À l’ère où l’on parle constamment de sécurité, d’IA et de technologies de pointe, il est surprenant de constater que certains négligent encore la sauvegarde.
Cette posture, plus que surprenante, revient à ignorer la bonne protection des actifs informatiques essentiels.
REX
Pour ma part, je suis particulièrement focalisé sur l’identité, ce depuis le début #novell #netware #dsrepair 😉
J’ai longuement travaillé et joué (façon de parler) avec le compte #admin (#bind, #nds, #edirectory) avant de m’attarder sur #administrator (#sam et #activedirectory).
Mon activité dans mon lab. reste toujours intense et stimulante. Elle me permet de gérer l’opérationnel et le stratégique. C’est un peu comme comem au combat : la force ne suffit pas toujours pour gagner. Il faut agir calmement, avec réflexion et les bonnes techniques. C’est une question de discipline.
Bref, le constate est le même. Le risque majeur lié à la désactivation de ce type de compte reste le verrouillage de l’annuaire. C’est pourquoi il ne faut pas désactiver les comptes bris de glace.
Le compte RID-500 est le seul véritable compte de secours. Nul besoin de chercher midi à quatorze heures 😵💫
Ceux qui désactivent le compte RID-500 et continuent de défendre cette approche devraient sérieusement reconsidérer leur approche de la gestion des accès. Rester dans ce déni revient à faire un seppuku #lossofultimateadminprivileges 👈
La sauvegarde
Sauvegarder le système sans prendre en compte la base des identités peut être un bon début, mais insuffisant.
Il est essentiel de remettre en question ces pratiques et d’adopter les bonnes méthodes de sauvegarde.
Autrement-dit, Il faut intégrer systématiquement les données sensibles liées aux identités pour une protection optimale de l’infrastructure.
Sauvegarder un serveur sans inclure les données d’identité essentielles, comme #ActiveDirectory ou #PKI, n’est pas une vraie stratégie. Cela peut compromettre l’intégrité et la sécurité globale de l’infrastructure étant donné que le résultant n’est pas exploitable pleinement.
Dans le présent contexte, un cliché instantané du système (#snapshot) ne constitue pas une véritable sauvegarde de l’identité.
Ces informations critiques nécessitent une approche de sauvegarde différenciée pour garantir leur intégrité et disponibilité.
Rappel
Sauvegarder Active Directory ou la PKI en plus du système Windows est essentiel pour garantir une restauration complète, par exemple en cas de panne ou d’attaque #ransomware.
Cela permet non seulement de protéger l’intégrité des données d’identité et de sécurité, mais aussi de garantir une reprise rapide et en minimisant les décalages.
En d’autres termes, la sauvegarde cohérente est une assurance pour la sécurité et la continuité des services. Faut-il encore avoir une stratégie pragmatique en matière de #pra ou de #drp 😊
C’est un rappel, certes, mais il mérite d’être souligné :
- Active Directory et la PKI sont essentiels à la gestion des identités et à la sécurité des communications, ce qui les rend critiques. Leur emplacement n’est pas la question #entraid #gcp #privatecloud #onpremise. La base #adds comme la base #adcs est à sauvegarder séparément du système Windows,
- La restauration complète du système Windows ne suffit pas en cas de corruption ou de perte d’Active Directory ou de la PKI. Seule une sauvegarde dédiée de ces éléments garantit une récupération correcte,
- Une sauvegarde spécifique permet une récupération granulaire, comme restaurer un utilisateur ou un certificat PKI sans affecter l’ensemble du système,
- Les attaques comme les ransomwares visent souvent l’identité, donc des sauvegardes indépendantes sont nécessaires pour se protéger contre ces menaces,
- Les exigences de conformité (RGPD, PCI-DSS et ainsi de suite) imposent me semble-t-il souvent des sauvegardes robustes de ces bases pour garantir la sécurité des données et la continuité des services.
Synthèse
En résumé, la meilleure approche reste de suivre les recommandations des éditeurs et de sauvegarder les bases de manière rigoureuse.
En effet, il est important de respecter ces bonnes pratiques pour assurer une protection complète et efficace.
Pas besoin de réinventer la roue lorsque des solutions éprouvées sont déjà disponibles sur le marché.
Les outils natifs suffisent largement, commet #wbadmin pour Active Directory et #certutil pour la PKI.
Je suis fermement convaincu que la sécurité des identités est une des clés stratégiques de la protection durable des infrastructures informatiques.
Cela doit être prioritaire, bien avant de se laisser séduire par des outils soi-disant révolutionnaires.