SeDebugPrivilege.

Privilege Windows tres puissant qui autorise l'ouverture, la lecture et la modification de la memoire de tout processus — y compris LSASS — ce qui en fait une cible privilegiee pour le vol d'identifiants. Cette notion relève de la catégorie Identité et accès en cybersécurité.

Privilege Windows tres puissant qui autorise l'ouverture, la lecture et la modification de la memoire de tout processus — y compris LSASS — ce qui en fait une cible privilegiee pour le vol d'identifiants.

SeDebugPrivilege est un privilege Windows defini dans la Local Security Authority qui, lorsqu'il est detenu par un token de processus, permet d'ouvrir n'importe quel processus ou thread (y compris SYSTEM) avec PROCESS_ALL_ACCESS. Par defaut, il n'est accorde qu'au groupe local Administrators et aux processus s'executant en SYSTEM ; Microsoft documente qu'il equivaut, en pratique, a un compte administrateur. Mimikatz, ProcDump (pour vider LSASS) et les EDR ont besoin de ce privilege pour inspecter la memoire. Les attaquants l'adorent : avec SeDebugPrivilege, ils peuvent vider LSASS, detourner des tokens, injecter dans des processus proteges et desactiver les outils de securite. Les defenseurs surveillent les evenements 4673/4703 du journal Security, activent Credential Guard et retirent ce droit via GPO.

Les défenses contre SeDebugPrivilege combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : SeDebug, Droit Deboguer les programmes.