Gestion des mots de passe de l’infrastructure Windows

Dans la plupart des environnements informatiques, les serveurs et systèmes Windows forment un élément clé de l’infrastructure. Les comptes locaux, de domaine et de services constituent l’accès de base à l’infrastructure Windows. La pire des situations pour une organisation réside donc dans une violation de l’un de ces comptes privilégiés.

• Comptes d’administrateur local : comptes disposant de droits très élevés sur des serveurs membres et des clients qui accordent un contrôle absolu sur leurs hôtes. Si les mots de passe d’administrateur local sont faibles, changés rarement ou utilisés à répétition sur plusieurs comptes, un utilisateur malveillant peut obtenir un accès non autorisé à des postes de travail. Dans le pire des cas, un attaquant ayant accès à un tel compte pourrait parcourir une bonne partie du réseau, voire élever ses privilèges à ceux d’un administrateur de domaine.


• Comptes d’administrateur de domaine : comptes disposant du contrôle le plus large sur chaque objet du domaine. Ils accordent des privilèges d’administrateur sur tous les postes de travail, les serveurs et les contrôleurs de domaine. Seuls quelques administrateurs de confiance doivent utiliser les comptes d’administrateur de domaine. De plus, ils ne doivent utiliser le compte que pour se connecter aux systèmes d’un contrôleur de domaine aussi sûrs que le contrôleur. En effet, les systèmes Windows sont vulnérables aux attaques de type « pass-the-hash ». La fonctionnalité d’authentification unique de Windows permet aux utilisateurs de taper leurs identifiants une fois pour toutes. Windows met effectivement en cache les détails de connexion au système sous forme de hachages de mot de passe. Si un attaquant parvient à accéder à un système où l’administrateur de domaine s’est connecté auparavant à l’aide de ses identifiants, il peut aisément obtenir le hachage et effectuer une opération non autorisée.
  
  Une bonne pratique consiste donc à ne pas utiliser les comptes d’administrateur de domaine pour se connecter à un système autre qu’un contrôleur de domaine. S’il est impérieux de le faire, il faut établir un workflow pour fournir un mot de passe à usage unique, avec une réinitialisation ultérieure. Même si on utilise avec soin les comptes d’administrateur de domaine de systèmes de confiance, il faut les modifier régulièrement.


• Comptes de services : comptes très puissants que des programmes du système utilisent pour exécuter des services d’application ou des processus. Ces comptes possèdent souvent des privilèges élevés, voire excessifs. En général, on définit leurs mots de passe comme fixes, du fait de la difficulté à identifier tous les services dépendants et à diffuser la modification du mot de passe. Toutefois, les comptes de services statiques exposent l’entreprise aux attaques.

La mise en place de contrôles adéquats et d’autres pratiques de sécurité standards pour ces comptes privilégiés aide à réduire les vulnérabilités et éviter les attaques malveillantes.

Localisation et gestion facile des comptes privilégiés de l’infrastructure Windows

Une procédure de gestion des mots de passe efficace pour l’infrastructure Windows exige d’identifier et de regrouper les divers comptes privilégiés du réseau. Les outils de recherche de Password Manager Pro détectent les comptes d’administrateur local et de domaine et les recensent automatiquement. Ils aident aussi à localiser les comptes de services en identifiant les divers composants serveur Windows exécutés via des comptes de domaine et en associant les services et les tâches planifiées aux comptes concernés.

Sécurité des identifiants de compte Windows avec une réinitialisation régulière des mots de passe

Les bonnes pratiques de sécurité exigent de réinitialiser régulièrement les comptes privilégiés de l’infrastructure Windows ou après chaque utilisation (demande-octroi). Des modifications de mot de passe fréquentes pour les ressources Windows assurent aussi la conformité réglementaire de l’entreprise.

Il est pénible d’effectuer manuellement des réinitialisations de mots de passe pour tous les systèmes, d’où l’intérêt d’un moyen automatique. Password Manager Pro permet une rotation régulière des mots de passe d’administrateur local et de domaine, comptes de services inclus, via des tâches de réinitialisation planifiées. Pour une sécurité accrue, les mots de passe des comptes peuvent aussi faire l’objet d’un workflow de contrôle d’accès, qui veille à leur modification instantanée par un administrateur autorisé, même après un usage unique.

Lorsqu’on réinitialise le mot de passe d’un compte de services, Password Manager Pro diffuse automatiquement la modification à tous les services dépendants associés au compte pour éviter une interruption de service.

Cycle de gestion complet avec un redémarrage automatique des services

Lorsqu’on réinitialise le mot de passe d’un compte de services, les services Windows associés exigent normalement un redémarrage pour que la modification prenne effet. Password Manager Pro permet d’automatiser ce processus de redémarrage avec des scripts exécutables personnalisés pour veiller à une bonne mise à jour de toutes les applications et les tâches qui dépendent des comptes de services.