Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) et aux partenaires internationaux suivants pour publier des conseils en matière de cybersécurité sur l’atténuation des compromissions associées aux services Active Directory de Microsoft :
- la Cybersecurity and Infrastructure Security Agency (CISA);
- la National Security Agency (NSA);
- le National Cyber Security Centre de la Nouvelle-Zélande (NCSC-NZ);
- le Government Communications Headquarters (GCHQ) du Royaume-Uni.
Active Directory est une solution d’authentification et d’autorisation de Microsoft qui est utilisée à grande échelle dans les réseaux de technologies de l’information d’entreprise partout dans le monde. Il s’agit d’une cible prisée par les auteures et auteurs de menace, puisqu’advenant une compromission, ils peuvent obtenir un accès privilégié à tous les systèmes ainsi qu’à toutes les utilisatrices et à tous les utilisateurs gérés par Active Directory. L’intervention à la suite d’attaques visant Active Directory peut s’avérer chronophage, coûteuse et déstabilisante.
Ces conseils visent à offrir des stratégies de prévention, de détection et d’atténuation pour les compromissions les plus courantes associées à Active Directory, notamment les suivantes :
- capture de mots de passe hachés Kerberos (Kerberoasting);
- capture de mots de passe hachés AS-REP;
- rafale de mots de passe;
- MachineAccountQuota;
- délégation complète;
- mot de passe dans une référence de stratégie de groupe;
- services de certificat Active Directory;
- certificat d’or;
- DCSync;
- vidage ntds.dit;
- billet d’or;
- billet d’argent;
- SAML en or;
- Microsoft Entra Connect;
- contournement de l’approbation unidirectionnelle entre les domaines;
- historique SID;
- clé squelette.
En mettant en œuvre ces conseils, les organisations prendront les mesures nécessaires afin de sécuriser leurs services d’annuaire d’entreprise.
Lisez les conseils conjoints sur l’atténuation des attaques contre Active Directory.