Implémentation des Tiers 1 et 2

Vue d'Ensemble des Tiers 1 et 2

Après avoir sécurisé le Tier 0, qui constitue le cœur de confiance de l'infrastructure Active Directory, il est essentiel de porter son attention sur les Tiers 1 et 2. Ces niveaux, bien que moins critiques que le Tier 0 en termes de privilèges système, revêtent une importance capitale pour la protection des valeurs métier de l'organisation et la prévention des attaques latérales.

La distinction fondamentale entre ces deux tiers réside dans leur fonction et leur niveau d'exposition :

• Tier 1 englobe les serveurs d'applications métier et les systèmes hébergeant ou traitant les données critiques de l'entreprise. Il représente la confiance dans les valeurs métiers.
• Tier 2 comprend les postes de travail des utilisateurs et les moyens d'accès aux ressources. Il représente la confiance dans les moyens d'accès, avec la surface d'exposition la plus importante.

L'implémentation de ces deux tiers suit des principes similaires à ceux du Tier 0, mais avec des contraintes opérationnelles généralement plus souples pour maintenir un équilibre entre sécurité et productivité.

Implémentation du Tier 1

Identification des Ressources Tier 1

La première étape de l'implémentation du Tier 1 consiste à identifier précisément quelles ressources doivent être catégorisées à ce niveau. Cette identification doit être guidée par l'analyse des valeurs métiers de l'organisation effectuée lors de la phase d'étude.

Ressources typiquement catégorisées en Tier 1 :

• Serveurs d'applications métier : ERP (Enterprise Resource Planning), CRM (Customer Relationship Management), systèmes de gestion financière, applications RH, outils de BI (Business Intelligence).
• Serveurs de bases de données métier : Instances SQL Server, Oracle, PostgreSQL, MySQL hébergeant des données métier critiques.
• Serveurs de messagerie : Serveurs Exchange, systèmes de messagerie collaborative.
• Serveurs de fichiers métier : Partages réseau contenant des données sensibles ou essentielles aux activités de l'entreprise.
• Serveurs web applicatifs : Serveurs IIS, Apache, nginx hébergeant des applications internes critiques.
• Serveurs de développement et CI/CD : Serveurs de gestion de code source (GitLab, Azure DevOps), serveurs de compilation et de déploiement continu.
• Systèmes industriels critiques : SCADA, superviseurs de production, systèmes de contrôle-commande.
• Infrastructures de virtualisation Tier 1 : Hyperviseurs hébergeant les serveurs Tier 1, mais pas de VM Tier 0.
• Systèmes de sauvegarde des serveurs Tier 1 : Serveurs et infrastructure de sauvegarde dédiés au Tier 1.

Structure Organisationnelle Tier 1

Comme pour le Tier 0, une structure d'unités organisationnelles dédiée doit être créée pour le Tier 1 :

domain.local
│
└── Tier 1
    ├── Accounts
    │   ├── Admins (administrateurs serveurs)
    │   ├── Service Accounts (comptes de service)
    │   └── Application Accounts (comptes applicatifs)
    │
    ├── Groups
    │   ├── Administrative
    │   ├── Application Access
    │   └── Service Management
    │
    ├── Servers
    │   ├── Database Servers
    │   ├── Application Servers
    │   ├── File Servers
    │   ├── Web Servers
    │   ├── Mail Servers
    │   └── Development Servers
    │
    └── Management
        ├── PAW (postes d'admin Tier 1)
        └── Jump Servers (bastions d'administration)
            

Configuration des OU Tier 1 :

• Blocage de l'héritage des GPO sur l'OU Tier 1 racine
• Contrôle d'accès : seuls les administrateurs Tier 1 et Tier 0 peuvent modifier ces OU
• Délégation de droits spécifiques pour permettre la gestion du Tier 1 sans accès au Tier 0
• Protection contre la suppression accidentelle activée
• Audit des modifications activé

Comptes d'Administration Tier 1

Les comptes d'administration Tier 1 nécessitent une gestion similaire à celle du Tier 0, mais avec quelques assouplissements pragmatiques :

Principes de gestion :

• Comptes dédiés : Chaque administrateur dispose d'un compte dédié pour l'administration Tier 1, distinct de son compte utilisateur standard.
• Séparation stricte : Les comptes Tier 1 ne peuvent JAMAIS administrer le Tier 0, ni être utilisés pour des activités Tier 2 (bureautique, email).
• Authentification multi-facteurs recommandée : Bien que pas toujours obligatoire comme pour le Tier 0, la MFA est fortement recommandée pour les comptes Tier 1.
• Délégation granulaire : Plutôt que d'accorder des droits Domain Admins, créer des groupes spécifiques avec des délégations fines (admins serveurs SQL, admins serveurs Exchange, etc.).
• Principe de moindre privilège : Un administrateur de bases de données n'a pas besoin de droits sur les serveurs web, et vice versa.

Postes d'Administration Tier 1

Comme pour le Tier 0, l'administration du Tier 1 doit se faire depuis des postes dédiés. Cependant, les contraintes peuvent être légèrement assouplies pour faciliter les opérations :

Options pour l'administration Tier 1 :

1. PAW Tier 1 dédiés : Postes durcis similaires aux PAW Tier 0, mais avec accès uniquement au Tier 1. Configuration recommandée pour les environnements les plus sensibles.
2. Jump Servers / Bastions : Serveurs Windows Server d'administration centralisés accessibles en RDP depuis le Tier 2, mais d'où part l'administration vers le Tier 1. Solution plus souple que les PAW.
3. Restricted Admin Workstations (RAW) : Postes de travail standard mais avec restrictions renforcées lorsque utilisés pour l'administration (Remote Credential Guard, restrictions applicatives).

Configuration d'un Jump Server Tier 1

Caractéristiques essentielles :

• Windows Server 2019 ou ultérieur
• Chiffrement BitLocker
• Accès RDP uniquement depuis le Tier 2, avec MFA requise
• Remote Credential Guard activé pour toutes les connexions sortantes
• Aucun accès Internet direct
• Restriction applicative : uniquement outils d'administration
• Journalisation exhaustive de toutes les sessions
• Session timeout après 30 minutes d'inactivité

Avantages :

• Centralisation de l'administration facilitant la surveillance
• Isolation des secrets d'authentification Tier 1 grâce à Remote Credential Guard
• Plus simple à gérer et déployer que des PAW individuels
• Permet l'administration depuis n'importe quel poste Tier 2 avec authentification appropriée

Inconvénients :

• Point de défaillance unique si mal configuré
• Nécessite une haute disponibilité (déployer au moins 2 jump servers)
• Ressource partagée nécessitant une gestion rigoureuse des sessions

Sécurisation des Serveurs Tier 1

Les serveurs Tier 1 doivent être sécurisés selon des standards élevés, bien que généralement moins contraignants que le Tier 0 :

Durcissement système :

• Application des baselines de sécurité Microsoft ou CIS (Center for Internet Security)
• Désactivation des services et protocoles non nécessaires
• Restriction des ports ouverts au strict nécessaire
• Configuration du pare-feu Windows avec règles strictes
• Activation de l'audit de sécurité avancé
• Déploiement d'un EDR (Endpoint Detection and Response)

Gestion des comptes locaux :

• Déploiement de LAPS sur tous les serveurs Tier 1
• Désactivation du compte administrateur local intégré (si possible selon les applications)
• Pas de partage de mots de passe administrateurs locaux entre serveurs
• Droits de lecture LAPS accordés uniquement aux administrateurs Tier 1

Gestion des comptes de service :

• Utilisation systématique de gMSA (Group Managed Service Accounts) pour les services Windows
• Pour les applications ne supportant pas gMSA : mots de passe ultra-complexes, rotation régulière
• Aucun compte de service ne doit être membre de groupes privilégiés Tier 0
• Délégations SPN appropriées pour permettre l'authentification Kerberos

Restriction des authentifications :

• Les comptes Tier 1 peuvent s'authentifier sur les serveurs Tier 1 et les PAW/Jump Servers Tier 1
• Les comptes Tier 1 ne peuvent PAS s'authentifier sur le Tier 0 ou le Tier 2
• Les comptes Tier 2 ne peuvent PAS s'authentifier sur les serveurs Tier 1 (sauf utilisateurs applicatifs pour accès aux services, pas administration)
• Configuration via silos d'authentification ou restrictions de connexion dans les propriétés des comptes

Segmentation Réseau du Tier 1

La segmentation réseau joue un rôle important dans la protection du Tier 1, bien qu'elle ne soit pas suffisante à elle seule :

Architecture réseau recommandée :

• VLAN dédiés : Les serveurs Tier 1 dans des VLAN séparés du Tier 2
• Zones DMZ : Les serveurs accessibles depuis Internet (serveurs web publics) dans une DMZ avec filtrage strict
• Micro-segmentation : Séparation des différents types de serveurs (bases de données, applications, web) dans des sous-réseaux distincts
• Règles de pare-feu :
  • Autoriser uniquement les flux nécessaires entre Tier 2 et Tier 1 (accès applicatifs, pas RDP)
  • Autoriser les flux d'administration depuis les PAW/Jump Servers Tier 1
  • Bloquer tout flux direct entre Tier 1 et Tier 0 (à l'exception des flux AD nécessaires : Kerberos, LDAP, DNS)
  • Journaliser toutes les tentatives de connexion bloquées

Implémentation du Tier 2

Caractéristiques du Tier 2

Le Tier 2 présente des caractéristiques particulières qui influencent son implémentation :

• Volume important : Généralement le tier contenant le plus de ressources (tous les postes utilisateurs)
• Exposition maximale : Surface d'attaque la plus large (Internet, email, périphériques USB, ingénierie sociale)
• Hétérogénéité : Grande variété de matériels, systèmes d'exploitation, et usages
• Contraintes de productivité : Les restrictions de sécurité ne doivent pas entraver excessivement le travail des utilisateurs
• Point d'entrée principal des attaques : C'est souvent par le Tier 2 que commencent les compromissions

Structure Organisationnelle Tier 2

Structure OU Tier 2

domain.local
│
└── Tier 2
    ├── Users
    │   ├── Standard Users
    │   ├── VIP Users (dirigeants, RH, finance)
    │   └── External Contractors
    │
    ├── Workstations
    │   ├── Desktops
    │   ├── Laptops
    │   └── Kiosks
    │
    ├── Mobile Devices
    │   ├── Smartphones
    │   └── Tablets
    │
    ├── Groups
    │   ├── Access Control
    │   └── Software Deployment
    │
    └── Service Accounts
        └── Tier2 Support Services
            

Sécurisation des Postes de Travail

La sécurisation des postes de travail Tier 2 vise à réduire le risque de compromission initiale et à limiter les possibilités de mouvement latéral en cas d'infection :

Configuration de sécurité de base :

• Chiffrement des disques : BitLocker activé sur tous les postes, particulièrement les portables
• Antivirus / EDR : Déploiement d'une solution de protection moderne avec détection comportementale
• Pare-feu activé : Configuration du pare-feu Windows avec règles appropriées
• Mises à jour automatiques : Windows Update configuré pour installer automatiquement les mises à jour critiques et de sécurité
• Désactivation des comptes administrateurs locaux : Les utilisateurs ne doivent PAS avoir de droits administrateurs locaux
• LAPS : Déploiement de LAPS pour gérer les mots de passe administrateurs locaux
• AppLocker ou WDAC : Restriction applicative pour bloquer l'exécution de logiciels non autorisés

Protection contre les vecteurs d'attaque courants :

• Protection email :
  • Filtrage anti-spam et anti-malware
  • Blocage des types de pièces jointes dangereuses (.exe, .scr, .vbs, .js, macros Office)
  • Formation régulière des utilisateurs au phishing
  • Simulations de phishing pour maintenir la vigilance
• Protection web :
  • Proxy web avec filtrage de contenu
  • Blocage des sites malveillants connus
  • Scan des téléchargements
  • Isolation des navigateurs (sandbox) pour les sites non approuvés
• Contrôle USB :
  • Blocage par défaut des périphériques USB non autorisés
  • Liste blanche de périphériques approuvés si nécessaire
  • Scan automatique de tout périphérique USB connecté
• Protection contre les macros :
  • Désactivation par défaut des macros Office
  • Si macros nécessaires : restriction aux fichiers signés de sources approuvées

Gestion des Accès Privilégiés Locaux

Un défi majeur du Tier 2 est la gestion des besoins ponctuels en privilèges administratifs locaux :

Problématique :

Certaines actions légitimes nécessitent temporairement des droits administratifs locaux (installation de logiciels spécifiques, modification de configuration, dépannage). Accorder de manière permanente ces droits créerait un risque de sécurité majeur.

Solutions :

1. Élévation juste-à-temps : Utilisation de solutions permettant l'élévation temporaire et contrôlée des privilèges (Microsoft Application Virtualization, solutions tierces comme CyberArk Endpoint Privilege Manager).
2. Comptes d'administration locale dédiés : Pour le support technique, utilisation de comptes d'administration locale gérés par LAPS, utilisés uniquement par le personnel autorisé.
3. Groupes restreints : Configuration de groupes Active Directory dont l'appartenance accorde des droits administratifs locaux, mais avec surveillance stricte.
4. Catalogue applicatif : Mise à disposition d'un catalogue d'applications pré-approuvées installables en self-service sans privilèges.

Segmentation des Postes Utilisateurs

Tous les postes Tier 2 n'ont pas le même niveau de risque. Une segmentation peut être pertinente :

Catégories de postes Tier 2 :

• Postes VIP : Postes des dirigeants, du département financier, des RH. Nécessitent une protection renforcée (surveillance accrue, restrictions plus strictes).
• Postes standards : Postes de bureautique classiques. Configuration de sécurité standard.
• Postes de développement : Nécessitent souvent plus de souplesse (installation d'outils, accès à des ressources variées). Peuvent justifier une isolation dans un sous-réseau spécifique avec surveillance accrue.
• Kiosques et postes partagés : Postes utilisés par plusieurs personnes (salles de réunion, espaces communs). Configuration verrouillée, session invité, nettoyage automatique.
• Postes de prestataires externes : Isolation maximale, accès restreint au strict nécessaire, surveillance intensive.

Gestion des Dispositifs Mobiles

Les smartphones et tablettes professionnels constituent une catégorie particulière au sein du Tier 2 :

Solution MDM (Mobile Device Management) :

• Déploiement d'une solution MDM (Microsoft Intune, VMware Workspace ONE, etc.)
• Politiques de conformité : chiffrement obligatoire, code PIN, mise à jour système
• Conteneurisation des applications et données professionnelles
• Effacement à distance en cas de perte ou vol
• Blocage de l'appareil si non conforme (jailbreak détecté, etc.)

Principes de sécurité :

• Séparation des données personnelles et professionnelles
• Accès email professionnel uniquement via conteneur sécurisé
• Restriction des applications autorisées à accéder aux données professionnelles
• Pas de stockage de documents sensibles hors conteneur professionnel

Relations entre les Tiers

Flux Autorisés et Interdits

Le cloisonnement entre les tiers repose sur un contrôle strict des flux d'authentification et d'administration :

Matrice des Flux d'Administration Autorisés

De \ Vers	Tier 0	Tier 1	Tier 2
Tier 0	✓ Administration Tier 0	✓ Administration Tier 1 possible mais déconseillée	✗ Interdit
Tier 1	✗ Strictement interdit	✓ Administration Tier 1	✗ Interdit (sauf via Jump Server avec Remote Credential Guard)
Tier 2	✗ Strictement interdit	✗ Strictement interdit	✓ Support Tier 2

Légende :

• ✓ : Flux autorisé
• ✗ : Flux interdit et bloqué techniquement

Flux applicatifs (distinct de l'administration) :

• Tier 2 → Tier 1 : ✓ Accès aux applications métier depuis les postes utilisateurs (HTTP, bases de données, etc.)
• Tier 1 → Tier 0 : ✓ Authentification AD, requêtes DNS, mise à jour via WSUS hébergé sur DC
• Tier 2 → Tier 0 : ✓ Authentification AD, requêtes DNS (flux strictement nécessaires)

Gestion des Exceptions

Dans les environnements complexes, des exceptions peuvent être nécessaires. Leur gestion doit être rigoureuse :

1. Documentation : Toute exception doit être documentée avec justification métier/technique
2. Validation : Approbation formelle par l'équipe sécurité et le management
3. Compensation : Mise en place de contrôles compensatoires (surveillance accrue, restrictions additionnelles)
4. Revue régulière : Réévaluation trimestrielle pour vérifier si l'exception est toujours nécessaire
5. Plan de sortie : Définition d'un plan pour éliminer l'exception à terme

Surveillance et Détection

La surveillance continue des Tiers 1 et 2 est essentielle pour détecter les tentatives de compromission et les violations de cloisonnement :

Événements critiques à surveiller :

• Tentatives d'authentification de comptes Tier 0 depuis Tier 1 ou Tier 2
• Tentatives d'authentification de comptes Tier 1 depuis Tier 2
• Modifications des appartenances aux groupes privilégiés
• Créations de comptes de service avec privilèges élevés
• Échecs d'authentification répétés (attaques par force brute)
• Utilisation d'outils d'administration depuis des postes non autorisés
• Activations de comptes break-glass
• Modifications de GPO
• Installation de logiciels non approuvés
• Communications vers des IP ou domaines suspects

Infrastructure de surveillance :

• Centralisation des logs dans un SIEM
• Rétention des logs : minimum 1 an pour Tier 0, 6 mois pour Tiers 1 et 2
• Corrélation automatique pour détecter les chaînes d'attaque
• Alertes en temps réel pour les événements critiques
• Tableaux de bord pour la supervision
• Rapports hebdomadaires et mensuels sur les événements de sécurité

Formation et Sensibilisation

Le facteur humain reste le maillon le plus faible de la chaîne de sécurité. La formation est cruciale pour tous les niveaux :

Formation des administrateurs :

• Formation initiale approfondie sur le modèle de tiering et les procédures
• Formation spécifique aux outils (PAW, Jump Servers, LAPS, etc.)
• Sensibilisation aux techniques d'attaque (Pass-the-Hash, Golden Ticket, etc.)
• Recyclage annuel obligatoire
• Simulation d'incidents pour tester la préparation

Sensibilisation des utilisateurs Tier 2 :

• Formation sécurité initiale lors de l'intégration
• Campagnes de sensibilisation régulières (email, affiches, intranet)
• Simulations de phishing trimestrielles
• Formation spécifique pour les utilisateurs VIP (ciblés prioritairement par les attaquants)
• Procédures claires pour signaler les incidents suspects

Conclusion du Chapitre

L'implémentation des Tiers 1 et 2 complète le modèle de tiering en protégeant les valeurs métiers de l'organisation (Tier 1) et en réduisant les risques d'entrée par les postes utilisateurs (Tier 2). Bien que moins critiques que le Tier 0, ces deux niveaux nécessitent une attention soutenue et des contrôles de sécurité appropriés pour assurer l'efficacité globale du cloisonnement.

Le chapitre suivant abordera les aspects de gestion, de maintenance et les bonnes pratiques pour assurer la pérennité et l'efficacité du modèle de tiering dans la durée.