Owns

Définition

Owns désigne la relation identifiant le propriétaire (Owner) d'un objet Active Directory, un statut distinct des permissions ACL classiques mais tout aussi déterminant en matière de sécurité, puisque le modèle d'autorisation Windows accorde implicitement au propriétaire d'un objet le droit WriteDACL sur celui-ci, indépendamment de toute permission explicitement définie dans sa DACL. Cette propriété implicite signifie qu'un principal identifié comme propriétaire d'un objet sensible — compte utilisateur, groupe, GPO — peut modifier à volonté les permissions de cet objet pour s'octroyer n'importe quel autre droit, jusqu'au contrôle total équivalent à GenericAll, sans nécessiter d'ACE explicite lui accordant déjà ce privilège au préalable. La propriété d'un objet peut résulter de sa création initiale par le compte concerné, d'un transfert explicite via le droit WriteOwner exercé par un autre principal, ou d'une configuration historique héritée d'une réorganisation ancienne de l'annuaire dont la traçabilité s'est perdue au fil du temps. Les outils d'analyse de chemins d'attaque comme BloodHound intègrent systématiquement la relation Owns dans leur cartographie, la matérialisant comme une arête à part entière du graphe de permissions, distincte des ACE classiques mais tout aussi exploitable dans une chaîne d'escalade de privilèges. L'audit de la propriété des objets sensibles, souvent négligé au profit de la seule analyse des ACL explicites, constitue un point de contrôle complémentaire essentiel en audit Active Directory.