Peut-\u00eatre avez-vous d\u00e9j\u00e0 entendu une phrase semblable \u00e0 celle-l\u00e0, soit dans une pr\u00e9sentation Microsoft ou sur les m\u00e9dias sociaux. Simple, mais quelque peu obscure, cette id\u00e9e fait allusion \u00e0 notre monde ax\u00e9 sur le Cloud et les technologies mobiles. Il est important que vous en compreniez la signification et, surtout, que sachiez agir en cons\u00e9quence.<\/p>\n
Pour \u00eatre plus clair, ce concept signifie que les formes traditionnelles de cyberd\u00e9fense, comme les pare-feux et autres p\u00e9rim\u00e8tres de s\u00e9curit\u00e9, ne sont pas d\u2019une grande utilit\u00e9 dans les environnements de TI actuels, o\u00f9 les fronti\u00e8res sont assez floues. Au cours des derni\u00e8res ann\u00e9es, la plupart des compagnies ont d\u00fb implanter leurs strat\u00e9gies antivirus et antipourriel \u00e0 l\u2019ext\u00e9rieur de leurs espaces de travail physiques pour atteindre leurs objectifs de s\u00e9curit\u00e9. Dans un m\u00eame ordre d\u2019id\u00e9es, les entreprises doivent d\u00e9sormais repenser leurs strat\u00e9gies de d\u00e9fense de A \u00e0 Z; ceci inclut l\u2019identification des individus<\/a> et des appareils<\/a> qui tentent d\u2019acc\u00e9der aux donn\u00e9es d\u2019entreprise, sans oublier l\u2019\u00e9tat desdits appareils.<\/p>\n Si vous n\u2019avez pas d\u00e9j\u00e0 \u00e9tabli clairement quelles donn\u00e9es vous voulez prot\u00e9ger, vous devrez d\u00e9ployer des outils pour vous aider \u00e0 le faire, particuli\u00e8rement pour les donn\u00e9es non structur\u00e9es qui se trouvent dans des syst\u00e8mes de partage de fichiers, des sites SharePoint, et ainsi de suite. Ce sujet pourra \u00eatre abord\u00e9 en d\u00e9tail dans un autre billet.<\/p>\n Active Directory stocke trois grands types d\u2019objets\u00a0:<\/p>\n Ces types d\u2019objets constituent les Principes de s\u00e9curit\u00e9 (\u00ab\u00a0Security Principals\u00a0\u00bb) d\u2019Active Directory, et vous devez les g\u00e9rer avec le plus grand soin afin de bien prot\u00e9ger vos donn\u00e9es.<\/p>\n Les informations de ce billet concernent les services de domaine Active Directory (AD\u00a0DS, Active Directory Domain Services) pour les types de d\u00e9ploiements suivants\u00a0:<\/p>\n Cette information ne concerne pas les d\u00e9ploiements effectu\u00e9s enti\u00e8rement dans le Cloud qui utilisent le mod\u00e8le SaaS (\u00ab\u00a0Software as a Service), mais des recommandations \u00e9quivalentes s\u2019appliqueront dans ce cas.<\/p>\n Les Principes de s\u00e9curit\u00e9 (c.-\u00e0-d. les comptes utilisateurs, groupes de s\u00e9curit\u00e9 et comptes d\u2019ordinateurs) constituent le point de d\u00e9part de la protection des donn\u00e9es dans Active Directory. En outre, vous devez bien comprendre les menaces auxquelles vous \u00eates confront\u00e9. L\u2019\u00e9poque des pirates informatiques amateurs ou des simples interruptions de service semble r\u00e9volue (mais ces menaces ne doivent pas \u00eatre compl\u00e8tement ignor\u00e9es, comme en t\u00e9moignent les \u00e9v\u00e9nements r\u00e9cents au Royaume-Uni). Les environnements de TI mal s\u00e9curis\u00e9s sont une v\u00e9ritable mine d\u2019or pour les organisations criminelles. Les cybercriminels souhaitent extraire vos donn\u00e9es et demeurer incognito dans votre syst\u00e8me le plus longtemps possible (de nos jours, les attaquants restent en moyenne 200 jours dans le r\u00e9seau d\u2019une victime avant d\u2019\u00eatre d\u00e9tect\u00e9s. Dans son entrevue de 2014 \u00e0 l\u2019\u00e9mission 60 Minutes, <\/em>James Comey, le directeur du FBI, disait qu\u2019il existait deux types de grandes entreprises\u00a0: celles qui ont \u00e9t\u00e9 victimes de piratage, et celles qui ne savent pas qu\u2019elles ont \u00e9t\u00e9 victimes de piratage). Les malfaiteurs ont tendance \u00e0 cibler les comptes avec des privil\u00e8ges d\u2019administrateur ou ceux qui n\u2019ont pas \u00e9t\u00e9 utilis\u00e9s r\u00e9cemment (autrement dit, les comptes inactifs). Une fois qu\u2019ils ont pris le contr\u00f4le de ces comptes, ils tentent ensuite d\u2019accro\u00eetre leurs privil\u00e8ges.<\/p>\n Vous pensez peut-\u00eatre que vos mesures de s\u00e9curit\u00e9 sont infaillibles, mais il y a fort \u00e0 parier que votre syst\u00e8me pr\u00e9sente des failles. Peut-\u00eatre que vos utilisateurs cliquent sur des liens ou ouvrent des documents joints dans des courriels non sollicit\u00e9s ou encore que vos employ\u00e9s utilisent leurs ordinateurs portables \u00e0 la maison d\u2019une mani\u00e8re impr\u00e9vue. Ce ne sont l\u00e0 que quelques exemples des menaces continues qui existent au sein de votre soci\u00e9t\u00e9. Vous devez pr\u00e9supposer que des inconnus et des gens que vous ne voulez pas dans votre r\u00e9seau vont tenter d\u2019acc\u00e9der \u00e0 vos donn\u00e9es par tous les moyens possibles. Il se peut m\u00eame que ce soit d\u00e9j\u00e0 le cas, d\u2019o\u00f9 la n\u00e9cessit\u00e9 d\u2019exercer une vigilance extr\u00eame, en utilisant des syst\u00e8mes automatis\u00e9s<\/a>, lorsque possible.<\/p>\n Dans un environnement Microsoft hybride ou sur site, les comptes d\u2019utilisateurs et appareils sont stock\u00e9s dans Active Directory. La gouvernance des acc\u00e8s pour les identit\u00e9s est contr\u00f4l\u00e9e par les membres des groupes de s\u00e9curit\u00e9 Active Directory, qui sont g\u00e9r\u00e9s sur site et dupliqu\u00e9s dans Azure Active Directory. L\u2019acc\u00e8s \u00e0 partir des appareils mobiles est contr\u00f4l\u00e9 dans Microsoft Intune<\/a> (d\u2019autres solutions de gestion des appareils mobiles sont disponibles, mais Intune est celle qui s\u2019int\u00e8gre le mieux avec Active Directory et System Center Configuration Manager).<\/p>\n Si vos donn\u00e9es \u00e9taient stock\u00e9es dans les coffres d\u2019une chambre forte, vous auriez besoin d\u2019entrer dans la chambre forte et d\u2019avoir une cl\u00e9 pour acc\u00e9der \u00e0 vos coffres. C\u2019est le personnel de s\u00e9curit\u00e9 qui vous donnerait cet acc\u00e8s. Ce syst\u00e8me est l\u2019\u00e9quivalent d\u2019un compte d\u2019utilisateur dans Active Directory. Ce compte sert \u00e0 vous identifier (authentification) et \u00e0 vous accorder le droit d\u2019\u00eatre membre d\u2019un groupe de s\u00e9curit\u00e9 qui gouverne l\u2019acc\u00e8s aux donn\u00e9es (autorisation). Le personnel de s\u00e9curit\u00e9 de la chambre forte correspond aux utilisateurs membres des groupes privil\u00e9gi\u00e9s dans Active Directory. Vous devez donc faire preuve d\u2019une grande vigilance en d\u00e9terminant quelles personnes auront acc\u00e8s \u00e0 la chambre forte (les gens ayant des comptes d\u2019utilisateurs Active Directory) et qui aura les cl\u00e9s des coffres (les membres des groupes de s\u00e9curit\u00e9). Par-dessus tout, vous devez vous assurer que vous pouvez faire confiance \u00e0 votre personnel de s\u00e9curit\u00e9 (membres des groupes privil\u00e9gi\u00e9s), puisque ces gens ont le contr\u00f4le absolu sur tout!<\/p>\n Comment faire, alors, pour prot\u00e9ger le contenu de vos coffres, maintenant et dans le futur? La solution simple ne consiste pas \u00e0 embaucher un personnel de s\u00e9curit\u00e9! Optez plut\u00f4t pour la gestion des comptes privil\u00e9gi\u00e9s (PAM) en mode juste \u00e0 temps. De cette fa\u00e7on, l\u2019acc\u00e8s administrateur \u00e0 Active Directory est accord\u00e9 uniquement lorsque n\u00e9cessaire et le moins longtemps possible, sous r\u00e9serve d\u2019une approbation. C\u2019est un peu comme si vous alliez \u00e0 la banque pour ouvrir un coffre fort, car un membre du personnel de s\u00e9curit\u00e9 doit vous donner acc\u00e8s \u00e0 la chambre forte \u00e0 un moment pr\u00e9cis et pour une p\u00e9riode de temps limit\u00e9e.<\/p>\n Outre la configuration PAM, vous devez exercer un contr\u00f4le rigoureux des acc\u00e8s aux groupes d\u2019administration de la s\u00e9curit\u00e9 et de l\u2019attribution des membres \u00e0 ces groupes. Dans Active Directory, ces groupes comprennent les Administrateurs du domaine (Domain Admins) et les Administrateurs de l\u2019entreprise (Enterprise Admins). Consid\u00e9rez les membres d\u2019un groupe d\u2019administration de la s\u00e9curit\u00e9 Active Directory comme le personnel d\u2019une banque qui poss\u00e8de la cl\u00e9 passe-partout\u00a0: non seulement ces individus peuvent-ils entrer dans la chambre forte, mais ils peuvent aussi ouvrir n\u2019importe quel coffre qui s\u2019y trouve. En contr\u00f4lant l\u2019acc\u00e8s aux groupes de s\u00e9curit\u00e9 et l\u2019attribution des membres, vous luttez contre les tentatives des attaquants qui cherchent \u00e0 accro\u00eetre les privil\u00e8ges des comptes qu\u2019ils ont compromis.<\/p>\nD\u00e9terminez quelles donn\u00e9es vous voulez prot\u00e9ger<\/h2>\n
Comment Active Directory peut vous aider avec la gouvernance de l\u2019acc\u00e8s aux donn\u00e9es<\/h2>\n
\n
Port\u00e9e<\/h2>\n
\n
Analyse des cybermenaces<\/h2>\n
Le r\u00f4le des services de domaine Active Directory<\/h2>\n
Protection des comptes<\/h2>\n
Le r\u00f4le de la gestion des identit\u00e9s pour la gouvernance de l\u2019acc\u00e8s aux donn\u00e9es<\/h2>\n