Poste de travail à accès privilégié (PAW)

Un poste de travail à accès privilégié (PAW, privileged access workstation) est un appareil réservé à l'administration sensible — généralement celle des systèmes Tier 0 tels que les contrôleurs de domaine, la PKI ou les serveurs de synchronisation des identités. Il exécute une image durcie et verrouillée avec liste d'autorisation d'applications, sans droits d'administration locale pour l'utilisateur, sans client de messagerie ni navigation Internet générale, et il n'est administré que depuis son propre tier. Les administrateurs utilisent un appareil distinct et ordinaire pour tout le reste. Un serveur de rebond ne constitue pas à lui seul un PAW : si l'appareil utilisé pour atteindre le serveur de rebond est compromis, les frappes clavier et la session le sont aussi.

C'est important, car l'appareil sur lequel tape un administrateur fait partie du périmètre de sécurité. Hameçonnage, contenu web malveillant et outils de support compromis atterrissent régulièrement sur les postes de travail du quotidien ; si un Domain Admin s'y connecte, l'attaquant hérite de cet accès. Un PAW supprime le point d'entrée le plus courant du vol d'identifiants. Associez-le à des stratégies d'authentification qui n'autorisent les comptes Tier 0 à se connecter que depuis des PAW, afin que des identifiants volés soient inutilisables ailleurs.

Voir Mettre en place des postes de travail à accès privilégié et Tier 0 et accès privilégiés.