Active Directory (AD) est une cible très attractive pour les acteurs malveillants en raison de son rôle critique en tant que système d'identité (ou d'accès et d'autorisation) dans de nombreuses organisations. AD héberge des actifs essentiels, notamment les informations d’identification des utilisateurs, les paramètres de sécurité et d’autres composants d’identité et d’accès critiques.

Une violation réussie d’AD peut conduire à la fois à un accès non autorisé et à un contrôle complet sur l’ensemble de l’environnement.

Pour protéger les opérations commerciales contre d’éventuelles pannes catastrophiques, il est essentiel de rester vigilant contre les vulnérabilités AD courantes, comme celles répertoriées ci-dessous. Déployer une solution de sécurité comme Politique de mot de passe Specops améliore la protection des mots de passe, qui sont fréquemment exploités comme point d'entrée initial par les attaquants.

Grillage des Kerberos

Le protocole d'authentification Kerberos est un mécanisme de sécurité central pour AD. Lorsque des utilisateurs ou des services doivent accéder à une ressource réseau, telle qu'une application ou un document, ils s'authentifient auprès du centre de distribution de clés (KDC) et reçoivent un ticket d'octroi de tickets (TGT). Ce TGT est ensuite utilisé pour demander des tickets de service pour des ressources spécifiques.

Kerberoasting est une méthode d'attaque ciblant les comptes de service dans AD auxquels est associé un nom principal de service (SPN), un identifiant unique reliant un service à un compte AD. Dans cette attaque, l'auteur, utilisant généralement un compte de bas niveau compromis avec un accès légitime, demande des tickets de service pour les comptes avec SPN.

Ces tickets sont cryptés avec le mot de passe du compte de service. L'attaquant tente ensuite de déchiffrer le mot de passe hors ligne en forçant brutalement le cryptage du ticket de service obtenu, et non du TGT.

Des mots de passe forts et complexes sont essentiels dans se défendre contre les attaques Kerberoasting. La mise en œuvre de politiques de mots de passe robustes et la surveillance des demandes de tickets de service inhabituelles peuvent réduire considérablement le risque. Des outils tels que Specops Password Auditor sont utiles car ils permettent d'analyser et de détecter les mots de passe faibles dans AD, y compris ceux trouvés dans les listes de mots de passe violés. L'outil offre également une visibilité sur les comptes obsolètes, qui sont particulièrement vulnérables aux attaques Kerberoasting.

Des mesures supplémentaires telles que l'utilisation de mots de passe plus longs et plus complexes pour les comptes de service, l'activation du cryptage AES pour Kerberos et la réduction du nombre de comptes de service avec SPN peuvent renforcer davantage la sécurité contre de telles attaques.

Pulvérisation de mot de passe

Comme d’autres attaques par force brute, la pulvérisation de mots de passe joue le jeu du volume. Les attaquants, manuellement ou via des outils d'automatisation, essaient les mots de passe les plus courants sur différents comptes d'utilisateurs au sein d'une organisation, dans l'espoir de trouver une correspondance nom d'utilisateur-mot de passe.

Cette attaque fonctionne parce que les gens privilégient généralement la commodité, en adoptant des mots de passe simples et faciles à retenir. Par conséquent, un solution de mot de passe tierce qui peut imposer des mots de passe plus longs et bloquer l'utilisation de mots de passe à forte probabilité, constitue la meilleure approche.

Informations d'identification par défaut

Les informations d’identification par défaut ou identiques dans AD peuvent provenir de divers scénarios. Un scénario courant est la création de scripts pour de nouveaux comptes d'utilisateurs, ce qui aboutit souvent à ce que les utilisateurs aient le même mot de passe par défaut. Un autre scénario est celui où les utilisateurs disposent de plusieurs comptes, tels qu'un administrateur et un compte d'utilisateur standard, et choisissent d'utiliser le même mot de passe pour éviter d'avoir à mémoriser plusieurs mots de passe.

Ces scénarios présentent des risques de sécurité importants, car les attaquants peuvent exploiter les informations d'identification par défaut pour obtenir un accès non autorisé aux systèmes et aux données sensibles.

Pour atténuer ce problème, Specops Password Auditor peut identifier les utilisateurs avec le même mot de passe dans AD, permettant ainsi aux organisations de combler les failles de sécurité causées par les informations d'identification par défaut.

Élévation de privilèges

L'élévation des privilèges est une tactique employée par les attaquants pour obtenir le contrôle total du réseau d'une organisation. Les attaquants exploiteront une vulnérabilité du système, voleront les informations d’identification des utilisateurs ou devineront les mots de passe des comptes privilégiés pour obtenir des autorisations plus élevées.

La prévention de ces attaques dévastatrices nécessite une application rigoureuse des politiques de mots de passe, en particulier pour les utilisateurs privilégiés.

Sécurisez votre Active Directory avec la politique de mot de passe Specops

Active Directory sert de plateforme centrale pour la gestion des ressources informatiques, des utilisateurs et des appareils, ce qui en fait une cible attrayante pour les cyberattaquants. Politique de mot de passe Specops améliore les contrôles de sécurité dans AD en appliquant des politiques de mot de passe strictes.

L'une de ses fonctionnalités clés est la protection contre les violations de mots de passe, qui bloque l'utilisation de plus de 4 milliards de mots de passe compromis connus. Cela permet d’atténuer les risques associés aux attaques par mot de passe et à la réutilisation des mots de passe.

Pour évaluer davantage la sécurité de votre AD, vous pouvez télécharger Auditeur de mots de passe Specopsun outil de reporting gratuit en lecture seule qui analyse votre AD à la recherche de plus de 950 millions de mots de passe compromis, de mots de passe vierges, de mots de passe identiques et d'autres vulnérabilités liées aux mots de passe.

Sponsorisé et écrit par Logiciel Specops.