L’annuaire de secours

Le problème que rien d’autre ne résout

Après une compromission du domaine, l’organisation dispose peut-être de sauvegardes saines. Elle ne dispose plus d’identité de confiance : chaque compte, chaque certificat, chaque jeton peut avoir été manipulé.

Restaurer des données dans un domaine dont on ne contrôle plus les accès revient à rouvrir la porte. C’est ce qui explique que la reconstruction se compte en semaines et non en heures.

Trois composants à préparer à froid

Un annuaire de secours isolé. Une forêt ou un domaine séparé, administré avec des comptes distincts, sans relation d’approbation avec la production. Il ne sert à rien au quotidien — c’est précisément ce qui le rend utilisable après compromission.

Une autorité de certification hors ligne. Ou, à défaut, une procédure documentée de réémission des certificats depuis une racine non exposée.

Un jeu de comptes de secours. Physiquement consignés, hors du système d’information, avec une procédure de mise sous séquestre et de rotation. Leur usage doit être détectable : un accès avec un compte de secours en dehors d’une crise est en soi un incident.

La séquence de reconstruction

1. Isoler le domaine compromis, sans le détruire — il porte les preuves.
2. Établir un socle de confiance : annuaire de secours, PKI, gestion des secrets.
3. Restaurer les données depuis une sauvegarde antérieure à la compromission initiale.
4. Réintégrer les systèmes un par un, avec vérification avant chaque raccordement.
5. Rouvrir les accès progressivement, en surveillant les signaux de persistance.

Chaque étape a un critère de vérification. Sauter le point 2 fait échouer tous les suivants.

Ce qui se teste

Un exercice annuel de reconstruction partielle — un service, de bout en bout, depuis un annuaire de secours — coûte deux jours et révèle systématiquement au moins une dépendance circulaire que personne n’avait vue.