Les comptes administrateurs sont la première chose qu’un attaquant cherche une fois entré dans votre réseau : avec eux, il désactive l’antivirus, efface les sauvegardes et chiffre tous les serveurs d’un coup. Réduire leur nombre, les séparer des comptes du quotidien et surveiller leur usage coûte peu et retire à un rançongiciel l’essentiel de sa capacité de nuisance.
Pourquoi les comptes administrateurs sont la première cible
Les rapports d’intrusion publiés par les chercheurs se ressemblent tous sur un point : quelques minutes après l’infection initiale, l’attaquant tape des commandes de reconnaissance pour savoir qui administre le domaine. Les analyses de The DFIR Report montrent par exemple des chargeurs comme Bumblebee qui, une fois installés, lancent immédiatement nltest /dclist:, whoami /groups et net group "domain admins" /dom. La question posée est simple : quel compte faut-il voler pour tout contrôler ?
Dans beaucoup de PME, la réponse est malheureusement « le compte du dirigeant », « celui du responsable informatique, qui sert aussi à lire ses e-mails » ou « le compte admin partagé par le prestataire depuis cinq ans ». Chaque fois qu’un compte à privilèges sert aussi à naviguer sur Internet ou à ouvrir des pièces jointes, un simple clic sur un e-mail piégé suffit à donner les clés du domaine.
Combien de comptes administrateurs faut-il vraiment ?
Il n’existe pas de chiffre magique, mais la règle est claire : le moins possible, chacun nominatif et justifié. Un compte administrateur de domaine n’a de raison d’exister que pour les personnes qui gèrent réellement l’annuaire. Les autres tâches (installer un logiciel, gérer une imprimante, créer une boîte aux lettres) relèvent de droits délégués, plus limités.
Commencez par un inventaire honnête. Listez les membres des groupes Admins du domaine, Administrateurs de l’entreprise et Administrateurs locaux des serveurs, puis les administrateurs globaux de Microsoft 365. Dans la plupart des cas, vous trouverez des comptes d’anciens salariés, des comptes de test jamais supprimés et des comptes de service ajoutés « temporairement » pour faire fonctionner une application. Chacun de ces comptes est une porte d’entrée potentielle que personne ne surveille.
Séparer le compte du quotidien et le compte d’administration
C’est la mesure la plus rentable. Chaque administrateur dispose de deux comptes : un compte standard pour la messagerie, la navigation et la bureautique, et un compte d’administration utilisé uniquement pour les tâches techniques. Le compte d’administration n’a pas de boîte aux lettres, ne navigue pas sur Internet et ne s’utilise jamais depuis un poste où l’on lit ses e-mails.
L’ANSSI détaille ce principe dans ses recommandations sur l’administration sécurisée, en allant jusqu’au poste d’administration dédié. Microsoft décrit la même logique sous le nom de stratégie d’accès privilégié. Pour une PME, le poste dédié n’est pas toujours réaliste dès le départ ; la séparation des comptes, elle, l’est immédiatement et ne coûte aucune licence.
Ajoutez une protection supplémentaire en plaçant les comptes d’administration du domaine dans le groupe Protected Users, qui empêche la mise en cache de leurs identifiants sur les postes. Testez d’abord avec un compte, car certaines applications anciennes ne supportent pas ces restrictions.
Le mot de passe administrateur local identique partout
Un autre classique : le compte administrateur local de chaque poste a le même mot de passe, défini lors du déploiement initial. Un attaquant qui récupère ce mot de passe sur une seule machine peut se connecter à toutes les autres. C’est exactement ce qui permet à une intrusion sur le poste d’un stagiaire de se propager jusqu’au serveur de fichiers en quelques heures.
La solution est gratuite et intégrée à Windows : Windows LAPS génère un mot de passe unique par machine, le fait tourner automatiquement et le stocke dans l’annuaire, consultable seulement par les personnes autorisées. Le déploiement se fait par stratégie de groupe ou via Intune et prend généralement une journée pour un parc homogène.
Prestataires et comptes de service : les privilèges oubliés
Les accès les plus dangereux sont souvent ceux que vous ne voyez pas. Votre infogérant, votre éditeur de logiciel de gestion ou votre installateur de téléphonie disposent parfois d’un compte administrateur permanent, accessible depuis Internet via un outil de prise en main à distance. Si ce compte est partagé entre plusieurs techniciens, vous ne savez ni qui s’en sert ni quand.
Exigez des comptes nominatifs, une authentification multifacteur systématique et, idéalement, une activation à la demande plutôt qu’un accès ouvert en permanence. Nous avons détaillé la démarche dans notre article sur l’encadrement de l’accès des prestataires. Les comptes de service (sauvegarde, antivirus, ERP) méritent la même attention : ils ont souvent des droits d’administrateur du domaine « par facilité », alors qu’un droit précis sur quelques serveurs suffirait, et leur mot de passe n’expire jamais.
Surveiller l’usage des comptes à privilèges
Réduire les privilèges ne suffit pas si personne ne regarde comment ils sont utilisés. Quelques événements méritent une alerte immédiate : l’ajout d’un membre dans un groupe d’administration, une connexion administrateur en pleine nuit ou depuis un pays inhabituel, la création d’un nouveau compte à privilèges, ou l’utilisation d’un compte d’administration sur un poste utilisateur. Ces événements sont déjà journalisés par Windows et Microsoft 365 ; encore faut-il les collecter et que quelqu’un les lise.
Pour Microsoft 365, la double authentification sur tous les comptes administrateurs n’est plus négociable. Si vous ne l’avez pas encore généralisée, notre guide pour déployer la double authentification pas à pas détaille l’ordre de déploiement et les pièges à éviter.
Par où commencer cette semaine
- Listez les membres de tous les groupes d’administration, sur site et dans Microsoft 365, et supprimez les comptes orphelins.
- Créez un compte d’administration séparé pour chaque personne qui en a besoin, sans messagerie ni navigation.
- Activez la double authentification sur chaque compte administrateur, y compris ceux des prestataires.
- Déployez Windows LAPS pour supprimer le mot de passe administrateur local commun.
- Configurez une alerte sur tout ajout dans un groupe d’administration.
Ces cinq actions ne demandent aucun achat de logiciel. Elles se planifient sur quelques semaines, en commençant par l’inventaire, qui révèle presque toujours des surprises.
Ce qu’il faut retenir
- Les attaquants cherchent les comptes administrateurs dans les premières minutes d’une intrusion.
- Un administrateur doit avoir deux comptes : un pour le quotidien, un pour l’administration.
- Windows LAPS supprime gratuitement le mot de passe administrateur local identique sur tous les postes.
- Les comptes des prestataires et des services sont souvent les plus privilégiés et les moins surveillés.
- Une alerte sur les modifications des groupes d’administration détecte une prise de contrôle en cours.
L’abus d’un compte à privilèges se repère dans les journaux bien avant le chiffrement, à condition que quelqu’un les surveille en continu : découvrez notre SOC managé 24/7 pour PME et ETI.