Abus de compte de service (service account abuse)

Définition

L'abus de compte de service désigne l'exploitation malveillante d'un compte technique créé pour permettre l'exécution automatisée d'un service, d'une application ou d'une tâche planifiée sans intervention humaine directe, ces comptes disposant fréquemment de privilèges élevés nécessaires à leur fonction mais souvent insuffisamment surveillés car ils ne sont pas associés à une session utilisateur interactive classique. Ces comptes constituent une cible privilégiée pour un attaquant ayant obtenu un accès initial, car leurs identifiants sont souvent réutilisés sur plusieurs systèmes, rarement soumis à une politique de rotation de mot de passe aussi stricte que les comptes utilisateurs, et peuvent être extraits de la mémoire ou de fichiers de configuration en clair sur les serveurs où le service correspondant s'exécute. Une fois compromis, un compte de service à privilèges élevés, notamment un compte utilisé pour l'exécution de tâches planifiées critiques ou de services Active Directory, offre un chemin direct vers une élévation de privilèges ou un mouvement latéral vers d'autres systèmes de l'infrastructure partageant le même compte technique. Pour les équipes défensives, les contre-mesures incluent l'application du principe du moindre privilège à chaque compte de service, l'usage de comptes de service gérés avec rotation automatique de mot de passe lorsque la plateforme le permet, la restriction de leur usage interactif, et une journalisation dédiée détectant toute connexion interactive inhabituelle d'un compte normalement réservé à un usage strictement automatisé.