Enregistrer une session privilégiée ne suffit pas : quelles preuves conserver et comment les exploiter ?

Une capture peut aider à reconstituer une intervention, reconnaître les ressources consultées, investiguer après un incident et étayer une revue de sécurité. Lorsque plusieurs personnes utilisent un compte technique, le lien avec l’identité authentifiée à l’entrée doit rester vérifiable ; la seule vidéo ne le reconstruit pas automatiquement.

L’enregistrement n’empêche pas automatiquement une action malveillante. Une intervention peut produire des effets après la session, déclencher une tâche distante ou utiliser un autre chemin. La preuve décrit ce qui a été observé, pas une absence générale d’activité dangereuse.

SSH : terminal, commandes et conséquences

Un enregistrement de terminal conserve le flux visible, pas nécessairement une sémantique complète des commandes. Une commande non interactive, un tunnel, SFTP/SCP, un script ou une tâche lancée en arrière-plan peuvent demander une autre journalisation ou être hors du mode retenu. L’audit du système cible et les journaux d’élévation complètent la capture ; aucun n’est supposé exhaustif par défaut.

RDP : ce que montre une vidéo

La vidéo permet une relecture de l’interaction observée. Elle n’explique pas seule tous les changements du système, ne rend pas automatiquement chaque action recherchable et peut exposer des données personnelles ou des secrets affichés. Redirection de disques, presse-papiers et transferts exigent des politiques et des tests propres.

Web et consoles cloud : ne pas inventer une capture

Un accès web peut utiliser un contrôle navigateur ou une passerelle compatible ; la prise en charge est à vérifier. La console et les API cloud disposent de leurs événements natifs, rôles et jetons. Une session RDP vers une VM ne couvre pas l’administration du tenant cloud, de Kubernetes ou d’une identité applicative.

Les capacités varient selon les produits, protocoles, clients et configurations. La documentation Azure Bastion citée en référence décrit par exemple ses propres conditions de capture et exclusions ; elle ne prouve pas la couverture de tous les usages RDP/SSH.

Synchroniser les horloges et conserver fuseau, source et précision. Un rapprochement ne doit pas supposer des timestamps parfaitement identiques. Protéger les transferts et le stockage, limiter suppression et modification, distinguer administrateur du PAM et lecteur des preuves, et journaliser les consultations sensibles.

Le dossier peut associer PAM, IAM, ITSM, système cible, filtrage et événements cloud. Vérifier que les références sont encore accessibles et que la politique de conservation ne détruit pas une partie indispensable à l’investigation.

1. Définir les cas. Accès inhabituel, changement sensible, incident cible ou intervention contestée ; fixer qui reçoit et qualifie le signal.
2. Identifier les sessions. Partir de la personne, de la cible et de la fenêtre, sans oublier les chemins hors PAM.
3. Rechercher les événements. Examiner authentification, autorisation, élévation, commandes et alertes effectivement disponibles.
4. Relire la preuve. Décrire l’observation et ses limites ; une absence d’image ne prouve pas une absence d’action.
5. Corréler. Vérifier journaux cible, cloud, identité et ticket ; qualifier les écarts d’horloge et les sources absentes.
6. Décider et documenter. Responsable, constat, niveau de confiance, décision et réaction selon la procédure.
7. Préserver. Protéger les éléments retenus selon les procédures applicables, tracer les copies et les consultations.

La revue systématique de toutes les vidéos peut dépasser les capacités de l’équipe. Choisir des cas prioritaires et un échantillonnage explicite ; suivre le délai de traitement, les signaux non qualifiés et les défauts de collecte plutôt que simuler une surveillance permanente.

Définir la finalité, les personnes concernées, la proportionnalité de la capture et les informations qui risquent d’être enregistrées. Informer les personnes selon le cadre applicable ; associer les responsables sécurité, protection des données et droit social lorsque nécessaire. Ne pas transformer une trace technique en surveillance générale sans justification.

Définir les habilitations de consultation, la séparation des rôles, les modalités d’extraction, une durée justifiée et la purge. Les besoins d’investigation, la sensibilité et les obligations applicables déterminent le choix : il n’existe pas de durée légale universelle pour toutes les vidéos PAM. Une recommandation sur les journaux n’est pas automatiquement une règle de conservation des captures.

L’enregistrement systématique de toutes les sessions n’est pas présenté ici comme une obligation. Les exclusions, informations masquées et limites de couverture doivent être connues de ceux qui utilisent la preuve.

Responsabilité éditoriale : Ariovis / Mon Premier PAM. Les figures sont des propositions pédagogiques originales. Les tests décrivent des critères à appliquer à votre architecture ; aucun résultat de recette client ni validation indépendante n’est revendiqué.

Sources officielles consultées le 23 octobre 2026. La documentation Azure illustre des capacités et limites propres à ce produit, pas une propriété de tous les bastions. Le catalogue NIST est un cadre de contrôles, pas une certification. Les recommandations CNIL ne fixent pas une durée légale universelle pour tout enregistrement.

CyberArk Blueprint, Secure Infrastructure Access / PSM, PAM FastTrack et analyses Ariovis figurent dans le cadrage conceptuel fourni. Aucun support propriétaire absent du projet n’est présenté comme directement consulté. Aucun schéma propriétaire n’est reproduit ni aucune capacité actuelle Netwrix déduite de ces figures génériques.

Pour citer : « Schéma original — Mon Premier PAM / Ariovis », titre de la figure, date de révision et lien direct. Le téléchargement ne vaut pas licence ouverte : demander une autorisation écrite pour reproduire ou adapter les figures, conformément aux mentions légales.