Découverte des privilèges • Ariovis

Modèle d’inventaire des comptes privilégiés

Une ligne par identité, pouvoir et périmètre. Téléchargez le modèle vierge ou explorez 13 situations entièrement fictives avant de construire votre propre inventaire dans votre environnement interne autorisé.

Explorer l’inventaire fictif

Comptes inventoriés: 13
Sans propriétaire connu: 1
Privilèges permanents: 13
Accès partagés: 5
Contrôles inconnus: 2
Première action proposée: 12

Indicateurs descriptifs de toutes les lignes, pas un score de sécurité. Une première action correspond à une décision proposée autre que « Reporter sous contrôle ».

Rechercher dans l’inventaire

Famille de compte

Environnement

Propriétaire

Contrôles

Traitement recommandé

13 / 13 situations affichées

Inventaire fictif — pouvoirs, contrôles et décisions
Alias / famille	Cible et pouvoir réel	Propriétaire	Accès / permanence	Contrôles existants	Risque et dépendances	Traitement
DA-PILOTEDomaine · AD	Annuaire pilote Domain Admins confirmé dans le scénario	Équipe annuaire	Nominatif Permanent	MFA sur portail ; chemin direct non fermé	Contrôle AD ; terminal de départ insuffisamment maîtrisé Outils AD et secours à tester	Transformer l’accès
VIRT-DCVirtualisation · Virtualisation	VM hébergeant les DC Console VM et manipulation des disques autorisées	Équipe virtualisation	Partagé Permanent	Journalisation console ; segmentation incomplète	Contrôle indirect possible des DC, à confirmer selon droits Secours console et API à éprouver	Transformer l’accès
CLOUD-POLICYCloud · Cloud	Zone cloud pilote Peut modifier une politique IAM appliquée à une identité de déploiement	Équipe cloud	Nominatif Permanent	MFA ; revue des politiques à compléter	Pouvoir indirect via politique, pas étiquette Tier 0 universelle Combinaisons de droits et conditions à analyser	Réduire les droits
LOCAL-WINLocal Windows · Windows	Serveur pilote non critique Administrateur local de la seule machine	Équipe systèmes	Nominatif Permanent	Windows LAPS vérifié ; lecture restreinte, filtrage et journaux éprouvés	Risque résiduel à réévaluer ; contrôle local, pas annuaire Vérifier continuité du périmètre LAPS	Sécuriser
LINUX-SUDOLinux sudo · Linux	Serveur applicatif pilote sudo restreint mais commande et arguments à revoir	Équipe Linux	Nominatif Permanent	Journaux SSH ; règle sudo avec arguments encore trop larges	Élévation potentielle via commande autorisée à analyser Valider commandes avec l’application	Réduire les droits
ROOT-HISTRoot Linux · Linux	Serveur historique root local	Inconnu	Partagé Permanent	Inconnus	Pouvoir root ; propriétaire et chemins non confirmés Identifier détenteurs, usages et secours	Reporter sous contrôle
SVC-AD-SCRIPTSService AD · AD	Scripts applicatifs historiques Droits de domaine disproportionnés dans cet exemple	Équipe applications	Machine Permanent	Pas de revue ni rotation éprouvée	Pouvoir élevé et réutilisation ; préparation forte sans baisse de risque Scripts, caches, tâches et retour arrière à cartographier	Réduire les droits
CI-DEPLOYAutomatisation CI/CD · CI/CD	Chaîne de livraison pilote Modification pipeline et usage identité de déploiement	Équipe livraison	Machine Permanent	Revue de code ; droits de modification pipeline à resserrer	Peut changer le code exécuté par une identité puissante Validations, branche protégée et déploiement test	Transformer l’accès
DB-ADMINBase de données · BDD	Base applicative pilote Administrateur intégré partagé ; rôle global sur instance	Équipe bases de données	Partagé Permanent	Audit configuré ; attribution à une personne à améliorer	Accès étendu aux données et à la configuration Applications utilisant le même compte à rechercher	Transformer l’accès
EXT-PERMPrestataire · Windows	Cible critique pilote Administrateur de cible ; accès toujours actif	Équipe exploitation	Nominatif Permanent	MFA VPN ; durée et cible non limitées	Exposition externe et droits permanents Mandat, fenêtre et secours contractuel à confirmer	Transformer l’accès
BREAK-GLASSUrgence · AD	Secours annuaire Droits de secours critiques	Responsable RUN	Partagé Permanent	Double contrôle et test de secours ; surveillance éprouvée	Pouvoir critique malgré contrôles vérifiés ; conserver un secours praticable Ne pas supprimer aveuglément ; revoir après chaque usage	Sécuriser
OOB-HOSTHors bande · Matériel	Hôte hébergeant une VM critique Console distante et modification démarrage selon rôle	Équipe matériel	Partagé Permanent	Inconnus	Pouvoir indirect via console physique virtuelle, à confirmer Rôles iLO/iDRAC équivalents, secours et filtrage	Sécuriser
BACKUP-CTRLSauvegarde · Sauvegarde	Sauvegardes des DC Export et restauration de sauvegardes des DC	Équipe sauvegarde	Nominatif Permanent	MFA et zone isolée ; revue exports à compléter	Accès aux copies critiques ; pouvoir dépend des possibilités de restauration Support, restaurations et droits de lecture	Réduire les droits

Notice : un inventaire utile, pas un fichier de secrets

Une même identité peut recevoir plusieurs pouvoirs selon la cible : créer une ligne par situation lorsque cela clarifie la décision. Conservez une référence stable pour relier découverte, propriétaire et remédiation. Les champs obligatoires acceptent une inconnue explicite lorsqu’une preuve manque ; ils ne forcent pas à inventer une réponse.

Importez le CSV UTF-8 avec le séparateur point-virgule et les colonnes au format texte. Le modèle vierge ne contient que l’en-tête. L’export affiché contient les 23 champs des lignes filtrées, pas seulement les colonnes visibles. Les formules de tableur sont neutralisées. Aucun fichier XLSX déguisé n’est proposé.

Pour un inventaire réel, transférez le modèle dans votre environnement de travail autorisé. Définissez droits de lecture, propriétaire du référentiel, déclencheurs de mise à jour et date de revue. Une absence de dernière utilisation ne prouve pas que le compte est inutilisé.

Dictionnaire des 23 champs

Identifiant d’inventaireObligatoire: Référence stable, sans identifiant réel sensible.
Alias fictif ou anonymiséObligatoire: Libellé de travail ; pas de compte nominatif réel.
Famille de compteObligatoire: Domaine, virtualisation, cloud, local Windows, Linux, service, CI/CD, BDD, prestataire, secours ou hors bande.
EnvironnementObligatoire: Zone de confiance concernée : AD, Windows, Linux, cloud, etc.
Ressource cibleObligatoire: Alias de la cible ou de la famille contrôlée, pas une adresse sensible.
Propriétaire responsableObligatoire: Rôle ou équipe responsable ; utiliser « Inconnu » si non établi.
Équipe utilisatriceObligatoire: Équipe qui utilise réellement l’accès.
FonctionObligatoire: Opération justifiant l’accès ; différencier besoin et pouvoir existant.
Droits effectifsObligatoire: Rôles, groupes, délégations et droits indirects confirmés.
Portée du privilègeObligatoire: Ressources et domaine de confiance réellement contrôlés.
AuthentificationObligatoire: Type de mécanisme uniquement : mot de passe, fédération, clé SSH ; jamais sa valeur.
Accès nominatif ou partagéObligatoire: Nominatif, Partagé, Machine ou À qualifier.
Privilège permanent ou temporaireObligatoire: Permanent, Temporaire ou À qualifier.
Mode d’accèsObligatoire: Parcours prévu et chemins alternatifs connus.
Exposition réseauObligatoire: Origines et interfaces accessibles ; inconnues explicites.
Contrôles existantsObligatoire: Mécanismes, périmètre, preuve ou limite ; « Inconnus » si non vérifiés.
PAM ou mécanisme équivalentObligatoire: Dispositif réellement appliqué, pas une intention.
Dernière utilisation connueFacultatif: Date de trace fiable ou « Non disponible » ; absence de trace ≠ absence d’usage.
Criticité argumentéeObligatoire: Pouvoir, exposition et conséquences ; pas une étiquette basée sur le nom.
Dépendances opérationnellesObligatoire: Consommateurs, fenêtre de changement et secours ; inconnues explicites.
Traitement recommandéObligatoire: Supprimer, Réduire les droits, Sécuriser, Transformer l’accès ou Reporter sous contrôle.
État de traitementObligatoire: À qualifier, Décision proposée, Préparation, En cours ou Vérifié.
Preuve attendueFacultatif: Référence anonymisée à un contrôle effectif ou un test à réaliser.