Qu’est-ce que la sécurité Active Directory ? Explication de la sécurité AD

Quelles sont les principales menaces et techniques d’attaque contre Active Directory ?

Voici les principales menaces et techniques d’attaque utilisées contre Active Directory :

Attaques basées sur les comptes

Les attaques Active Directory (AD) basées sur les comptes ciblent vos utilisateurs et tentent de compromettre leurs identifiants. Voici comment fonctionnent les principales :

Golden Ticket (T1558.001)

Les attaques Golden Ticket  sont une sous-technique de Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001). Elles peuvent compromettre des réseaux entiers et accorder un accès non autorisé aux ressources du domaine.

Elle fonctionne avec des outils comme Impacket et Mimikatz pour échapper à la détection, et manipule le protocole d’authentification Kerberos au sein des réseaux Windows.

Silver Ticket

Les attaques Silver Ticket fonctionnent différemment. Elles compromettent vos identifiants utilisateur et abusent de la conception du protocole Kerberos. Les attaques Silver Ticket permettent à l’attaquant de forger des tickets ticket-granting (TGS) pour des services ciblés. Ils sont chiffrés avec un hachage de mot de passe et ces tickets TGS peuvent être générés pour ces services. Les attaques Silver Ticket offrent essentiellement un accès furtif et persistant aux ressources, ne nécessitant que le hachage du mot de passe du compte de service pour y accéder.

Comptes de service sur-privilégiés

Les comptes non humains qui disposent d’autorisations et de contrôles excessifs sont qualifiés de comptes sur-privilégiés dans Active Directory. Ils peuvent provoquer des violations de données, des vols d’identifiants et des perturbations opérationnelles.  Quelles que soient les autorisations qu’ils détiennent, elles dépassent ce qui est nécessaire dans les réseaux.

Vol d’identifiants

Les attaques de vol d’identifiants Active Directory (AD) dérobent des noms d’utilisateur, des mots de passe et d’autres données d’authentification. Voici comment elles fonctionnent :

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002) est une attaque de mouvement latéral dans laquelle l’adversaire vole le hachage de votre mot de passe via un système compromis. Il l’utilise ensuite pour s’authentifier sur un autre système en tant qu’utilisateur légitime.

Pass-the-Ticket (T1550.003)

Pass-the-Ticket (PtT) (MITRE T1550.003) réutilise des tickets Kerberos volés. pour obtenir un accès non autorisé aux ressources de vos réseaux. Les attaquants utilisent Mimikatz pour extraire les TGT de la mémoire de votre système. Ils injectent ces tickets volés dans leurs propres sessions et usurpent l’identité d’utilisateurs légitimes pour accéder à des services exclusifs.

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003) est une technique de collecte et de cassage de comptes de service pour des comptes hors ligne. Tout utilisateur authentifié du domaine peut le faire. Il n’y a aucun risque d’être détecté sur le réseau et les acteurs de la menace peuvent éviter les politiques de verrouillage de compte puisqu’il s’agit d’une attaque hors ligne. Tant que des SPN sont liés à des comptes utilisateur, vous serez vulnérable.

AS-REP Roasting

Il s’agit d’une attaque de vidage d’identifiants qui exploite des erreurs de configuration dans votre Active Directory. L’attaquant commence par trouver les comptes pour lesquels le paramètre 'Do not require Kerberos preauthentication' est activé. Il/elle envoie une requête d’authentification (AS-REQ) à un contrôleur de domaine au nom d’un utilisateur vulnérable. Aucun mot de passe n’a besoin d’être fourni puisque la pré-authentification est activée, et c’est ainsi que l’attaquant obtient en retour une réponse valide du serveur d’authentification (AS-REP) contenant le Ticket-Granting Ticket (TGT).

Exploitation du service d’annuaire

Voici quelques façons dont les attaquants peuvent exploiter les services Active Directory :

DCsync/DCShadow (T1003.006/T1528)

L’attaque DCSync extrait des identifiants en exploitant le processus de réplication d’AD. L’attaquant peut usurper l’identité de contrôleurs de domaine et demander à un autre de répliquer directement pour lui des données sensibles de mot de passe.

Les attaques DCShadow poussent des modifications malveillantes grâce à des privilèges de niveau supérieur obtenus par l’attaquant. C’est une excellente technique de persistance furtive et elle peut forcer des machines compromises à se faire passer pour des contrôleurs de domaine malveillants sur les réseaux.

Exploitation des services de certificats AD (chemins d’attaque ESC1–ESC8)

Les chemins d’attaque ESC1 impliquent l’utilisation de modèles de certificats vulnérables pour exploiter des erreurs de configuration. L’attaquant peut utiliser des outils comme Certipy pour identifier ces modèles et demander des certificats au nom d’utilisateurs. Il peut s’authentifier en tant qu’utilisateur privilégié et lancer d’autres attaques en utilisant ces certificats.

ESC8 (NTLM Relay) tire parti de services d’inscription web AD CS mal configurés. Ils utilisent l’authentification NTLM au lieu de HTTP et peuvent forcer des comptes privilégiés à s’authentifier auprès de services malveillants en relayant des hachages NTLM.

Abus des approbations et de la délégation

Les attaquants peuvent abuser des approbations dans des environnements multidomaines qui permettent aux utilisateurs d’accéder à d’autres ressources. Ils peuvent élever leurs privilèges dans des domaines approuvés et compromettre des machines avec des délégations sans contrainte.  La délégation contrainte basée sur les ressources (RBCD) est une autre façon pour eux d’entrer et de mal configurer les services exécutés sur les systèmes afin d’élever leurs privilèges.

Attaques de réplication

Les services de réplication Active Directory peuvent pousser des modifications malveillantes et tenter de voler des identifiants en exploitant l’annuaire. Voici comment fonctionnent les attaques de réplication :

• Requêtes de réplication non autorisées (DCsync) : Cela permet à un attaquant d’usurper l’identité d’un contrôleur de domaine (DC) et de demander des données sensibles.
• Contrôleur de domaine fantôme (DCShadow) : Il s’agit d’une technique très furtive dans laquelle l’attaquant enregistre un DC malveillant. Ce dernier pousse des modifications malveillantes dans l’annuaire via la réplication normale.
• Persistance via l’abus d’AdminSDHolder/ACL : L’attaquant obtient un accès persistant via un compte privilégié compromis. Il/elle modifie les autorisations sur l’objet AdminSDHolder. Cela rétablit également automatiquement les modifications manuelles des autorisations pour les groupes protégés.

Comment durcir Active Directory : bonnes pratiques et checklist

Voici votre checklist de durcissement de la sécurité Active Directory. Elle répertorie également les bonnes pratiques de sécurité Active Directory que vous pouvez suivre :

• Les comptes administratifs doivent restreindre l’accès via la gestion des accès privilégiés. Supprimez les autorisations inutiles et appliquez le modèle du moindre privilège. Empêchez la prolifération des identifiants dans votre environnement de domaine en auditant régulièrement les comptes.
• Les serveurs de rebond peuvent fournir des points d’accès contrôlés et empêcher les mouvements latéraux lors de violations potentielles. Créez une segmentation réseau entre les utilisateurs réguliers et les tâches de gestion de domaine. Assurez-vous de sécuriser vos postes de travail d’administration et de mettre en place une hiérarchisation.
• Activez la signature LDAP, car elle empêche les attaques de l’homme du milieu, tandis que la liaison de canal bloque les tentatives de relais d’identifiants contre vos services d’annuaire.
• Définissez des politiques de mot de passe robustes et une rotation automatisée des mots de passe pour les comptes de service afin de réduire la surface d’attaque. Changez souvent les mots de passe et assurez-vous qu’ils sont uniques afin de rendre les attaques basées sur les identifiants plus difficiles à exécuter pour les acteurs de la menace.
• Certificate Services nécessitera des modèles et des contrôles d’inscription appropriés pour être renforcé. Vous devrez configurer soigneusement les approbations de fédération afin d’empêcher l’élévation de privilèges inter-domaines et les tentatives d’accès non autorisé aux ressources.
• Vérifiez vos postes de travail, applications, serveurs membres et dépôts de données pour vous assurer que vous n’avez accordé aucun privilège excessif aux comptes utilisateur. Commencez à utiliser des hôtes d’administration sécurisés et vérifiez également leur sécurité physique, en plus de la sécurité des systèmes et du réseau.
• Vous pouvez définir des bases de référence de configuration de sécurité pour vos contrôleurs de domaine et les appliquer avec des objets de stratégie de groupe (GPO).  Utilisez des stratégies d’audit avancées et classez vos données AD.

Comment détecter les attaques Active Directory : surveillance et signaux de détection des menaces

Il existe de nombreux signaux à surveiller dans les environnements Active Directory qui peuvent vous aider à superviser et à arrêter les attaques net. Voici ce qu’il faut rechercher :

Journaux et télémétrie

Collectez les journaux d’événements des contrôleurs de domaine. Vérifiez les demandes de tickets Kerberos et les rapports DC Diagnostics pour repérer des schémas inhabituels. Surveillez les pics de demandes de ticket-granting-ticket ou les échecs d’authentification répétés provenant d’un seul hôte. Corrélez la télémétrie entre les services pour identifier précisément la reconnaissance ou l’abus de privilèges.

Outils/analytique

Utilisez des outils de cartographie des chemins d’attaque et des moteurs de détection d’anomalies pour visualiser la manière dont les identifiants circulent dans votre réseau. Les plateformes de surveillance réseau suivent le trafic Est-Ouest et identifient les appels SMB ou RPC inhabituels ; elles peuvent révéler des mouvements latéraux cachés.

Indicateurs de compromission

Recherchez les SPN qui apparaissent sur des hôtes inattendus, les tickets Kerberos réutilisés sur plusieurs comptes et les changements soudains de groupe. Vous devez signaler tout compte dont les droits d’accès changent sans workflow approuvé ou tout ticket émis en dehors des heures normales de bureau.

Comment répondre et récupérer après une violation d’Active Directory

Les menaces Active Directory peuvent faire des ravages dans votre organisation lorsqu’elles ne sont pas maîtrisées. Voici comment répondre et récupérer après une violation de sécurité Active Directory :

Vous devez immédiatement isoler tout compte compromis pour éviter des dommages supplémentaires. Révoquez vos tickets et réinitialisez les limites de mot de passe pendant l’analyse forensique. Vous devez préserver toutes les preuves que vous trouvez pour une enquête plus approfondie et la planification de la reprise.

Vous devez également restaurer vos systèmes. Effectuez des sauvegardes propres et concentrez-vous sur la récupération de la base de données NTDS. L’analyse forensique peut vous aider à identifier les techniques d’attaque Active Directory, les vecteurs et les systèmes compromis avant de remettre les services en ligne en toute sécurité.

Le renforcement post-incident doit appliquer les enseignements tirés de la violation. Modifiez vos configurations et effectuez une surveillance supplémentaire pour prévenir des attaques similaires tout en améliorant la posture de sécurité globale de votre organisation et ses capacités de détection.

Quels outils et technologies renforcent la sécurité d’Active Directory ?

Voici quelques outils et technologies qui peuvent renforcer votre sécurité Active Directory :

Technologies SIEM/EDR/détection des menaces liées aux identités

Les systèmes de gestion des informations et des événements de sécurité collectent les journaux d’authentification des contrôleurs de domaine et analysent les schémas comportementaux à la recherche d’indications d’activités suspectes telles que le vol d’identifiants ou l’élévation de privilèges. Les systèmes Endpoint Detection and Response analysent de manière proactive les postes de travail afin de détecter les infections par des malwares ainsi que les tentatives de déplacement latéral, tandis que les systèmes Identity Threat Detection analysent les anomalies d’authentification dans votre environnement hybride. Ces systèmes effectuent une corrélation croisée des événements provenant de multiples sources afin de détecter des indications de menaces persistantes avancées.

Logiciels de gestion des chemins d’attaque cyber + gestion des identités/privilèges

Les logiciels de gestion des accès à privilèges sécurisent les identifiants administrateur dans des coffres-forts chiffrés et fournissent un accès juste-à-temps avec des workflows d’approbation automatisés. Ces plateformes modélisent les surfaces d’attaque potentielles dans l’ensemble de votre environnement tout en imposant les principes du moindre privilège avec une rotation automatisée des mots de passe des comptes de service. Des produits comme SentinelOne Singularity™ Identity Detection & Response assurent également la prévention de la prolifération des identifiants via la gestion des comptes à privilèges avec une surveillance en temps réel de l’activité des sessions.

Surveillance, automatisation et  Threat Hunting

Les contrôles de surveillance des changements supervisent les modifications des objets Active Directory, des appartenances aux groupes et des autorisations avec des alertes en temps réel. Les systèmes automatisés reconnaissent les dérives de configuration, identifient les comptes inactifs et mettent en évidence les schémas d’authentification anormaux pouvant indiquer une compromission. Les technologies de Threat Hunting intègrent les signaux d’identité aux données réseau et endpoint pour identifier les menaces avancées qui échappent aux contrôles de sécurité conventionnels.

Les erreurs courantes et les mauvaises configurations mettent Active Directory en danger

Les erreurs fréquentes et les mauvaises configurations compromettent la sécurité d’Active Directory. LDAP ouvert, mots de passe faibles, appartenance excessive à des groupes privilégiés, approbations mal configurées, comptes dormants, etc.

De nombreuses organisations laissent les canaux LDAP non signés. Elles créent des opportunités d’interception d’identifiants et d’attaques par relais pendant les processus d’authentification. Des politiques de mot de passe faibles combinées à une appartenance excessive aux groupes Domain Admins élargissent inutilement les surfaces d’attaque. Des relations d’approbation mal configurées entre les domaines permettent une élévation de privilèges tandis que des comptes dormants fournissent des portes dérobées persistantes qui échappent aux systèmes de surveillance normaux. Sans cycles de révision réguliers, les comptes de service peuvent souvent obtenir des autorisations excessives.

Tendances émergentes et risques liés à la sécurité d’Active Directory

Voici ce qu’il faut surveiller :

Risques d’intégration hybride AD + Azure AD

Les déploiements cloud hybrides des organisations créent de nouvelles surfaces d’attaque, car les acteurs de la menace exploitent les écarts de synchronisation entre les infrastructures d’identité sur site et cloud. Les déploiements insuffisamment configurés d’Azure AD Connect ainsi que les approbations de fédération ADFS créent des opportunités d’élévation de privilèges sur les deux infrastructures. Les services de synchronisation des identités sont perçus par les attaquants comme un moyen d’attaquer simultanément les identifiants sur site et dans le cloud.

Menaces sur les identités cloud, menaces de la chaîne d’approvisionnement, tactiques d’adversaires IA

Les cybermenaces avancées utilisent des algorithmes de machine learning pour analyser des listes d’identifiants volés, automatisant ainsi des méthodes d’attaque sophistiquées comme le password spraying et le credential stuffing. Les compromissions de la chaîne d’approvisionnement ciblent de plus en plus les administrateurs d’identité et les autorités de certification, tandis que les forces de menace attaquent les principaux de service cloud sur-privilégiés et les identités d’application disposant de trop nombreux privilèges.

Évolutions des politiques/de la gouvernance et pressions réglementaires

Les normes de conformité imposent aujourd’hui l’absence de privilèges permanents ainsi qu’une surveillance continue des identités avec des pistes d’audit complètes pour chaque activité privilégiée. Les entreprises doivent mettre en œuvre des modèles d’accès juste-à-temps avec séparation des tâches et revues d’accès automatisées. Les nouvelles législations favorisent l’adoption de technologies de gouvernance des identités qui imposent une authentification basée sur le risque ainsi qu’une vérification continue de la conformité.

Mesures et KPI de sécurité Active Directory à suivre

Voici les principales mesures et KPI de sécurité Active Directory à suivre :

• Temps moyen de détection : Vous devez mesurer la rapidité avec laquelle votre équipe de sécurité découvre les menaces potentielles, depuis la compromission initiale jusqu’à la détection, avec un objectif optimal de détection compris entre 30 minutes et 4 heures.
• Temps moyen de réponse : Cela mesure le temps écoulé entre la détection de la menace et son confinement complet ainsi que sa remédiation. Les deux aident à mesurer la maturité de vos processus de réponse aux incidents et votre couverture de détection des contrôleurs de domaine et des systèmes d’authentification.
• Exposition des comptes privilégiés : Gardez un œil sur l’ensemble des comptes détenant des droits d’administration privilégiés dans votre domaine en surveillant les changements d’appartenance à des groupes à haut risque tels que Domain Admins et Enterprise Admins.  Vous devrez suivre les comptes privilégiés inutilisés qui n’ont pas été consultés dans un certain délai, les tentatives de connexion infructueuses contre les comptes administrateur, ainsi que la durée des sessions privilégiées, en plus des indications d’utilisation de comptes privilégiés en dehors des heures ouvrées.
• Utilisation des protocoles hérités : Surveillez les tentatives d’authentification utilisant des protocoles obsolètes comme NTLM, LDAP non signé et les anciennes versions de TLS qui permettent les attaques de relais d’identifiants..
• Couverture d’audit : Suivez le nombre de contrôleurs de domaine avec une journalisation complète activée pour les événements d’authentification, les changements de privilèges et les modifications de stratégie. Vous devrez identifier les lacunes dans la collecte et la conservation des journaux sur votre infrastructure AD afin d’éviter les angles morts.
• Nombre de comptes obsolètes : Vérifiez les comptes utilisateur et ordinateur qui n’ont pas été authentifiés dans les délais définis, généralement 90 jours pour les utilisateurs et 30 jours pour les ordinateurs. Surveillez les activités de nettoyage et le ratio entre comptes actifs et inactifs dans votre environnement de domaine.

Sécurité Active Directory avec SentinelOne

Si vous voulez savoir comment sécuriser Active Directory, voici une solution :

Singularity™ Identity Detection & Response peut vous aider à mettre fin à l’utilisation abusive des identifiants grâce à une défense de l’infrastructure en temps réel pour Active Directory et une défense pour Active Directory et Entra ID. Il protège les contrôleurs de domaine et les actifs joints au domaine contre les adversaires cherchant à obtenir des privilèges et à se déplacer furtivement.

Vous pouvez détecter les attaques AD dans toute l’entreprise provenant de tous les systèmes gérés ou non gérés sur n’importe quel OS, depuis tout type d’appareil, y compris l’IoT et l’OT. Vous pouvez détourner les attaquants des joyaux de la couronne d’AD et, à la place, les induire en erreur dans des impasses avec des leurres et de fausses informations. Il peut masquer et refuser l’accès aux données stockées localement et dans le cloud tout en rendant simultanément les mouvements latéraux extrêmement difficiles pour les attaquants.

Vous pouvez :

• Améliorer la sécurité d’Active Directory et gagner en visibilité et en connaissance des activités des attaquants ciblant les serveurs de domaine critiques
• Obtenir de la visibilité sur les compromissions de comptes de service qui permettent aux attaquants d’élever leurs privilèges sur les endpoints.
• Identifier les mauvaises configurations des listes de contrôle d’accès et des délégations qui accordent à des comptes des droits élevés sans appartenance appropriée.
• Protéger les comptes utilisateur, de service et système à forte valeur contre la compromission par des attaquants.
• Obtenir une mise en valeur rapide et bénéficier d’une couverture complète pour Active Directory on-premises, Entra ID et les environnements multi-cloud

Singularity™ Identity Detection & Response prend en charge votre programme Zero Trust et peut limiter la confiance implicite aux applications et aux ressources de données grâce à des fonctions de gestion des accès contrôlés. Il identifiera les expositions d’identité sur les endpoints, AD et le cloud afin de réduire votre surface d’attaque globale. Il peut détecter les attaques d’identité provenant soit des endpoints, soit des contrôleurs de domaine, et alerter sur les violations de la confiance d’identité.

Vous comprendrez le chemin menant à une compromission et découvrirez visuellement des cartes topographiques montrant comment les adversaires pourraient faire progresser leurs attaques d’un système à un autre. En l’utilisant, vous pouvez découvrir des éléments cachés dans l’ensemble du réseau qui permettent les mouvements latéraux, notamment les surfaces exposées, les actifs d’identifiants orphelins et les violations de politique. Vous pouvez utiliser notre AI-SIEM  pour l’analyse des journaux et SentinelOne dispose également de Singularity™ Endpoint pour la sécurité des endpoints.

Réduire les risques liés à l'identité dans l'ensemble de votre organisation

Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.

Obtenir une démonstration

Conclusion

La sécurité d’Active Directory n’est pas une approche universelle. C’est une combinaison de mesures, d’outils et de technologies, ainsi que de pratiques que vous utiliserez pour renforcer les environnements Active Directory. Procédez étape par étape et commencez par les bases. Vérifiez votre infrastructure de sécurité existante, les comptes utilisateurs et effectuez un audit. Ensuite, progressez à partir de là.

Si vous recherchez les meilleurs outils de sécurité Active Directory, vous pouvez contacter l’équipe SentinelOne. Nos services peuvent vous aider.