Principe du moindre privilège
Fait partie de la section Principes fondamentaux de la sécurité du Journey Cybersecurity de Coddy. Leçon 13 sur 43.
Une personne devrait disposer des accès dont elle a besoin pour son travail, sans accès supplémentaires qu’elle n’utilise pas. C’est ce qu’on appelle le principe du moindre privilège. Cela limite également ce à quoi un attaquant peut accéder s’il vole le compte de cette personne.
Par exemple, supposons qu’Ava travaille à la torréfaction, mais qu’elle ait aussi été ajoutée au groupe marketing par erreur. Vérifie ce que ce groupe lui permet de faire :
seclab groups marketingTu devrais voir :
marketing: the newsletter and the shop's pages
members: ava, miaLe groupe permet à Ava de modifier la newsletter et les pages de la boutique. Elle n’a besoin ni de l’un ni des autres pour torréfier le café ; retire-la donc du groupe marketing :
seclab remove ava marketingTu devrais voir :
Removed ava from marketing.Cela supprime les accès supplémentaires tout en conservant ses appartenances aux groupes de torréfaction et du personnel. Elle peut toujours faire son travail.
Défi
FacileTicket d’Omar, finance
Une personne extérieure à Lumen utilise le compte de notre stagiaire. Une appartenance à un groupe attribuée par erreur lui permet de lire les données de paie. Trouve le compte et supprime cet accès supplémentaire avant que les données de paie ne soient copiées. Le stagiaire doit toujours pouvoir aider les clients, et l’équipe finance doit conserver son accès.
Essayez vous-même
Toutes les leçons de Principes fondamentaux de la sécurité
1La première alerte
Qu’est-ce que la cybersécurité ?Arrêter une attaqueLignes de journalMots de passe volésAuthentification multifacteurLa triade CIAEncore une fois3Contrôle d’accès
GroupesPrincipe du moindre privilègeDroits d’administrationLa nouvelle recrueDépartsComptes partagésSéparation des tâchesRevue des accès