Il est reconnu dans le milieu du Pentest, du Hacking, que d’arriver à prendre la main sur l’Active Directory (AD) d’une entreprise est le résultat d’une attaque réussie, une compromission totale. En effet, depuis l’Active Directory vous pouvez devenir le maître du système d’information. On y trouve de nombreuses informations sur les différents comptes utilisateurs, mais aussi sur les comptes à privilèges. Et comme souvent les mots de passe sont identiques, on peut rebondir d’application en application pour obtenir un black-out complet du système d’information (anéantir les sauvegardes, modifier des bases de données, falsifier des données …). L’AD a survécu aux multiples mises à jour du système d’exploitation, son schéma d’annuaire a évolué avec le temps et continue d’intégrer des ressources qui ne sont plus utilisées, des utilisateurs fantômes voire des comptes à privilèges oubliés….
Il est souvent impacté par les services installés sur le même serveur qui, eux aussi, présentent des vulnérabilités ou des mauvaises configurations introduites par le syndrome du clickodrome.
Malgré les risques élevés sur ce composant du SI, il est souvent peu encadré par des exigences de sécurité.
C’est d’ailleurs à ce sujet que le CERT de l’ANSSI a produit un document il y a quelques mois sur des points de contrôles à effectuer sur l’annuaire Windows. On peut se poser la question de pourquoi un tel document ne sort qu’en 2020 alors que les annuaires informatiques d’entreprise existent depuis plusieurs décennies.
Faut-il y voir un mauvais pressentiment de l’ANSSI ? Pour vous aider à gérer cette situation, à la fin de cet article je vous propose des solutions commerciales et open source pour évaluer votre AD et corriger rapidement les différentes vulnérabilités.
Ce document de l’ANSSI permet d’auto évaluer la sécurité et les exigences de sécurité à travers 57 points de contrôles très précis sur la configuration de l’annuaire. Une notation de 1 à 5 est prévue pour permettre de voir rapidement les points à améliorer et bâtir un plan de remédiation avec des objectifs précis.
Dérouler les 57 points de contrôle de l’ANSSI peut être un long travail, surtout si le schéma de l’annuaire existe depuis longtemps et a évolué au fil du temps avec l’arrivée, le départ de collaborateurs et l’intégration de filiales. Plusieurs outils existent sur le marché dans le but d’auditer votre AD avec des objectifs plus ou moins différents.
Isars : logiciel d’audit dédié à l’évaluation des risques en parcourant votre réseau à la recherche de vulnérabilités sur les environnements Windows.
Ping Castle : logiciel d’audit en profondeur de l’annuaire Windows Active Directory.
Isassy : un outil d’extraction de comptes à distance.
BloodHound : un outil graphique qui permet de voir rapidement les relations entre les différents comptes et groupes d’un Active Directory.
ADCollector : permet de parcourir rapidement l’arborescence d’un annuaire dans le but de voir rapidement des problèmes de sécurité.
ADRecon : permet d’extraire toutes les informations d’un annuaire et de les exporter dans une feuille Excel dans le but de rechercher des failles de sécurité potentielles.
Pypykatz-mimikatz est l’implémentation en python du célèbre logiciel mimikatz qui permet d’extraire les noms d’utilisateurs et mot de passe/hast NT.
En plus d’auditer son AD il est recommandé de suivre les bonnes pratiques de construction, d’implémentation et d’usage.
Vous voilà désormais armés pour auditer et sécuriser l’un des points névralgiques de votre infrastructure informatique ! Aujourd’hui, la protection de l’AD est essentielle face aux menaces ciblant particulièrement cette brique du SI. Une attention particulière doit être portée à cet actif et, de fait, sa criticité en fait un indispensable dans le plan de protection de l’entreprise.
Merci de nous avoir contactés.
Nous reviendrons vers vous dès que possible.
Oups ! Une erreur s'est produite lors de l'envoi de votre message.
Veuillez réessayer plus tard.