5 mesures de durcissement AD selon un pentesteur
La newsletter Authentication Insights
Ceci est un article invité de Spencer Alessi, pentester senior chez SecurIT360 et Microsoft MVP.
Quand on passe autant de temps que moi dans des réseaux internes et des environnements Active Directory, on finit par remarquer des tendances. Des tendances qui affaiblissent la sécurité et qui, malheureusement, facilitent l'attaque d'une organisation.
C'est pour cela que le durcissement et les fondamentaux bien faits me passionnent autant. Parce que ça compte, énormément.
La tâche ne devient pas plus facile pour les défenseurs. Dans le même temps, elle devient plus facile pour les attaquants. Ce n'est pas une équation que nous devrions laisser durer.
Si j'étais dans votre environnement, voici 5 des domaines de durcissement et de configuration les plus importants que je vérifierais pour mieux sécuriser votre réseau.
LAPS : Local Administrator Password Solution
LAPS se déploie en quelques heures ou quelques jours. Il protège contre le scénario où un attaquant parvient à compromettre l'un de vos postes et à voler un mot de passe (ou un hash) d'administrateur local.
Lors de pentests internes, j'ai exploité ce scénario pour me déplacer latéralement plus de fois que je ne saurais le compter.
Que faire ?
Commencez par un groupe de test et réglez les détails à ce stade. Déployez ensuite service par service. Passez ensuite aux serveurs. Puis à tout le reste.
Surtout : soyez méthodique, testez et documentez bien.
Services de certificats et modèles
Les services de certificats Active Directory (AD CS) restent une grande boîte noire pour la plupart des équipes IT. Malheureusement, ils sont aussi très ciblés par les attaquants, en raison des nombreuses façons d'exploiter les erreurs de configuration pour élever ses privilèges.
Les plus dangereuses de ces failles peuvent permettre à des Utilisateurs du domaine d'usurper l'identité d'Admins du domaine et, en pratique, de prendre le contrôle de tout le domaine.
Et ce n'est même pas difficile.
Que faire ?
Lancez un outil appelé Locksmith. Il est gratuit, open source et fonctionne très bien. Corrigez ensuite ce qu'il remonte. Gardez en tête que les plus dangereuses sont ESC1, ESC2, ESC4 et ESC8.
Autorisations Active Directory
C'est l'un des domaines les plus subtils, car il faut savoir quoi chercher et où chercher pour trouver les autorisations non sécurisées et dangereuses. Mais c'est souvent là que le durcissement de votre Active Directory offre le meilleur retour sur investissement.
La difficulté, c'est qu'il existe un bon nombre d'autorisations potentiellement dangereuses. Bien souvent, on ne sait même pas qu'elles sont là jusqu'à ce que 1) un incident de sécurité survienne ou 2) quelque chose casse dans l'environnement et qu'on aille chercher l'origine du problème.
Que faire ?
Utilisez l'outil que j'ai écrit, ADeleginator, pour repérer les failles les plus graves et les plus faciles à corriger. Cherchez les groupes à risque disposant d'autorisations dangereuses.
Groupes à risque : Utilisateurs du domaine, Ordinateurs du domaine, Utilisateurs authentifiés et Tout le monde.
Autorisations à risque : FullControl, WriteAllProperties, ResetPassword, Delete (et bien d'autres, trop nombreuses pour être toutes listées ici)
Comptes de service
Autre domaine négligé de la sécurité Active Directory : les comptes de service. Ces comptes disposent généralement de privilèges élevés et d'appartenances à des groupes sensibles, avec bien souvent des droits d'Admin du domaine.
Vous pouvez réduire sensiblement la surface d'attaque en restreignant les accès de ces comptes et en vous assurant qu'ils sont correctement sécurisés.
Que faire ?
D'abord, assurez-vous que les mots de passe de ces comptes sont longs et uniques. Vérifiez que chaque groupe dont ils sont membres est nécessaire et justifié.
Veillez à ce que leurs mots de passe soient gérés via un coffre-fort de mots de passe ou une solution de gestion des privilèges, et à ce que les identifiants ne soient stockés sur aucun partage de fichiers ni aucun document. Surtout pas ceux accessibles à toute l'entreprise.
NTLM
Le plus pinailleur (mot de 10 points ? 😃️) de tous les protocoles d'authentification. Malheureusement, NTLM présente plusieurs failles qui en font une cible de choix pour les attaquants.
On peut le forcer à s'authentifier, le relayer, le voler, et même le casser par force brute dans certaines conditions.
Que faire ?
L'objectif doit être d'éliminer l'usage de NetNTLMv1 dans votre environnement. Commencez par le désactiver dans tout le domaine sur les postes utilisateurs, puis sur les serveurs, et enfin sur vos contrôleurs de domaine.
Petits tests, petites erreurs. Déployez progressivement, testez, documentez, et tout ira bien. L'éliminer complètement prendra du temps, mais je vous le promets (du point de vue d'un attaquant), ça en vaut la peine.
C'est exactement ce dont nous avons parlé pendant le webinar. Nous avons approfondi chacune de ces mesures de durcissement Active Directory, expliqué pourquoi elles comptent plus que jamais, et répondu aux questions à la fin.
Vous l'avez manqué ou vous voulez le revoir ? Voir le replay (en anglais).
Un grand merci à l'équipe Authentication Insights de m'avoir invité à ce webinar. S'il vous a plu, répondez à cet e-mail pour le leur faire savoir, et nous remettrons peut-être ça bientôt !
Bien à vous,
Spencer