Aller au contenu
Initiative Ariovis
Contact

Découverte des privilèges • Ariovis

Les 15 accès privilégiés à vérifier avant de considérer votre inventaire comme sérieux

Une checklist des angles morts : où chercher, quel pouvoir confirmer et quelle première décision préparer. Une catégorie vérifiée n’est pas une catégorie sécurisée.

15 Non vérifié

0 Vérifié

0 À analyser

0 Non applicable

  1. 1. Domain Admins et rôles AD critiques

    Pourquoi c’est oublié
    Les groupes évidents ne couvrent pas toutes les appartenances ni tous les usages.
    Exemple de risque
    Un DA se connecte depuis un poste bureautique compromis.
    Où rechercher, avec autorisation
    AD, référentiel IAM et équipe annuaire.
    Informations à recueillir
    Membres effectifs, propriétaires, postes, cibles et mode d’authentification.
    Première décision
    Séparer usages et sécuriser le chemin critique.

    État : Non vérifié

    Non renseigné

  2. 2. Délégations et permissions indirectes AD

    Pourquoi c’est oublié
    Une ACL ou un groupe imbriqué peut donner un pouvoir sans rôle au nom connu.
    Exemple de risque
    Une délégation permet de modifier un objet ou un groupe qui conduit à un droit critique.
    Où rechercher, avec autorisation
    Consoles autorisées AD, délégations et architectes annuaire.
    Informations à recueillir
    Objets, droits, héritages, groupes et chaîne de pouvoir à confirmer.
    Première décision
    Retirer la délégation injustifiée après validation ; conserver la preuve.

    État : Non vérifié

    Non renseigné

  3. 3. Administrateurs des hyperviseurs

    Pourquoi c’est oublié
    Les comptes plateforme restent hors de l’inventaire des comptes Windows.
    Exemple de risque
    Console ou disques des VM de DC accessibles selon les droits réellement attribués.
    Où rechercher, avec autorisation
    Console virtualisation, inventaire VM et équipe virtualisation.
    Informations à recueillir
    VM contrôlées, rôles console/disques/API et chemins de secours.
    Première décision
    Prioriser selon les actifs contrôlés, pas toute virtualisation par défaut.

    État : Non vérifié

    Non renseigné

  4. 4. Comptes locaux des serveurs Windows

    Pourquoi c’est oublié
    Ils ne sont pas tous représentés comme utilisateurs du domaine.
    Exemple de risque
    Secret réutilisé d’un serveur à l’autre et déplacement latéral.
    Où rechercher, avec autorisation
    Inventaire Windows, politiques LAPS et équipe systèmes.
    Informations à recueillir
    Compte concerné, périmètre LAPS, lecteurs du secret et rotation vérifiée.
    Première décision
    Évaluer la protection native et le risque résiduel avant ajout de contrôles.

    État : Non vérifié

    Non renseigné

  5. 5. Comptes locaux des postes d’administration

    Pourquoi c’est oublié
    Le poste est traité comme un outil, pas comme une ressource à protéger.
    Exemple de risque
    Un droit local permet de compromettre le terminal d’un administrateur.
    Où rechercher, avec autorisation
    Référentiel postes, gestion des terminaux et équipe poste de travail.
    Informations à recueillir
    Droits locaux, protection du terminal, accès et propriétaire.
    Première décision
    Réduire les droits locaux injustifiés et vérifier le poste autorisé.

    État : Non vérifié

    Non renseigné

  6. 6. root et administrateurs Linux

    Pourquoi c’est oublié
    L’annuaire ne recense pas toujours les identités et accès locaux.
    Exemple de risque
    root partagé reste accessible par console ou SSH.
    Où rechercher, avec autorisation
    Référentiels Linux, configurations autorisées et équipe Linux.
    Informations à recueillir
    Identités, groupes, authentification, accès console et propriétaires.
    Première décision
    Justifier root et privilégier le parcours nominatif compatible.

    État : Non vérifié

    Non renseigné

  7. 7. Délégations sudo et clés SSH

    Pourquoi c’est oublié
    La clé est un moyen d’accès, pas forcément un compte supplémentaire visible.
    Exemple de risque
    Une commande sudo trop large ou une clé encore autorisée ouvre un droit élevé.
    Où rechercher, avec autorisation
    Configuration sudo et clés autorisées, équipe Linux.
    Informations à recueillir
    Commande, arguments, identité de destination, détenteur et restriction de clé.
    Première décision
    Resserer délégations, révoquer clés inutiles après validation.

    État : Non vérifié

    Non renseigné

  8. 8. Comptes de service à privilèges

    Pourquoi c’est oublié
    Le besoin historique survit aux applications qui l’avaient justifié.
    Exemple de risque
    SVC-AD-SCRIPTS conserve un pouvoir de domaine sans nécessité actuelle.
    Où rechercher, avec autorisation
    AD, référentiel applicatif et responsables applications.
    Informations à recueillir
    Consommateurs, droits effectifs, caches, propriétaire et retour arrière.
    Première décision
    Risque prioritaire : préparer puis réduire les droits ; pas rotation aveugle.

    État : Non vérifié

    Non renseigné

  9. 9. Tâches planifiées et automatisations

    Pourquoi c’est oublié
    Un script possède un accès qui n’apparaît pas comme session interactive.
    Exemple de risque
    Robot CI/CD peut modifier la livraison ou réutiliser une identité puissante.
    Où rechercher, avec autorisation
    Inventaire tâches, consoles CI/CD et équipes livraison/exploitation.
    Informations à recueillir
    Identité d’exécution, pouvoir d’édition, secrets référencés sans valeur et validations.
    Première décision
    Séparer modification, approbation et exécution ; limiter les permissions.

    État : Non vérifié

    Non renseigné

  10. 10. Administration Entra ID et Azure

    Pourquoi c’est oublié
    Le rôle actif seul masque les habilitations éligibles et les identités fédérées.
    Exemple de risque
    Une permission de gestion de rôle peut étendre le pouvoir d’une identité.
    Où rechercher, avec autorisation
    Entra, Azure, IAM et équipe cloud via consultations autorisées.
    Informations à recueillir
    Rôles actifs/éligibles, portée, conditions, fédération et droits effectifs.
    Première décision
    Revoir combinaison de pouvoirs et activation temporaire lorsqu’adaptée.

    État : Non vérifié

    Non renseigné

  11. 11. Rôles et identités AWS ou autres clouds

    Pourquoi c’est oublié
    Les workloads et rôles assumés sont absents d’une simple liste d’utilisateurs.
    Exemple de risque
    Une identité peut modifier une politique ou déléguer un rôle sensible.
    Où rechercher, avec autorisation
    Consoles IAM validées, configurations et équipes cloud.
    Informations à recueillir
    Relations de confiance, permissions, conditions, limites et identités de workload.
    Première décision
    Analyser la chaîne réelle et retirer la combinaison dangereuse.

    État : Non vérifié

    Non renseigné

  12. 12. Administrateurs de bases de données

    Pourquoi c’est oublié
    Le compte intégré est confondu avec le propriétaire de l’application.
    Exemple de risque
    DB-ADMIN partagé donne plus de droits que la maintenance ne l’exige.
    Où rechercher, avec autorisation
    Catalogues de permissions, consoles BDD et équipe DBA.
    Informations à recueillir
    Rôles, instance, utilisateurs du compte, connexions et dépendances applicatives.
    Première décision
    Réduire la portée et reconstruire l’identité de l’intervenant.

    État : Non vérifié

    Non renseigné

  13. 13. Consoles de sauvegarde et outils de sécurité

    Pourquoi c’est oublié
    Le contrôle adjacent n’est pas considéré comme administration d’un actif critique.
    Exemple de risque
    Export ou restauration d’une copie de DC donne un pouvoir sensible selon l’architecture.
    Où rechercher, avec autorisation
    Consoles, référentiel sauvegarde/sécurité et responsables outils.
    Informations à recueillir
    Rôles, export, restauration, agents, accès aux copies et approbations.
    Première décision
    Isoler les fonctions critiques et limiter les droits de contrôle.

    État : Non vérifié

    Non renseigné

  14. 14. Interfaces réseau et hors bande

    Pourquoi c’est oublié
    La console matérielle reste dans un réseau de gestion mal inventorié.
    Exemple de risque
    OOB-HOST peut agir sur un hôte critique par console ou démarrage.
    Où rechercher, avec autorisation
    CMDB, interfaces iLO/iDRAC équivalentes et équipes réseau/matériel.
    Informations à recueillir
    Origines réseau, rôles, firmwares gérés, cibles physiques et secours.
    Première décision
    Filtrer et authentifier le chemin ; maintenir un secours contrôlé.

    État : Non vérifié

    Non renseigné

  15. 15. Prestataires et comptes d’urgence

    Pourquoi c’est oublié
    La fin de contrat ou le secours déroge au cycle de vie ordinaire.
    Exemple de risque
    EXT-PERM conserve des droits ; un secours critique devient un accès habituel.
    Où rechercher, avec autorisation
    Référentiel contrats, VPN, annuaires, procédures RUN et propriétaires.
    Informations à recueillir
    Mandat, fin de droit, durée, procédure d’activation et traces.
    Première décision
    Révoquer accès injustifiés et tester activation puis clôture du secours.

    État : Non vérifié

    Non renseigné