services via ce compte d’urgence.
D’autre part, vous pouvez créer un compte administrateur qui n’a pas d’authentification multifacteur et qui est également exclu de toute stratégie. Le mot de passe qui est configuré doit être assez long. Afin de surveiller et d’avoir une visibilité sur l’utilisation de ce compte, nous partageons via ce lien un excellent tutoriel sur YouTube qui vous montrera étape par étape comment procéder.
La vidéo que nous avons partagée est en anglais, mais nous l’avons vue dans son intégralité et il est possible d’opter pour la traduction automatique des sous-titres en espagnol si vous en avez besoin. Aussi, ce pas à pas est assez clair et le principal prérequis est que vous ayez un compte Azure Active Directory Premium . Si vous ne l’avez pas, il est possible d’accéder à un essai gratuit de 30 jours et ainsi, vous pourrez tester la surveillance des comptes d’urgence.
