🔏 C3.1.2 — Gestion des droits & accès aux données

Accroche (10 min)

Chez InnovatTech, un salarié a quitté l'entreprise mais ses accès VPN, mail et serveurs sont restés actifs pendant 3 mois. Deux semaines après son départ, il s'est reconnecté depuis l'extérieur et a téléchargé des données clients. Résultat : procédure judiciaire, dommages et intérêts, perte de confiance des clients. Comment l'éviter ? Par une politique claire de gestion des comptes, l'application du principe du moindre privilège et une traçabilité fiable des accès.

Section 1 — Modèles d'autorisation et principe du moindre privilège (~50 min)

RBAC — Role-Based Access Control

Dans le modèle RBAC, les permissions sont attribuées à des rôles et non directement aux personnes. Chaque utilisateur est affecté à un ou plusieurs rôles. L'intérêt principal : centralisation et cohérence. Lorsqu'un collaborateur change de poste, on change son rôle et ses autorisations sont automatiquement ajustées.

En pratique, RBAC s'implémente dans Active Directory via des groupes de sécurité et des GPO.

ABAC — Attribute-Based Access Control

ABAC base la décision d'autorisation sur des attributs contextuels : qui est l'utilisateur (département, rôle), caractéristiques de l'objet (classification, sensibilité), et conditions de la demande (heure, localisation, appareil). Exemple : accès aux dossiers RH uniquement depuis le réseau interne, entre 8h et 18h, par un membre du département RH.

Principe du moindre privilège

Un compte ne doit disposer que des droits strictement nécessaires pour accomplir sa mission et rien de plus. Objectifs : limiter la surface d'attaque, empêcher les mouvements latéraux en cas de compromission. Ce principe est souvent négligé par commodité ("je m'en occuperai plus tard") — cette mauvaise habitude facilite les escalades de privilèges.

Cycle de vie des comptes

Section 2 — Journalisation et traçabilité (~35 min)

Sans journaux fiables, il est impossible de reconstruire une chaîne d'actions, d'identifier un auteur ou de démontrer la conformité (accountability RGPD). Événements critiques à journaliser :

• Connexions réussies et échouées
• Modifications de droits (ajout/suppression dans les groupes sensibles)
• Accès à des données marquées sensibles
• Exécutions de commandes privilégiées (sudo)
• Création et suppression de comptes

Centralisation des logs avec rsyslog (Debian)

# /etc/rsyslog.d/60-centrale.conf
# Envoi de tous les logs vers le serveur central en TCP (port 514)
*.* @@10.0.0.50:514

# Recharger rsyslog après modification
sudo systemctl restart rsyslog
sudo systemctl status rsyslog --no-pager

auditd — Règles d'audit Linux

# /etc/audit/rules.d/99-innovattech.rules

# Tracer toutes les exécutions de sudo
-a always,exit -F arch=b64 -S execve -F path=/usr/bin/sudo -F perm=x -k sudo_exec
-a always,exit -F arch=b32 -S execve -F path=/usr/bin/sudo -F perm=x -k sudo_exec

# Surveiller les modifications du fichier /etc/passwd
-w /etc/passwd -p wa -k passwd_changes

# Surveiller les modifications de sudoers
-w /etc/sudoers -p wa -k sudoers_changes
-w /etc/sudoers.d -p wa -k sudoers_d_changes

# Appliquer les règles
sudo augenrules --load
sudo auditctl -l  # Vérifier les règles actives

Recherche dans les logs auditd

# Trouver tous les événements sudo
sudo ausearch -k sudo_exec -i

# Rapport d'exécution mensuel
sudo aureport -x --summary --start $(date --date='1 month ago' +%Y-%m-%d) --end $(date +%Y-%m-%d) -i

# Rechercher les modifications de /etc/passwd
sudo ausearch -k passwd_changes -i

Windows Event Log — IDs utiles

TP — Gestion des comptes et traçabilité (90 min)

Scénario : InnovatTech embauche Léa Martin (commerciale) et met fin à la mission du prestataire Marc Dupont. En parallèle, configurez auditd pour tracer les actions privilégiées.

Étape 1 — Procédure d'arrivée pour Léa Martin

# PowerShell — Contrôleur de domaine AD
Import-Module ActiveDirectory

# 1. Créer le compte AD
New-ADUser -Name "Léa Martin" -GivenName "Léa" -Surname "Martin" `
  -SamAccountName "lmartin" -UserPrincipalName "lmartin@innovattech.local" `
  -Path "OU=Commerciaux,DC=innovattech,DC=local" `
  -AccountPassword (ConvertTo-SecureString "Ch@ngeMe2024!" -AsPlainText -Force) `
  -Enabled $true -ChangePasswordAtLogon $true

# 2. Ajouter au groupe Commerciaux
Add-ADGroupMember -Identity "Commerciaux" -Members "lmartin"

# 3. Accorder l'accès au partage réseau
Grant-SmbShareAccess -Name "commercial" -AccountName "INNOVATTECH\Commerciaux" -AccessRight Change -Force

# 4. Créer le dossier utilisateur
New-Item -Path "\srv-files\commerciaux\lmartin" -ItemType Directory -Force
icacls "\srv-files\commerciaux\lmartin" /grant "INNOVATTECH\lmartin:(OI)(CI)F" /T

Étape 2 — Procédure de départ pour Marc Dupont

# Désactiver le compte AD (NE PAS SUPPRIMER IMMÉDIATEMENT)
Disable-ADAccount -Identity "mdupont"

# Archiver la boîte mail (Exchange Management Shell)
New-MailboxExportRequest -Mailbox "mdupont" -FilePath "\srv-archive\pst\mdupont.pst"

# Documenter la désactivation dans le registre des comptes
Add-Content -Path "C:
egistre-comptes\desactivations.csv" `
  -Value "$(Get-Date -Format yyyy-MM-dd),mdupont,prestataire,compte_desactive"

Synthèse (15 min)

Question finale : Quelle est la différence entre désactiver et supprimer un compte utilisateur ? Pourquoi cette distinction est-elle importante du point de vue RGPD ?

Réponse : Désactiver préserve l'identité, les permissions et les données pour l'audit (accountability RGPD) ; supprimer peut entrer en conflit avec des obligations légales de conservation ou des besoins d'enquête. La procédure recommandée : désactivation immédiate, suppression planifiée après évaluation des obligations.