Durcir l’Active Directory avant que l’attaquant ne le fasse

L’Active Directory est au cœur de l’informatique dans la plupart des entreprises. Celui qui le contrôle, contrôle tout : chaque serveur, chaque accès, chaque partage. C’est précisément pour cela qu’il est la première cible après une intrusion réussie. La bonne nouvelle est que les voies menant à lui sont connues. Celui qui connaît les chemins d’attaque typiques peut les fermer de manière ciblée avant qu’un attaquant ne les emprunte.

Pourquoi l’Active Directory est la première cible

Un attaquant qui prend le contrôle d’une seule station de travail n’a encore que peu accompli. La valeur réside dans la propagation. L’Active Directory gère les identités, les droits et l’accès à presque toutes les ressources d’un environnement Windows. Celui qui obtient le contrôle d’un administrateur de domaine peut se connecter partout sans être remarqué, extraire des données et, dans le pire des cas, chiffrer l’intégralité de l’environnement.

C’est pourquoi presque chaque attaque de grande envergure suit le même schéma. Après le premier accès, l’attaquant cherche des moyens d’augmenter ses droits et de se déplacer latéralement dans le réseau. L’objectif est toujours le même : passer d’un compte normal à un compte privilégié et de là au contrôle total du domaine. Celui qui rend ce mouvement plus difficile retire à l’attaque sa puissance.

Les chemins d’attaque typiques

Les voies vers le contrôle du domaine sont bien documentées. Lors du Kerberoasting, un attaquant demande des tickets pour des comptes de service et craque leurs mots de passe souvent faibles hors ligne. Avec la délégation illimitée, un serveur compromis peut usurper l’identité d’autres utilisateurs. Des droits d’accès mal configurés dans l’annuaire permettent d’acquérir progressivement des droits supérieurs.

S’y ajoute le vol d’identifiants directement depuis la mémoire d’un système. Si un administrateur se connecte sur un ordinateur déjà compromis, l’attaquant peut intercepter ses identifiants et les réutiliser. Ces chemins ne sont pas des astuces exotiques, mais la norme dans presque toutes les attaques. Leur point commun est qu’ils peuvent être nettement compliqués par des mesures ciblées.

Le modèle Tiering comme fondement

La mesure individuelle la plus efficace est la séparation des privilèges en niveaux, le modèle dit de Tiering. L’idée est simple : les comptes à hauts privilèges ne peuvent se connecter que sur des systèmes tout aussi bien protégés. Un administrateur de domaine ne se connecte jamais sur un poste de travail ordinaire, car ses identifiants pourraient y être interceptés.

Concrètement, cela signifie trois niveaux. Le niveau supérieur comprend les contrôleurs de domaine et les droits les plus élevés. Le niveau intermédiaire comprend les serveurs et les applications. Le niveau inférieur comprend les postes de travail des utilisateurs. Entre ces niveaux, les comptes privilégiés ne doivent pas se mélanger. Cela comprend des comptes administratifs propres à chaque niveau et des postes d’administration dédiés et particulièrement durcis pour les tâches les plus élevées.

Mesures concrètes de durcissement

Sur le fondement du tiering s’appuient des étapes concrètes. Les protocoles obsolètes et non sécurisés doivent être désactivés, en premier lieu les anciens procédés d’authentification faciles à intercepter. Les mots de passe administrateur locaux des ordinateurs devraient être uniques et gérés de manière centralisée, afin qu’un mot de passe craqué n’ouvre pas immédiatement de nombreux systèmes.

Les comptes de service ont besoin de mots de passe longs et aléatoires ou, mieux, de comptes gérés dont les mots de passe sont automatiquement renouvelés par le système lui-même. Cela retire au Kerberoasting sa base. Le nombre de comptes hautement privilégiés doit être réduit au strict nécessaire. Chaque délégation illimitée doit être vérifiée et, si possible, supprimée. Chacune de ces mesures ferme l’un des chemins d’attaque connus.

Détection et contrôle continu

Le durcissement seul ne suffit pas, car les configurations se dégradent au quotidien. Un nouveau compte de service, une autorisation rapidement accordée, un accès de test oublié, et un chemin est à nouveau ouvert. C’est pourquoi le durcissement comprend la surveillance continue. Les demandes de tickets suspectes, les connexions inhabituelles de comptes privilégiés ou les modifications de groupes critiques doivent déclencher des alertes.

Tout aussi importante est la vérification régulière de son propre annuaire avec le regard d’un attaquant. Les outils qui rendent les chemins d’attaque visibles montrent précisément les chaînes par lesquelles un compte pourrait parvenir au contrôle du domaine. Celui qui connaît ces chemins peut les fermer en priorité, au lieu de travailler simultanément et aveuglément à de nombreux endroits.

Par quoi commencer

Le point d’entrée est un état des lieux honnête. Combien de comptes hautement privilégiés existe-t-il vraiment, où se connectent-ils, quels protocoles obsolètes sont encore actifs ? De cet aperçu découle presque naturellement l’ordre : d’abord réduire le nombre de comptes privilégiés, puis limiter leur connexion aux systèmes protégés, puis fermer les lacunes connues en protocoles et délégations.

La véritable erreur serait d’attendre le concept global parfait. Chaque chemin fermé réduit le risque immédiatement. Le durcissement de l’Active Directory n’est pas un projet ponctuel, mais une discipline qui, une fois mise en place, est entretenue en permanence. Le premier pas compte plus que le plan parfait.

Questions fréquentes

Chaque question est verrouillée. Un clic la déverrouille.

Pourquoi l’Active Directory est-il une cible si prisée ?

Parce qu’il gère les identités et les droits d’accès pour presque tout l’environnement Windows. Celui qui prend le contrôle du domaine peut se connecter partout, extraire des données et, dans le pire des cas, tout chiffrer.

Qu’est-ce que le Tiering et pourquoi est-il si important ?

Le Tiering sépare les comptes privilégiés en niveaux. Un administrateur de domaine ne se connecte que sur des systèmes tout aussi bien protégés, jamais sur un poste de travail ordinaire. Ainsi, ses identifiants ne peuvent pas être interceptés sur un ordinateur compromis.

Qu’est-ce que le Kerberoasting ?

Un attaquant demande des tickets pour des comptes de service et tente de craquer leurs mots de passe souvent faibles hors ligne. Des mots de passe longs, aléatoires ou automatiquement renouvelés pour les comptes de service privent l’attaque de sa base.

Suffit-il de durcir l’Active Directory une seule fois ?

Non. Les configurations se dégradent au quotidien par de nouveaux comptes, des autorisations rapides ou des accès oubliés. Le durcissement nécessite une surveillance continue et un examen régulier des chemins d’attaque.

Par quoi faut-il commencer ?

Par un état des lieux des comptes hautement privilégiés et des protocoles obsolètes actifs. Ensuite, réduire le nombre de comptes privilégiés, limiter leur connexion aux systèmes protégés et fermer les lacunes connues.

Les choix de la rédaction

À lireMFA adaptative : levier NIS2 zéro-trust PMEÀ lireQuand un appel stoppe la production automobile

Plus du réseau MBF Media

MyBusinessFutureLa surveillance de l’IA en Allemagne a maintenant une adresse