Server Operators Group

Définition

Server Operators est un groupe intégré (built-in) d'Active Directory, présent exclusivement sur les contrôleurs de domaine, dont les membres disposent de droits d'administration étendus sur ces serveurs sans pour autant appartenir à Domain Admins : démarrage et arrêt de services, sauvegarde et restauration de fichiers via les privilèges SeBackupPrivilege et SeRestorePrivilege, connexion locale interactive, et surtout arrêt à distance du système via le privilège SeRemoteShutdownPrivilege. La combinaison des privilèges SeBackupPrivilege et SeRestorePrivilege constitue, comme pour le groupe Backup Operators, un vecteur d'escalade de privilèges critique : un membre de Server Operators peut copier le fichier NTDS.dit via une copie de volume shadow ou restaurer un fichier arbitraire à un emplacement sensible du système, contournant les protections NTFS classiques et ouvrant la voie à une extraction complète des hashes du domaine. Ce groupe, historiquement conçu pour une délégation opérationnelle sur les serveurs sans octroi de privilèges d'administration de domaine complets, est aujourd'hui unanimement considéré par les référentiels de sécurité, dont le guide ANSSI, comme équivalent en pratique à une appartenance à Domain Admins compte tenu de sa capacité effective à compromettre l'intégrité des contrôleurs de domaine. Les audits de sécurité Active Directory recommandent systématiquement de vider ce groupe et de lui substituer des délégations d'administration granulaires strictement limitées aux besoins opérationnels réels.