PAM Privileged Access Management.

Pourquoi les comptes à privilèges constituent un problème à part

Tout programme de gestion des identités commence par les utilisateurs ordinaires : qui ils sont, ce qu'ils peuvent ouvrir, comment ils s'authentifient. La gestion des accès à privilèges (PAM) traite des comptes qui se situent au-dessus de cette couche. Administrateurs de domaine, comptes root et administrateurs locaux, propriétaires de bases de données, consoles d'hyperviseur, identités root dans le cloud, comptes de service qui s'exécutent sans surveillance, et comptes de secours conservés pour les urgences.

Ces identités peuvent modifier la configuration, lire ou détruire des données, désactiver la journalisation et créer de nouveaux comptes. Le rayon d'impact d'un seul identifiant administrateur compromis correspond à l'ensemble de l'environnement, ce qui explique pourquoi le PAM est traité comme une discipline à part entière plutôt que comme une fonctionnalité de l'IAM général.

Le geste fondateur du PAM consiste à cesser de considérer les identifiants à privilèges comme quelque chose qu'une personne connaît simplement. Au lieu de cela, le secret réside dans un coffre-fort, l'accès est demandé et approuvé, la session est relayée par une passerelle contrôlée, et tout ce que fait l'utilisateur à privilèges est enregistré. L'humain ne voit souvent jamais le mot de passe. Cette séparation entre l'opérateur et le secret est ce qui rend l'activité à privilèges auditable et révocable.

Ce qu'un programme PAM contrôle réellement

En pratique, un déploiement PAM mature combine plusieurs mécanismes qui correspondent directement à ce que les auditeurs s'attendent à voir :

• Mise en coffre-fort des identifiants : les mots de passe à privilèges, les clés SSH et les secrets d'API sont stockés de manière centralisée, font l'objet d'une rotation automatique et ne sont jamais intégrés dans des scripts ou des fichiers de configuration.
• Courtage et enregistrement des sessions : les administrateurs se connectent via un proxy qui injecte l'identifiant, de sorte que la session peut être surveillée, enregistrée et interrompue sans que l'opérateur ne détienne jamais le secret.
• Élévation juste-à-temps : les droits sont accordés pour une tâche définie et une fenêtre définie, puis révoqués, plutôt que de rester attribués au compte de manière permanente.
• Procédures de secours (break-glass) : les comptes d'urgence sont scellés, sous alarme et passés en revue après chaque utilisation, de sorte qu'ils existent pour de véritables incidents sans devenir une porte dérobée silencieuse.
• Découverte et responsabilité : l'outil détecte les comptes à privilèges et les comptes de service sur l'ensemble du parc et rattache chaque action à privilèges à un humain nommément identifié.

La place du PAM dans l'IAM et le paysage réglementaire

Le PAM est un sous-ensemble de la gestion des identités et des accès, restreint aux comptes qui portent le plus de risque, et c'est la pointe avancée du principe du moindre privilège. L'IAM général se demande si une personne devrait avoir accès tout court. Le PAM part du principe que l'accès est légitime mais exige qu'il soit temporaire, courté, journalisé et réversible. Les attaquants comprennent cette hiérarchie : après une première implantation par hameçonnage ou via un service exposé, l'objectif suivant est de remonter vers un compte à privilèges, car c'est ce qui transforme un seul hôte en contrôle du domaine.

Les superviseurs le savent aussi. En vertu de la directive NIS 2, le contrôle d'accès et la gestion des comptes à privilèges relèvent pleinement des mesures de gestion des risques de cybersécurité que les entités essentielles et importantes doivent mettre en œuvre. Le règlement DORA fixe des attentes comparables pour le secteur financier, où l'authentification forte et le contrôle strict des accès à privilèges font partie du cadre de gestion du risque lié aux TIC.

L'Annexe A de l'ISO/IEC 27001 traite des droits d'accès à privilèges et de la gestion des informations secrètes d'authentification en tant que contrôles nommés. Lors d'un audit, l'accès à privilèges est invariablement l'un des domaines examinés le plus durement, car un contrôle faible à ce niveau compromet toutes les autres protections.

Modes de défaillance courants

Les programmes PAM échouent de manière prévisible. Comptes de service avec mots de passe sans expiration codés en dur dans l'automatisation. Comptes admin partagés où personne ne peut dire qui a agi. Droits d'administrateur local permanents sur chaque poste de travail. Une adoption du coffre-fort qui couvre les administrateurs interactifs mais laisse de côté les identités machine. La discipline ne vaut que par sa couverture, de sorte que le travail concret consiste en une découverte continue et le retrait régulier des privilèges permanents plutôt qu'en un déploiement unique.