L’ANSSI fait régulièrement le constat que des compromissions de systèmes d’information reposant sur un annuaire Active Directory (AD) résultent de l’application de mauvaises pratiques d’administration et d’un cloisonnement insuffisant.
L’Active Directory particulièrement ciblé par les hackers
Ces compromissions commencent souvent par des attaques qui ciblent les postes de travail des utilisateurs. Les attaquants exploitent ensuite des faiblesses du SI pour opérer des déplacements latéraux et élever progressivement leurs privilèges jusqu’à obtenir le contrôle total de l’AD. À ce niveau de contrôle de l’AD, un attaquant est en mesure de s’aménager des portes dérobées qui lui assurent un contrôle persistant du SI, c’est-à-dire également des processus et des données métiers de l’organisation.
Bref, vous l’aurez compris si vous disposez d’une infrastructure informatique qui repose sur des outils Microsoft tels que Windows Server – vous disposez alors probablement d’un Active Directory. Ce composant est essentiel et doit être protégé. 🛡️
Dans la plupart des cas où vous lisez dans l’actualité qu’une entreprise est victime d’une cyber-attaque et que toute l’activité est à l’arrêt – et bien dans une majorité des cas c’est que l’attaque est remontée jusqu’à l’Active Directory.
Le modèle en couche ou Tiering Model pour protéger votre Active Directory
Afin de protéger ce composant au sein de votre infrastructure, il convient de respecter plusieurs normes en termes de sécurité :
- Le Tiering Model – j’en parle d’ailleurs dans un ancien article. Dans le document de l’ANSSI, ils appellent cela la méthodologie du cloisonnement (qui permet de séparer votre infrastructure en plusieurs couches T0, T1, T2 selon l’importance de chacune.
- L’abandon des protocoles obsolètes tels que SMB v1, Lan Manager, NTLM v1, LDAP, etc.
Et malheureusement cette liste n’est pas exhaustive mais c’est un bon début. 😆
Guide d’administration Active Directory
Le guide d’administration sécurisée des systèmes d’information reposant sur un annuaire AD aborde les aspects spécifiques à l’administration de ces environnements et guide dans le cloisonnement du SI en zones de confiance.
Vous pouvez le télécharger directement depuis l’ANSSI en suivant ce lien :
Il complète ainsi les recommandations de sécurité relatives à l’administration sécurisée des systèmes d’information qui se veulent agnostiques des technologies mises en œuvre. 🛡️
