Attaque
Chemin d’attaque Active Directory
Aussi appeléAttack pathChemin d’attaque ADActive Directory
En résumé
Une suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine. Chaque maillon est souvent autorisé isolément ; c’est leur enchaînement qui constitue le risque.
Chemin d’attaque Active Directory, en détail
Active Directory est l’annuaire qui gère les comptes, les groupes, les machines et les droits dans la plupart des entreprises disposant d’un parc Windows. Il accumule des années de décisions : groupes imbriqués, délégations accordées pour résoudre un incident, comptes oubliés, droits hérités. L’ensemble forme un graphe de relations, et un attaquant qui y entre avec un compte quelconque cherche le plus court chemin vers les comptes les plus puissants.
Un chemin type enchaîne des étapes banales : un compte standard dispose du droit de réinitialiser le mot de passe d’un autre compte, lui-même administrateur local d’un serveur, sur lequel est ouverte la session d’un administrateur du domaine dont les identifiants peuvent être récupérés. Des outils d’analyse comme BloodHound représentent ces relations sous forme de graphe et calculent ces chemins, tant pour les attaquants que pour les défenseurs.
La réduction des chemins passe par la hiérarchisation des comptes en niveaux (le modèle d’administration en tiers : définition), par la suppression des droits excessifs et des délégations oubliées, par la protection des comptes à privilèges et par la limitation des sessions d’administrateurs sur les postes et serveurs de niveau inférieur. Chaque chemin supprimé est un risque qui disparaît, indépendamment de la détection.
Qu’est-ce que cela change pour vous ?
Un compromis initial banal, comme un poste d’utilisateur, devient une compromission de l’ensemble du domaine quand un chemin existe. Cartographier ces chemins et les couper est l’une des actions défensives à meilleur rapport efficacité-coût dans un système d’information Windows.
Exemple illustratif (fictif)
Imaginons un annuaire où un compte de support dispose d’un droit d’écriture sur un groupe qui administre un serveur d’impression, sur lequel une session d’administrateur du domaine reste ouverte. Trois étapes sépareraient alors le compte de support du contrôle du domaine.
La confusion fréquente
Chercher une vulnérabilité unique à corriger. Un chemin d’attaque n’est pas un défaut logiciel : il n’a pas de correctif éditeur, et un scanner de vulnérabilités ne le voit pas, parce que chaque maillon pris seul est une configuration autorisée.
Comment le détecter chez vous ?
- Audit Active Directory : la prestationSavoir qui peut devenir administrateur du domaine, et par quel chemin.
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
Aller plus loin
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- AttaqueKerberoasting : définitionUne technique d’attaque contre Active Directory où un utilisateur ordinaire du domaine demande des tickets de service Kerberos pour des comptes de service, puis tente de retrouver leur mot de passe hors ligne.
- AttaqueMouvement latéral : définitionL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- AttaqueÉlévation de privilèges : définitionL’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale).
- TechniqueMicrosoft Entra ID : définitionLe service d’annuaire et de gestion des identités et des accès dans le cloud de Microsoft, anciennement Azure Active Directory.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début