Durcissement d'Active Directory : les bonnes pratiques

Si vous cherchez à vous défendre contre les menaces pesant sur la sécurité d'Active Directory, le durcissement d'Active Directory est le point de départ. Ce guide s'appuie sur des bonnes pratiques concrètes issues de plusieurs décennies d'expérience terrain auprès des équipes informatiques AD.

Le durcissement d'Active Directory est un terme générique qui désigne l'ensemble des actions visant à réduire la surface d'attaque de votre annuaire, à protéger les contrôleurs de domaine et les protocoles d'authentification contre les abus, et à mettre en place des fondamentaux tels que le principe de moindre privilège et le cloisonnement AD.

Demandez à n'importe quel professionnel de l'informatique : il vous dira que le paysage des menaces est plus inquiétant qu'il ne l'était l'an dernier. L'IA aide les acteurs malveillants à faire plus de dégâts, plus vite. La surface d'attaque ne se réduit pas. Et il n'est pas toujours facile de justifier un investissement en sécurité pour un réseau AD sur site ou hybride. Si vous rencontrez ces problèmes, la bonne nouvelle est que vous n'êtes clairement pas seul.

Pour un observateur extérieur, la popularité d'Active Directory (AD) peut sembler paradoxale. D'un côté, AD reste la plateforme d'identité sur site la plus utilisée au monde, résistant même aux incitations de Microsoft à migrer vers son cloud Azure. Et pourtant, il a maintenu ce statut malgré de nombreuses failles de sécurité bien documentées, qui continuent de poser des problèmes de cybersécurité même aux grandes organisations disposant de ressources importantes.

Microsoft n'est pas indifférent au problème. La dernière décennie a vu de nombreuses améliorations de sécurité : implémentation du chiffrement LDAP et SMB v3 par défaut, dépréciation de l'authentification NTLM non sécurisée, et introduction de Credential Guard pour renforcer la sécurité des identifiants à privilèges. L'approche a consisté à inciter doucement les administrateurs à utiliser AD de manière plus sécurisée, plutôt que de les y contraindre.

Par ailleurs, les administrateurs qui souhaitent remédier eux-mêmes aux failles de sécurité d'AD ne manqueront pas de conseils. Certaines de ces recommandations sont une seconde nature, comme la mise en place d'une meilleure authentification. Mais au-delà de ces améliorations évidentes, les choses se compliquent, les administrateurs devant faire face à un nombre déconcertant de correctifs possibles.

La voie vers la clarté consiste à comprendre les chemins d'attaque utilisés par les acteurs malveillants pour cibler AD.

Ceux-ci commencent presque toujours par un passage d'un compte AD compromis à faibles privilèges vers un compte à privilèges plus élevés, comme un compte administrateur ou un compte de service. Une réponse consiste donc à mieux protéger les comptes utilisateurs, mais aussi à surveiller les privilèges et les systèmes de gestion entourant les comptes à privilèges plus élevés, plus profondément dans le système.

Il existe de nombreux bons points de départ (nous reviendrons sur les ressources disponibles). Nous apprécions particulièrement la façon dont les agences de sécurité des Five Eyes (NSA, NCSC britannique, CCCS canadien, NCSC-NZ et ASD australien) formulent les bonnes pratiques pour détecter et atténuer les compromissions d'Active Directory.

Elles commencent par noter que « la vulnérabilité d'Active Directory aux compromissions tient en partie au fait que chaque utilisateur d'Active Directory dispose de permissions suffisantes pour identifier et exploiter ses failles. Ces permissions rendent la surface d'attaque d'Active Directory exceptionnellement grande et difficile à défendre. »

Les recommandations établissent ensuite un lien entre la vulnérabilité d'AD et un large éventail de chemins d'attaque résultant de relations de confiance cachées, de relations complexes entre objets, de configurations héritées, de droits délégués et de permissions héritées.

Si la capacité à exploiter les comptes utilisateurs comme chemins d'élévation de privilèges est le problème externe, l'équivalent interne est la complexité même de la gestion d'AD. Il est tout simplement très facile de se tromper et de se retrouver perdu dans un labyrinthe de sécurité qui ne fait que croître avec le temps.

De nombreuses recommandations de durcissement AD sont de petits ajustements, dont certains auront déjà été mis en place par les équipes informatiques. L'intérêt d'une liste longue est que ces mesures fonctionnent mieux ensemble.

Le durcissement d'AD peut être regroupé en trois catégories :

• ce que vous devriez déjà faire ;

• ce que vous ne faites peut-être pas, mais que vous devriez mettre en place dès que possible ;

• ce que vous ne faites pas du tout parce que vous pensiez que ce n'était pas nécessaire.

Certaines recommandations de durcissement débordent sur la politique de sécurité globale, comme la segmentation du réseau, la prudence vis-à-vis d'une dépendance excessive aux solutions EDR, et les tests de sauvegarde et de reprise après sinistre. Toutefois, les recommandations plus spécifiques à AD comprennent souvent les points suivants.

Mettre en place l'authentification multifacteur (MFA) pour tous les utilisateurs, avec la MFA résistante au phishing pour les comptes à privilèges.

Établir un processus de suppression des comptes utilisateurs inactifs. Les identités non surveillées peuvent rapidement devenir un risque.

Identifier et éliminer les protocoles hérités, en commençant par désactiver NTLM sans attendre. Cela contribue à se prémunir contre les attaques NTLM Pass-the-Hash.

Envisager de restreindre les accès administrateurs aux seules Privileged Access Workstations (PAWs).

Changer les mots de passe, mais pas trop souvent. Dans le cas contraire, les utilisateurs choisiront ou réutiliseront des mots de passe faibles. Il est plus sûr de s'assurer que les mots de passe existants respectent la stratégie requise, et d'ajouter un second facteur d'authentification.

S'assurer d'avoir une visibilité sur les stratégies appliquées, à qui ou à quoi elles s'appliquent, et être en mesure de prouver qu'elles fonctionnent comme prévu.

Examiner les paramètres importants d'Active Directory qui sont peut-être encore définis par défaut, comme la stratégie de domaine par défaut et la stratégie des contrôleurs de domaine par défaut. S'assurer qu'ils ne sont pas trop permissifs pour votre environnement.

Sécuriser les comptes de service en utilisant des Group Managed Service Accounts (gMSAs) qui renouvellent des mots de passe longs et complexes selon un calendrier défini. Cela, combiné à la MFA et à une stratégie de mots de passe robuste, peut contribuer à se protéger contre des attaques telles que le Kerberoasting.

Passer de RC4_HMAC à AES-128 ou AES-256 dès que possible.

Les identifiants d'un niveau AD supérieur ne doivent jamais être exposés à un niveau inférieur. Limiter les ordinateurs auxquels les comptes à privilèges peuvent se connecter aux postes de travail administratifs et aux contrôleurs de domaine.

Suivre les sessions utilisateurs en temps réel et configurer des alertes sur les activités suspectes.

Cartographier les chemins d'attaque cachés et détecter les mauvaises configurations à l'aide d'outils open source comme BloodHound et PingCastle.

Considérer les contrôleurs de domaine (DC) comme des actifs critiques. Appliquer les correctifs rapidement, limiter l'exposition réseau, surveiller les accès à privilèges, restreindre les ouvertures de session interactives.

Se prémunir contre les abus de certificats, un chemin d'escalade AD en pleine expansion, en mettant en place l'audit des Services de certificats Active Directory (ADCS).

Donner la priorité aux tests d'intrusion réguliers sur Active Directory, couvrant notamment un grand nombre des problèmes figurant sur cette liste et d'autres listes de durcissement de la sécurité.

Les attaques DCSync tentent de récupérer de nouveaux identifiants auprès d'un contrôleur de domaine en abusant des droits de réplication. Pour y remédier, il convient de limiter les comptes disposant de ces permissions.

Pour résumer ces recommandations :

• Le premier niveau de faiblesse d'AD est l'exposition des identités (comptes non protégés par une authentification ou une surveillance supplémentaire).

• Derrière cela se trouve un niveau plus profond de privilèges excessifs (facilitant les déplacements latéraux),

• dont le risque est amplifié par une configuration qui s'éloigne d'un état idéal au fil du temps.

Ces problèmes reflètent en grande partie la conception vieillissante d'AD, qui date d'une époque où la MFA était marginale, où les installations AD étaient plus petites et plus simples, et où l'idée de surveiller la configuration interne était perçue comme superflue.

Mais même atteindre la première et la plus simple des recommandations de la liste, mettre en place la MFA pour tous les utilisateurs, est plus facile à dire qu'à faire.

Des comptes peuvent ne pas être documentés ou être perdus de vue, tandis que la MFA elle-même est souvent configurée de manière plus permissive pour ne pas nuire à la productivité des utilisateurs. Les utilisateurs trouvent également des moyens de la contourner ou partagent leurs identifiants.

Par ailleurs, les techniques de contournement de la MFA se multiplient et se sophistiquent, ce qui souligne que la MFA est une couche de sécurité (certes importante), mais pas une solution miracle.

Nous savons bien que nous n'effleurons ici que la surface du sujet. Il reste encore beaucoup à dire. Voici quelques ressources auxquelles nous revenons régulièrement pour de précieux conseils.

• L'ANSSI (Agence nationale de la sécurité des systèmes d'information) publie un guide détaillé spécifiquement dédié à la sécurité d'Active Directory.

• Nous apprécions la boîte à outils open source HardenAD de Loic Veirman.

• Jerry Devore de Microsoft propose une série utile sur le durcissement d'Active Directory (en anglais). Elle vaut absolument la peine d'être lue et suivie.

Nous savons qu'il existe d'autres ressources de qualité que nous n'avons pas incluses ici. Faites-nous savoir ce que nous avons oublié !

Aussi contraignant que cela soit, certaines lacunes nécessiteront inévitablement des solutions tierces. AD a, après tout, été maintenu en fonctionnement sur de nombreux réseaux grâce à des produits tiers qui comblent des failles de sécurité ou ajoutent des fonctionnalités manquantes. L'exemple le plus évident est la prise en charge de la MFA et du SSO, des contrôles qu'AD sur site ne propose pas nativement.

UserLock est l'un de ces produits, et a évolué aux côtés d'Active Directory lui-même (depuis l'an 2000). Cela dit, il est important de préciser ce que UserLock est conçu pour faire et ne pas faire.

UserLock est une extension ou une surcouche d'identité pour AD ; il ajoute donc des fonctionnalités et des capacités de sécurité qui font défaut à AD.

Il le fait, de manière importante, en utilisant des concepts et un système de configuration qui répondent aux exigences et aux pratiques modernes, notamment la capacité d'auditer les paramètres en continu.

UserLock prend en charge des formes flexibles de MFA (jetons/clés matériels, notifications push, applications d'authentification). Il permet également d'appliquer des stratégies de MFA différentes selon le type de connexion et de session.

Cette capacité à mettre en œuvre la technologie de manière adaptée, on pourrait même dire humaine, répond à la complexité des environnements informatiques modernes. Elle le fait avec une simplicité que les systèmes cloud, qui dépendent de la connectivité Internet, ne peuvent pas toujours offrir. Par exemple, sur des postes de travail non connectés ou des réseaux isolés.

Elle place également une couche de gestion des accès sur les comptes utilisateurs qu'AD ne possède pas, par exemple en appliquant des restrictions de privilèges à certains utilisateurs ou groupes, ainsi qu'en mettant en place une surveillance et des alertes en temps réel pour détecter les comportements anormaux.

Grâce à UserLock, les administrateurs acquièrent une visibilité importante sur la façon dont les comptes AD interagissent avec l'annuaire et accèdent au réseau.

Certes, UserLock ne peut pas et ne prétend pas atténuer tous les risques. Par exemple, il ne peut pas compenser la vulnérabilité de NTLM, ni les attaques qui tentent d'exploiter son remplaçant, Kerberos.

C'est une plateforme de durcissement de la gestion des identités et non un correctif de sécurité simple. L'intérêt de mettre en place une surcouche de sécurité des identités telle que UserLock est qu'elle fonctionne mieux en combinaison avec d'autres compléments de sécurité tels que LAPS, ADCS, les Group Managed Service Accounts et la large gamme d'outils open source disponibles.