Les 10 attaques les plus communes de l'Active Directory : Comment s'en protéger

Les 10 attaques les plus courantes de l’Active Directory : Comment s’en protéger

L’Active Directory (AD) est une composante vitale de nombreuses infrastructures informatiques. Cependant, sa centralité en fait une cible privilégiée pour les cyberattaquants. Dans cet article, nous passerons en revue les dix attaques les plus courantes contre l’AD et vous donnerons des conseils pour vous protéger contre ces menaces.

1. Kerberoasting : Cette technique vise à obtenir le hachage du mot de passe d’un compte AD qui a un Service Principal Name (SPN). Les attaquants peuvent ensuite tenter de déchiffrer ce hachage hors ligne, sans risquer de déclencher des alertes de sécurité.
2. Password Spraying : L’attaquant acquiert une liste de noms d’utilisateur, puis tente de se connecter à tous les comptes en utilisant le même mot de passe. Cette approche a l’avantage de contourner les mécanismes de verrouillage de compte basés sur le nombre de tentatives de connexion infructueuses.
3. Local Loop Multicast Name Resolution (LLMNR) : LLMNR est un protocole basé sur le format de paquet DNS qui permet aux hôtes IPv4 et IPv6 d’effectuer une résolution de nom pour les hôtes sur le même lien local. Les attaquants peuvent abuser de cette fonctionnalité pour effectuer des attaques de type “man-in-the-middle”.
4. Pass-the-hash avec Mimikatz : Cette technique est utilisée pour voler des informations d’identification de l’AD et facilite également le mouvement latéral dans l’environnement. Les attaquants utilisent un outil appelé Mimikatz pour effectuer cette attaque.
5. Default Credentials : Les entreprises oublient souvent de changer les mots de passe par défaut sur les dispositifs/systèmes, et les attaquants rechercheront ces dispositifs/systèmes afin de pénétrer dans votre réseau.
6. Hard-coded Credentials : Il s’agit de mots de passe ou d’autres secrets en clair dans le code source. Les attaquants peuvent exploiter ces informations pour gagner un accès non autorisé à vos systèmes.
7. Privilege Escalation : Une cyberattaque conçue pour obtenir un accès privilégié non autorisé à un système. Les attaquants peuvent alors effectuer des actions qui ne seraient pas possibles avec un compte d’utilisateur normal.
8. LDAP Reconnaissance : Il s’agit d’une technique de reconnaissance interne que les attaquants utilisent pour découvrir les utilisateurs, les groupes et les ordinateurs dans l’AD.
9. BloodHound Reconnaissance : Il s’agit d’un outil qui utilise la théorie des graphes pour identifier les relations cachées, les permissions des utilisateurs, les sessions et les chemins d’attaque dans un domaine Windows source.
10. NTDS.dit Extraction : NTDS.dit est une base de données qui stocke les données de l’AD, y compris les informations sur les objets utilisateur, les groupes et l’appartenance aux groupes. Les attaquants tentent d’extraire ce fichier pour obtenir des informations précieuses sur votre organisation.

Comment se protéger contre ces attaques ?

La meilleure défense contre ces attaques est une stratégie de sécurité proactive et complète. Il existe plusieurs mesures que vous pouvez mettre en œuvre pour protéger votre Active Directory :

1. Surveillance 24/7 : La mise en place d’une surveillance continue de votre environnement AD vous permettra de détecter rapidement les activités suspectes et d’y réagir avant qu’elles ne causent des dommages. Utilisez des outils SIEM (Security Information and Event Management) pour centraliser et analyser les journaux d’événements de sécurité.
2. Audits réguliers : Les audits de sécurité réguliers sont essentiels pour maintenir une bonne posture de sécurité. Ils peuvent vous aider à identifier les vulnérabilités potentielles dans votre environnement AD et à prendre les mesures nécessaires pour les corriger. Vous pouvez en savoir plus sur l’importance des audits de sécurité dans notre article : Pourquoi et comment réaliser un audit de cybersécurité ?
3. Formations des utilisateurs : Les utilisateurs non avertis sont souvent la cible des attaques. Une formation de sécurité efficace peut aider vos utilisateurs à reconnaître et à éviter les tentatives d’attaques.
4. Mise en place de mesures de sécurité robustes : L’implémentation de contrôles de sécurité robustes est cruciale pour protéger votre AD. Ces contrôles peuvent inclure l’authentification multi-facteurs (MFA), le contrôle d’accès basé sur les rôles (RBAC), l’application de la politique de moindre privilège (PoLP), le durcissement des systèmes et le chiffrement des données.
5. Tests de vulnérabilités : Les tests de vulnérabilités vous permettent de découvrir les faiblesses de votre environnement avant qu’elles ne soient exploitées par des attaquants. Découvrez comment réaliser un audit de vulnérabilité dans notre article : L’importance de l’audit de vulnérabilité pour la sécurité de votre entreprise
6. Patch Management : Assurez-vous de maintenir tous vos systèmes à jour avec les derniers correctifs de sécurité. Les attaquants exploitent souvent les vulnérabilités connues dans les logiciels obsolètes pour gagner un accès non autorisé. Pour une approche plus globale de la cybersécurité, consultez notre guide : Cybersécurité pour les PME : Comment se protéger efficacement ?

Chez Dhala Cyberdéfense, nous nous occupons d’auditer, de sécuriser et de surveiller 24/7 vos identités. Nous vous aidons à mettre en place les mesures de protection nécessaires pour vous défendre contre ces attaques et bien d’autres. Contactez-nous dès aujourd’hui pour en savoir plus sur nos services.

Sources :

• Kerberoasting : https://attack.mitre.org/techniques/T1208/
• Password Spraying : https://attack.mitre.org/techniques/T1110/003/
• LLMNR : https://attack.mitre.org/techniques/T1557/001/
• Pass-the-hash : https://attack.mitre.org/techniques/T1550/002/
• Default Credentials : https://attack.mitre.org/techniques/T1078/001/
• Hard-coded Credentials : https://attack.mitre.org/techniques/T1059/004/
• Privilege Escalation : https://attack.mitre.org/tactics/TA0004/
• LDAP Reconnaissance : https://attack.mitre.org/techniques/T1217/
• BloodHound Reconnaissance : https://attack.mitre.org/software/S0158/
• NTDS.dit Extraction : https://attack.mitre.org/techniques/T1003/001/