Bonnes pratiques de sécurité Active Directory : 10 méthodes efficaces
Votre Active Cloud Directory n’est pas administré, présente des vulnérabilités et reste exposé aux acteurs malveillants. Voici dix conseils pour protéger votre infrastructure contre les attaques courantes. Restez à jour pour ne rien manquer.
Active Directory (AD) est une cible de choix pour les attaquants, qui cherchent souvent à le compromettre pour élever leurs privilèges et étendre leur accès. Malheureusement, AD doit rester facilement accessible aux utilisateurs dans toute l’entreprise pour répondre aux besoins opérationnels. Il est donc particulièrement difficile à sécuriser. Selon Microsoft, plus de 95 millions de comptes AD sont attaqués chaque jour, ce qui souligne la gravité du problème.
Protéger AD est un défi, mais c’est loin d’être impossible. Il faut les bons outils et les bonnes tactiques. Voici dix conseils pour mieux sécuriser AD contre certaines des tactiques d’attaque les plus courantes.
1. Prévenir et détecter l’énumération des privilèges, des administrateurs délégués, des comptes de service et des sessions réseau
Une fois les défenses périmétriques franchies et un point d’ancrage établi dans le réseau, l’adversaire mène une reconnaissance pour repérer les ressources de valeur et déterminer comment y accéder. AD est une cible privilégiée pour cette activité, car l’adversaire peut la faire passer pour une activité professionnelle normale, avec peu de risques d’être détecté.
Détecter et empêcher l’énumération des privilèges, des administrateurs délégués et des comptes de service permet aux défenseurs de repérer un adversaire tôt dans le cycle d’attaque. Déployer des comptes de domaine et des identifiants leurres sur les endpoints peut aussi piéger les attaquants et permettre aux défenseurs de les rediriger vers des leurres.
2. Repérer et corriger l’exposition des comptes privilégiés
Les utilisateurs enregistrent souvent des identifiants sur leur poste de travail. Ils le font parfois par accident, parfois volontairement, généralement par commodité. Les attaquants le savent et ciblent ces identifiants enregistrés pour accéder à l’environnement réseau. Avec les bons identifiants, les intrus peuvent aller loin. Ils chercheront toujours à élever leurs privilèges et à étendre leur accès.
Les entreprises peuvent éviter d’offrir aux attaquants un accès facile au réseau en repérant les comptes privilégiés exposés, en corrigeant les erreurs de configuration et en supprimant les identifiants enregistrés, les dossiers partagés et les autres vulnérabilités.
3. Se protéger contre les attaques « Golden Ticket » et « Silver Ticket » et les détecter
Les attaques (PTT) compte parmi les techniques les plus puissantes utilisées par les adversaires pour se déplacer latéralement dans le réseau et élever leurs privilèges. La conception sans état de Kerberos facilite son exploitation : les attaquants peuvent facilement falsifier des tickets dans le système. « Golden Ticket » et « Silver Ticket » sont deux des attaques PTT les plus graves utilisées pour compromettre un domaine et y maintenir une présence. (PTT) figurent parmi les techniques les plus puissantes utilisées par les adversaires pour se déplacer latéralement dans le réseau et élever leurs privilèges. La stratégie de conception sans état de Kerberos facilite les abus, ce qui signifie que les attaquants peuvent facilement forger des tickets au sein du système. « Golden Ticket » et « Silver Ticket » sont deux des types les plus graves d’attaques PTT que les adversaires utilisent pour compromettre le domaine et y maintenir leur persistance.
Pour y faire face, il faut détecter les comptes de service informatiques et les tickets Kerberos Ticket Granting Ticket (TGT) vulnérables, ainsi que repérer et signaler les erreurs de configuration susceptibles de mener à des attaques PTT. De plus, un produit comme Singularity Identity peut empêcher l’utilisation de tickets falsifiés sur les endpoints.
4. Se protéger contre les attaques Kerberoasting, DCSync et DCShadow
Une attaque « Kerberoasting » offre aux adversaires un moyen simple d’obtenir un accès privilégié, tandis que les attaques DCSync et DCShadow leur permettent de maintenir une présence dans le domaine de l’entreprise.
Les défenseurs doivent évaluer AD en continu, analyser les attaques visant AD en temps réel et recevoir des alertes sur les erreurs de configuration qui les rendent possibles. Un produit capable d’exploiter sa présence sur les endpoints pour empêcher les attaquants de découvrir des comptes à cibler peut également entraver ces attaques.
5. Empêcher la collecte d’identifiants dans les partages de domaine
Les adversaires ciblent souvent les mots de passe en texte clair ou réversibles enregistrés dans des scripts ou des fichiers de stratégie de groupe situés dans des partages de domaine comme Sysvol ou Netlogon.
Un produit comme Singularity Identity Posture Management peut détecter ces mots de passe pour que les défenseurs corrigent leur exposition avant que les attaquants ne les ciblent. Des mécanismes comme ceux de Singularity Identity peuvent aussi déployer des objets de stratégie de groupe Sysvol leurres dans l’AD de production. Les attaquants sont ainsi détournés des ressources de production.
Singularity™ Identity
Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.
6. Repérer les comptes dotés d’un SID privilégié masqué
En injectant un identifiant de sécurité Windows (SID), les adversaires peuvent exploiter l’attribut « historique » du SID pour se déplacer latéralement dans l’environnement AD et élever davantage leurs privilèges.
Pour empêcher cette attaque, il faut détecter et signaler les comptes dont l’attribut d’historique SID contient des valeurs SID privilégiées connues.
7. Détecter les délégations dangereuses de droits d’accès sur les objets critiques
La délégation est une fonctionnalité d’AD qui autorise un compte utilisateur ou ordinateur à emprunter l’identité d’un autre compte. Par exemple, lorsqu’un utilisateur sollicite une application hébergée sur un serveur web, celle-ci peut utiliser ses identifiants pour accéder à des ressources hébergées sur un autre serveur. Tout ordinateur du domaine pour lequel la délégation non contrainte est activée peut utiliser les identifiants d’un utilisateur auprès de n’importe quel autre service du domaine. Malheureusement, les attaquants peuvent exploiter cette fonctionnalité pour accéder à différentes parties du réseau.
La surveillance continue des vulnérabilités d’AD et des expositions liées à la délégation aide les défenseurs à les repérer et à les corriger avant que les adversaires ne les exploitent.
8. Repérer les comptes privilégiés pour lesquels la délégation est activée
Les comptes privilégiés configurés avec une délégation non contrainte peuvent mener directement à des attaques Kerberoasting et Silver Ticket. Les entreprises doivent pouvoir détecter et signaler les comptes privilégiés pour lesquels la délégation est activée.
Une liste complète des utilisateurs privilégiés, des administrateurs délégués et des comptes de service aide les défenseurs à faire le point sur les vulnérabilités potentielles. La délégation n’est pas mauvaise en soi. Elle répond souvent à un besoin opérationnel, mais les défenseurs peuvent utiliser un outil comme Singularity Identity pour empêcher les attaquants de découvrir ces comptes.
9. Repérer les utilisateurs non privilégiés dans l’ACL AdminSDHolder
Les services de domaine Active Directory (AD DSs) utilisent l’objet AdminSDHolder et le processus de propagation des descripteurs de sécurité (SDProp) pour protéger les utilisateurs et les groupes privilégiés. L’objet AdminSDHolder possède une liste de contrôle d’accès (ACL) unique, qui définit les autorisations des principaux de sécurité membres des groupes AD privilégiés intégrés. Pour faciliter leurs déplacements latéraux, les attaquants peuvent ajouter des comptes à AdminSDHolder et leur accorder les mêmes accès privilégiés qu’aux autres comptes protégés.
Les organisations peuvent empêcher cette activité avec un outil comme Singularity Identity Posture Management pour détecter les comptes inhabituels présents dans l’ACL AdminSDHolder et déclencher une alerte.
10. Repérer les modifications récentes des stratégies Default Domain Policy et Default Domain Controllers Policy
Dans AD, les organisations utilisent les stratégies de groupe pour gérer différentes configurations opérationnelles en définissant des paramètres de sécurité propres à leur environnement. Ces stratégies configurent souvent les groupes d’administration et incluent des scripts de démarrage et d’arrêt. Les administrateurs les utilisent pour définir les exigences de sécurité de l’organisation à chaque niveau, installer des logiciels et gérer les autorisations sur les fichiers et le registre. Les attaquants peuvent toutefois modifier ces stratégies pour maintenir leur présence dans le domaine.
Surveiller les modifications des stratégies de groupe par défaut permet aux défenseurs de repérer rapidement ces attaquants, de réduire les risques de sécurité et de prévenir les accès privilégiés à AD.
Réduire les risques liés à l'identité dans l'ensemble de votre organisation
Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.
Déployer les bons outils
Comprendre les tactiques les plus courantes des adversaires qui ciblent AD aide les entreprises à le protéger. Lors du développement de Singularity Identity Posture Management et de Singularity Identity, nous avons étudié de nombreux vecteurs d’attaque pour déterminer comment les détecter et les déjouer.
Grâce à ces outils, les entreprises peuvent identifier les vulnérabilités, détecter rapidement les activités malveillantes et remédier aux incidents de sécurité avant que les intrus n’élèvent leurs privilèges et ne transforment une attaque limitée en compromission majeure. Protéger AD est un défi, mais les outils actuels de protection d’AD permettent de le relever.
FAQ sur les bonnes pratiques de sécurité d’Active Directory
La sécurité d’Active Directory regroupe les mesures et pratiques qui protègent votre environnement Microsoft Active Directory contre les cybermenaces. Elle régit l’accès aux ressources de votre réseau en gérant les comptes utilisateurs, les ordinateurs et les autorisations depuis un point central. Elle vérifie l’identité des utilisateurs et détermine ce qu’ils peuvent faire une fois connectés.
Elle comprend l’authentification, l’autorisation, les contrôles d’accès et la surveillance pour empêcher les utilisateurs non autorisés de modifier vos systèmes et vos données.
La sécurité d’Active Directory est essentielle : si des attaquants accèdent à votre AD, ils peuvent prendre le contrôle de l’ensemble de votre environnement. AD régit l’accès aux systèmes, aux applications et aux données sensibles de votre réseau. Sa compromission peut entraîner des fuites massives de données, une altération des systèmes ou même l’arrêt complet du réseau.
Azure AD subit désormais 25 milliards d’attaques par an. Si ce composant central n’est pas sécurisé, les acteurs malveillants peuvent élever leurs privilèges, se déplacer latéralement dans votre réseau, déployer un ransomware ou voler des identifiants. Les conséquences peuvent paralyser vos activités et entraîner des pertes financières considérables.
Limitez le nombre d’utilisateurs disposant de privilèges et attribuez les accès par groupe plutôt que par autorisations individuelles. Appliquez des règles de mots de passe exigeantes et imposez la MFA à tous les comptes administrateurs. Désactivez les services inutiles comme Print Spooler et SMBv1, et limitez NTLM dans la mesure du possible. Réalisez régulièrement des évaluations de sécurité pour repérer et supprimer les comptes inactifs avant qu’ils ne deviennent des vecteurs d’attaque.
Surveillez en permanence les activités suspectes dans AD, notamment les modifications des groupes privilégiés et les échecs de connexion. Sécurisez physiquement les contrôleurs de domaine et prévoyez des procédures adaptées de sauvegarde et de restauration.
La MFA renforce considérablement la sécurité d’AD en ajoutant des étapes de vérification au-delà du mot de passe. Même si des attaquants volent vos identifiants par phishing ou par attaque par force brute, ils ne peuvent pas accéder à AD sans un second facteur, comme une application mobile ou un jeton matériel. La MFA bloque plus de 99,9 % des attaques automatisées et réduit de 98,56 % le risque de compromission, même lorsque des identifiants ont fuité.
Vous pouvez utiliser différentes méthodes, comme Microsoft Authenticator, les clés FIDO2, la biométrie ou des plateformes comme SentinelOne, pour compliquer la compromission des comptes. La MFA améliore aussi la traçabilité des accès pour les analyses forensiques en cas d’incident.
Votre liste de contrôle de la sécurité AD doit commencer par un audit de l'état actuel de la sécurité et le repérage des comptes obsolètes à supprimer. Passez ensuite en revue et renforcez les politiques de mots de passe, puis appliquez des politiques de verrouillage des comptes pour bloquer les tentatives par force brute. Déployez également l'authentification multifacteur pour tous les comptes à privilèges et définissez des politiques de contrôle d'accès sécurisées fondées sur le principe du moindre privilège. Mettez en place une gestion régulière des correctifs, évaluez les vulnérabilités et réalisez des audits AD pour repérer les problèmes de configuration.
Activez la journalisation et la surveillance des événements critiques, notamment les modifications des groupes d’administrateurs du domaine et les échecs d’authentification. Documentez vos politiques de sécurité, formez vos équipes aux bonnes pratiques et testez régulièrement vos procédures de restauration d’AD.
Surveillez les identifiants d’événement spécifiques dans vos journaux de sécurité, notamment les échecs de connexion (4625), les verrouillages de comptes (4740) et les tentatives d’élévation de privilèges (4672). Repérez les modifications non autorisées des groupes privilégiés, comme les administrateurs du domaine et de l’entreprise : elles signalent souvent une compromission. Configurez des alertes en temps réel pour les connexions inhabituelles, notamment plusieurs échecs depuis une même adresse IP ou des connexions en dehors des horaires habituels.
Surveillez les modifications des stratégies de groupe, les réinitialisations de mots de passe des comptes administrateurs et tout changement des paramètres des contrôleurs de domaine. SentinelOne suit ces activités et automatise leur détection ainsi que l’envoi d’alertes
En savoir plus sur Sécurité des identités
Prêt à révolutionner vos opérations de sécurité ?
Découvrez comment SentinelOne AI SIEM peut transformer votre SOC en une puissance autonome. Contactez-nous dès aujourd’hui pour une démonstration personnalisée et voyez l’avenir de la sécurité en action.
