Conçois un chemin d'administration séparé et contrôlé

01Cartographie l’état initial

SORIA Distribution possède deux chemins hérités :

user-zone → direct → app-prod
user-zone → direct → directory-management

Trois chemins approuvés passent déjà par admin-bastion depuis des postes d’administration désignés.

column -s, -t "$lab/source/administration/admin-paths.csv"

02Fixe la cible

Un chemin administratif doit nommer :

origine autorisée
identité administrative
poste ou zone d'administration
relais éventuel
destination
protocole représenté
décision ALLOW ou DENY
justification
test fonctionnel
rollback
limite de preuve

Le Lot 2 décide le chemin. Les règles OPNsense et WireGuard réelles seront traitées dans le Lot 5.

03Manipule le before/target

column -s, -t "$lab/output/admin-path-review.csv"

PATH-001 et PATH-003 passent de ALLOW à DENY. PATH-002, PATH-004 et PATH-005 restent autorisés via admin-bastion.

La restriction ne supprime donc pas l’administration : elle supprime le contournement.

04Observe le test positif

Pour chaque cible, le validateur exige un chemin autorisé avec :

origin = admin-workstation-*
relay = admin-bastion
decision = ALLOW

Les fonctions représentées restent disponibles : redémarrage ERP, cycle de vie annuaire et gestion de politique réseau.

05Provoque le bypass négatif

Une fixture ajoute :

user-zone,direct,network-management,https,ALLOW

Le validateur doit répondre :

Negative test blocked: administrative path bypasses approved management route

Une seule route de contournement invalide la politique cible.

06Évalue les points d’entrée

Un point d’entrée contrôlé doit aussi être exploitable : propriétaire, maintenance, journalisation attendue, disponibilité, accès de secours et revue.

Le chemin ne doit pas dépendre d’un poste utilisateur quotidien déjà exposé au mail et au web.

07Prépare le rollback

Le lab conserve admin-paths.csv avant et après changement. Le rollback de fixture reproduit l’état initial par comparaison.

Sur un pare-feu réel, le plan doit prévoir :

• export ou snapshot autorisé ;
• session de secours distincte ;
• ordre des règles ;
• test depuis origine autorisée et interdite ;
• critère d’arrêt ;
• retour borné.

08Déclare les limites

Aucun paquet ne traverse un réseau pendant le lab. La CI ne prouve ni règle de pare-feu, ni tunnel VPN, ni segmentation, ni journalisation réelle.

L’artefact attendu est admin-path-review.csv, accompagné du test de bypass, du test fonctionnel et du rollback.