Qu’est-ce que le principe du moindre privilège (PoLP) ?

Le principe du moindre privilège, également connu sous le nom de POLP (Principle of Least Privilege), est une règle de sécurité informatique qui stipule que chaque utilisateur ou groupe d’utilisateurs ne doit avoir que les autorisations nécessaires pour effectuer ses tâches.

En d’autres termes, moins un utilisateur a de pouvoir, moins il risque de causer des dommages à l’entreprise.

Pourquoi est-ce important ?

Le PoLP est important car il aide à protéger les systèmes et les données de l’entreprise contre les cyberattaques.

Lorsqu’un utilisateur a trop d’autorisations, il est plus susceptible de faire des erreurs ou d’être victime d’une attaque. Par exemple, un utilisateur ayant accès aux serveurs pourrait installer des logiciels malveillants ou voler des informations confidentielles.

Comment l’appliquer ?

Le PoLP peut être appliqué à n’importe quel système informatique, qu’il soit local ou dans le cloud.

Le moindre privilège dans la pratique

Que se passe-t-il si un utilisateur doit faire quelque chose qu’il ne peut normalement pas faire ?

Le principe du moindre privilège stipule que chaque utilisateur ne doit disposer que des autorisations nécessaires à l’exécution de ses tâches. Le PoLP est important car il aide à protéger les systèmes et les données de l’entreprise contre les cyberattaques.

Cependant, il existe des cas où un utilisateur peut avoir besoin de contourner les restrictions de sécurité pour effectuer une activité non planifiée. Par exemple, un utilisateur peut avoir besoin de créer des enregistrements d’un nouveau client.

Dans ces cas, l’administrateur système peut accorder à l’utilisateur un accès temporaire à un rôle avec des privilèges plus élevés.

Comment cela se fait-il en toute sécurité ?

Idéalement, l’administrateur système devrait créer un travail qui ajoute automatiquement l’utilisateur au rôle et qui, après un temps défini, le supprime du rôle.

Par exemple, l’administrateur pourrait donner à l’utilisateur des privilèges pendant deux heures puis, automatiquement, lui retirer les privilèges après ce délai.

Cela permet de s’assurer que l’utilisateur n’a accès aux autorisations nécessaires que tant qu’il en a besoin.

Qu’en est-il des groupes d’utilisateurs ?

En général, il est plus sûr d’accorder des autorisations à des groupes d’utilisateurs qu’à des utilisateurs individuels.

En effet, il est plus difficile pour un attaquant de compromettre un groupe complet d’utilisateurs qu’un seul utilisateur.

Par exemple, si Jean est comptable, au lieu d’accorder des privilèges de création de modèles à Jean, l’administrateur pourrait accorder ces privilèges au groupe de comptables.

Et les processus ou les services ?

Le principe de moindre privilège s’applique également aux processus et services.

Si un processus ou un service fonctionne avec un compte, ce compte doit avoir le moins de privilèges possible.

Cela aide à réduire les dommages qu’un attaquant pourrait causer s’il compromettait le compte.

Importance continue dans un monde en mutation

Un grand nombre d’entreprises, suite à la pandémie de COVID a considérablement augmenté le nombre d’employés travaillant à domicile. Avant, nous n’avions qu’à nous soucier des ordinateurs au sein de l’entreprise. Maintenant, la sécurité de chaque ordinateur portable ou téléphone mobile qui accède à notre réseau peut être une violation de la sécurité.

Pour éviter les catastrophes, nous devons créer des normes de sécurité et former le personnel pour l’empêcher d’entrer dans des sites interdits avec les ordinateurs de l’entreprise ou les ordinateurs qui accèdent à votre entreprise. C’est pourquoi il faut éviter de donner des privilèges d’administrateur et d’appliquer le PoLP aux utilisateurs dans la mesure du possible. C’est pourquoi la confiance 0 est appliquée, en donnant le moins de privilèges possible. Si l’utilisateur ne s’authentifie pas, aucun privilège ne lui est accordé.

Le personnel informatique doit vérifier la sécurité des ordinateurs portables de l’utilisateur et voir comment empêcher les attaques contre les serveurs d’entreprise ou dans le cloud provenant de votre personnel travaillant à distance.

Complexités dans la mise en œuvre

Cependant, appliquer le moindre privilège de sécurité est aujourd’hui assez complexe. Les utilisateurs ayant un compte ont accès à une infinité d’applications différentes.

Ils peuvent également avoir besoin d’accéder à des applications Web qui résident sur des serveurs Linux, il est donc nécessaire de créer des rôles et des privilèges dans diverses applications. Il est très courant que plusieurs fonctionnalités de base ne fonctionnent pas avec les privilèges de cybersécurité minimum, il est donc tentant d’accorder des privilèges supplémentaires.

Donner des privilèges minimaux à une seule application est déjà compliqué. Accorder du PoLP à plusieurs systèmes qui interagissent les uns avec les autres devient encore plus complexe. Des contrôles de qualité de sécurité sont nécessaires. Les ingénieurs informatiques doivent effectuer des tests de sécurité et patcher les défaillances de sécurité.

Comptes privilégiés : Définition et types

Les comptes privilégiés ou super comptes sont ces comptes qui ont accès à tout.

Ces comptes ont privilèges d’administrateur. Les comptes sont généralement utilisés par les gestionnaires ou par les plus hauts responsables de l’équipe informatique.

Il faut être très prudent avec ces comptes. Si un pirate ou un Malware parvient à accéder à ces mots de passe, il est possible de détruire tout le système d’exploitation ou toute la base de données.

Le nombre d’utilisateurs ayant accès à ces comptes doit être minimal. Normalement, seul le responsable informatique aura des comptes super-utilisateur avec tous les privilèges et la haute direction aura de larges privilèges, mais en aucun cas des privilèges totaux.

Sur les systèmes d’exploitation Linux et Mac par exemple, le superutilisateur est appelé root. Dans le système Windows, il est appelé Administrateur.

Par exemple, notre compte Windows par défaut ne fonctionne pas avec tous les privilèges. Si nous voulons exécuter un fichier avec des comptes d’administrateur, nous devons faire un clic droit sur le fichier exécutable et sélectionner l’option Exécuter en tant qu’administrateur.

Ce privilège d’exécution en tant qu’administrateur n’est utilisé que dans des cas spéciaux d’installation et ne doit pas être utilisé à tout moment.

Pour empêcher un pirate ou une personne malveillante d’accéder à ces utilisateurs, il est recommandé de respecter ces mesures de sécurité :

• Utilisez un long mot de passe complexe qui mélange majuscules, minuscules, chiffres et caractères spéciaux.
• Il essaie également de changer le mot de passe de ces utilisateurs régulièrement. Par exemple, changer le mot de passe tous les mois ou tous les deux mois.
• Il n’est pas superflu d’utiliser un bon anti-virus pour détecter et prévenir une attaque et également mettre en place un pare-feu (firewall en anglais) pour éviter les attaques d’inconnus.
• Évitez toujours d’ouvrir des courriels et des pièces jointes d’inconnus ou d’accéder à des pages Web dont la fiabilité est douteuse. Ces attaques peuvent porter atteinte aux comptes. Dans la mesure du possible, ne jamais naviguer avec des supercomptes d’utilisateurs ni utiliser ces comptes à moins que cela ne soit nécessaire.

Comptes Cloud Privilégiés

Aujourd’hui, une grande quantité d’informations est gérée dans le cloud. Nous couvrirons la gestion des comptes sur les principales plateformes telles que AWS, Azure de Microsoft et Google Cloud.

AWS utilise le type d’authentification IAM (Identity and Access Management) qui permet de créer et de gérer des utilisateurs. Il prend également en charge l’authentification multifacteur (MFA) qui nécessite 2 méthodes pour valider l’utilisateur et ainsi entrer, augmentant ainsi la sécurité.

Sur AWS, il existe un utilisateur root qui est un super utilisateur avec tous les privilèges. Avec cet utilisateur, vous devez créer d’autres utilisateurs et le protéger en l’utilisant le moins possible.

Google Cloud fournit également un système IAM et aussi le KMS (Service de gestion de clés) qui permet de gérer les clés.

Selon l’application cloud, il existe des super utilisateurs administrateurs des bases de données, des systèmes d’analyse, des sites Web, de l’IA et d’autres ressources.

Si, par exemple, vous êtes un utilisateur qui n’a besoin que de voir les rapports des tables d’une base de données, vous n’avez pas besoin d’avoir accès à la mise à jour ou à l’insertion de nouvelles données. Tous ces privilèges doivent être soigneusement planifiés par le service informatique de sécurité.

Vecteurs communs de menaces privilégiées

Si le PoLP n’est pas appliqué, si un hacker entre dans le système, il pourrait accéder à des informations très sensibles à l’entreprise en obtenant le mot de passe d’un utilisateur. Dans de nombreux cas, ces pirates volent l’information et demandent de l’argent de rançon.

Dans d’autres situations, des utilisateurs malveillants au sein de l’entreprise pourraient vendre des informations précieuses sur l’entreprise. Si nous appliquons le PoLP, ces risques peuvent être considérablement réduits.

Défis pour appliquer le moindre privilège

Il n’est pas facile d’appliquer le PoLP dans les entreprises. Surtout si vous leur avez donné des privilèges d’administrateur au départ et maintenant que vous avez appris les risques, vous voulez leur retirer les privilèges. Nous devons faire comprendre à l’utilisateur que c’est dans l’intérêt de l’entreprise de protéger nos informations et qu’un grand pouvoir implique une grande responsabilité. Que si une attaque de l’entreprise se produit, la réputation des employés et de l’entreprise est en jeu. Expliquez-les que la sécurité dépend de tout le monde.

Souvent, nous donnons des privilèges excessifs par paresse de ne donner que le moindre privilège de cybersécurité. Il est urgent de rechercher, d’optimiser et de réduire les privilèges pour augmenter la sécurité.

Un autre problème commun est qu’avoir des privilèges restreints réduit la productivité de l’utilisateur qui finit par être dépendant de son supérieur par manque de privilèges. Cela peut causer de la frustration chez les utilisateurs et de l’inefficacité dans l’entreprise. Nous devons voir comment atteindre un équilibre en termes d’efficacité sans affecter la sécurité.

Avantages pour la sécurité et la productivité

En appliquant le principe de l’accès restreint, nous réduisons la surface d’attaque. Les chances de recevoir une attaque de Malware sont également réduites et moins de temps est perdu à essayer de récupérer les données après une attaque.

Par exemple, Equifax, une société de crédit a été victime d’un ransomware en 2017. Cette attaque a touché 143 millions de clients. Equifax a dû payer 700 millions de dollars d’amendes et de réparations. Il a également dû verser des indemnités aux utilisateurs.

• Réduites le risque de cyberattaques.
• Protégez les données confidentielles.
• Réduites l’impact des attaques.

Principe de moindre privilège et bonnes pratiques

Afin de respecter les normes, il est conseillé de procéder à un audit et de vérifier les privilèges des utilisateurs et la sécurité en général. Une vérification interne ou un audit externe peut être effectué.

Vous pouvez effectuer des tests de sécurité pour voir si votre entreprise respecte ces normes. Voici quelques-unes des normes les plus connues :

• CIS est un Centre pour la sécurité de l’information. Il contient des recommandations et des bonnes pratiques pour protéger les systèmes et les données à l’échelle mondiale.
• NIST Cybersecurity Framework fournit un cadre de sécurité de l’Institut national des normes et de la technologie.
• SOC 2 fournit un rapport d’évaluation des contrôles de sécurité d’une entreprise ou d’une organisation.

Privilège inférieur et Zéro Confiance

Séparer les privilèges, c’est donner aux utilisateurs ou aux comptes uniquement les privilèges dont ils ont besoin pour réduire le risque. Les politiques de sécurité Just-In-Time (JIT) réduisent les risques en éliminant les privilèges excessifs, en automatisant les processus de sécurité et en gérant les utilisateurs privilégiés.

JIT signifie donner des privilèges uniquement lorsque vous en avez besoin. Autrement dit, qu’elles soient temporaires. Par exemple, si un utilisateur n’a besoin d’accéder à une base de données que pendant 2 heures, vous pouvez créer un script qui lui attribue des privilèges pendant cette période, puis ces privilèges sont supprimés.

Pour mettre en œuvre le JIT, vous devez :

• Créer un plan avec les politiques de sécurité.
• Mettre en œuvre le plan en appliquant le PoLP et le JIT avec des contrôles pouvant inclure un accès multifacteur et un contrôle d’accès avec des rôles.
• Il est important de former les employés à la sécurité et d’expliquer ces concepts afin qu’ils comprennent non seulement comment les appliquer, mais aussi pourquoi les appliquer.
• Et enfin, il est important d’appliquer des audits. Ce sujet a déjà été abordé au point 10.

Il convient également de superviser les autorisations pour voir qui a des privilèges supplémentaires et nous voyons également quelles ressources sont accessibles pour voir si des ajustements sont nécessaires.

Solutions pour la mise en œuvre du moindre privilège

Comme nous l’avons mentionné précédemment, pour augmenter la sécurité, il faut segmenter le réseau afin de réduire les dommages en cas de violation de votre sécurité. Segmenter le réseau, c’est diviser le réseau en petits sous-réseaux.

Les privilèges accordés aux utilisateurs doivent également être supervisés.

Enfin, les politiques de sécurité doivent être intégrées aux technologies pour créer un plan administratif en fonction du logiciel que vous avez.

Comment mettre en œuvre le moindre privilège de manière efficace

Pour mettre en œuvre le principe d’octroi d’accès, le système proposé doit être mis en œuvre sur des serveurs de test. Il faut demander au personnel de faire pendant un certain temps des tests de travaux réels sur le système.

Une fois que les erreurs sont corrigées ou que les plaintes des utilisateurs sont résolues, il convient de mettre le système en production avec un minimum de privilèges. Une période d’essai d’au moins un mois est recommandée où les utilisateurs testent le système et ont l’ancien système à portée de main.

Dans la plupart des cas, l’ancien et le nouveau système coexistent pendant des mois jusqu’à ce que le nouveau système soit approuvé avec la sécurité de moindre privilège mise en œuvre.

Conclusion

Le principe du moindre privilège : une mesure simple mais efficace pour la sécurité informatique.

Dans un monde de plus en plus numérique, la sécurité informatique est essentielle pour les entreprises de toutes tailles. Les cyberattaques sont de plus en plus fréquentes et sophistiquées, et peuvent causer des dommages importants aux entreprises.

L’une des mesures les plus importantes que les entreprises peuvent prendre pour protéger leurs systèmes et leurs données contre les cyberattaques est d’appliquer le principe du moindre privilège. Le principe du moindre privilège stipule que chaque utilisateur ou groupe d’utilisateurs ne doit disposer que des autorisations nécessaires à l’exécution de ses tâches.

Appliquer le principe du moindre privilège est une mesure simple mais efficace. En n’accordant aux utilisateurs que les autorisations nécessaires, les entreprises réduisent le risque qu’un attaquant compromette des systèmes et des données sensibles.

Conseils pour appliquer le principe du moindre privilège :

• Identifiez les autorisations nécessaires pour chaque tâche.
• Donnez des autorisations à des groupes d’utilisateurs plutôt qu’à des utilisateurs individuels.
• Réduites les privilèges des comptes de processus et de services.
• Vérifiez régulièrement les autorisations des utilisateurs.