Active Directory (AD) est un puissant service d’authentification et d’annuaire utilis\u00e9 par les organisations du monde entier. Cette ubiquit\u00e9 et ce pouvoir s’accompagnent d’un potentiel d’abus. Les menaces internes offrent l’un des plus grands potentiels de destruction. De nombreux utilisateurs internes disposent d’un acc\u00e8s et d’une visibilit\u00e9 surdimensionn\u00e9s sur le r\u00e9seau interne.<\/p>\n
Le niveau d’acc\u00e8s et de confiance des initi\u00e9s dans un r\u00e9seau entra\u00eene des vuln\u00e9rabilit\u00e9s uniques. La s\u00e9curit\u00e9 du r\u00e9seau se concentre souvent sur l’\u00e9loignement d’un acteur mena\u00e7ant, et non sur la s\u00e9curit\u00e9 des utilisateurs existants et les vuln\u00e9rabilit\u00e9s potentielles. Rester au courant des menaces potentielles signifie se prot\u00e9ger contre les menaces internes et externes.<\/p>\n
Vuln\u00e9rabilit\u00e9s d’Active Directory<\/h2>\n
De l’ext\u00e9rieur, un domaine AD correctement configur\u00e9 offre une solution d’authentification et d’autorisation s\u00e9curis\u00e9e. Mais avec des attaques complexes d’ing\u00e9nierie sociale et de phishing par e-mail, un utilisateur AD existant peut \u00eatre compromis. Une fois \u00e0 l’int\u00e9rieur, les pirates disposent de nombreuses options pour attaquer Active Directory.<\/p>\n
Appareils non s\u00e9curis\u00e9s<\/h3>\n
Avec la croissance du “Bring Your Own Device” (BYOD), la prise en charge des appareils et la complexit\u00e9 de la s\u00e9curit\u00e9 augmentent. Si les utilisateurs connectent un appareil d\u00e9j\u00e0 compromis ou dot\u00e9 de mesures de s\u00e9curit\u00e9 inad\u00e9quates, les attaquants disposent d’un moyen simple d’acc\u00e9der au r\u00e9seau interne.<\/p>\n
Dans le pass\u00e9, un attaquant devait se faufiler pour installer un appareil malveillant. Maintenant, cependant, un utilisateur avec un appareil compromis fait le travail acharn\u00e9 pour lui. De plus, de nombreux travailleurs peuvent \u00e9galement connecter leurs smartphones ou tablettes au r\u00e9seau. Cela signifie qu’au lieu d’un seul ordinateur portable fourni par le travail, vous pouvez avoir deux ou trois appareils utilisateur qui ne sont pas soumis aux m\u00eames mesures de s\u00e9curit\u00e9.<\/p>\n
Acc\u00e8s surprovisionn\u00e9<\/h3>\n
L’ajout de complexit\u00e9 \u00e0 la s\u00e9curit\u00e9 interne est le probl\u00e8me courant de l’acc\u00e8s surdimensionn\u00e9. Les organisations ont souvent tendance \u00e0 \u00e9tendre l’acc\u00e8s au lieu de le restreindre. Un simple acte de convenance pour r\u00e9soudre un probl\u00e8me peut avoir pour cons\u00e9quence involontaire de cr\u00e9er un vecteur d’attaque potentiel, qui est alors souvent oubli\u00e9.<\/p>\n
Pour les utilisateurs qui sont \u00e9galement administrateurs, il n’y a pas toujours de compte \u00ab Administrateur \u00bb hautement s\u00e9curis\u00e9 cr\u00e9\u00e9 pour s\u00e9parer les diff\u00e9rents niveaux d’acc\u00e8s. De cette fa\u00e7on, la commodit\u00e9 d’autoriser les t\u00e2ches administratives via un compte d’utilisateur standard ouvre la porte \u00e0 des abus end\u00e9miques en raison d’un compte compromis et hautement privil\u00e9gi\u00e9.<\/p>\n
Politiques de mot de passe faible<\/h3>\n
De nombreuses organisations, en particulier les plus grandes, peuvent avoir des politiques de mot de passe plus faibles en raison des diverses applications qu’elles prennent en charge. Toutes les applications ne sont pas identiques et certaines ne prennent pas en charge les derni\u00e8res normes de s\u00e9curit\u00e9. Par exemple, ceux qui ne prennent pas en charge la signature LDAP ou TLS sur LDAP avec LDAPS.<\/p>\n
Une politique de mot de passe faible associ\u00e9e \u00e0 un manque d’authentification multifacteur facilite le crackage d’un hachage r\u00e9cup\u00e9r\u00e9 gr\u00e2ce \u00e0 une technique telle que Keberoasting via un compte interne privil\u00e9gi\u00e9. Cela contraste fortement avec une politique de mots de passe forte et une authentification multifacteur, qui rendent beaucoup plus difficile l’acc\u00e8s \u00e0 un syst\u00e8me ou \u00e0 un r\u00e9seau en cassant un hachage.<\/p>\n
Meilleures pratiques pour s\u00e9curiser Active Directory<\/h2>\n
Pour s\u00e9curiser Active Directory, il existe de nombreuses bonnes pratiques \u00e0 suivre. Sur la base des th\u00e8mes de s\u00e9curit\u00e9 d\u00e9crits pr\u00e9c\u00e9demment, en voici plusieurs\u00a0:<\/p>\n
Il est essentiel de former les utilisateurs \u00e0 identifier les e-mails de phishing potentiels et les attaques d’ing\u00e9nierie sociale. De plus, les utilisateurs doivent \u00eatre d\u00e9courag\u00e9s de cliquer sur les pi\u00e8ces jointes et les organisations doivent utiliser des syst\u00e8mes qui analysent les contenus malveillants. Ces mesures peuvent aider \u00e0 r\u00e9duire le risque d’une attaque r\u00e9ussie.<\/p>\n
Mais supposons qu’AD ait d\u00e9j\u00e0 \u00e9t\u00e9 compromis. Une organisation peut et doit examiner en profondeur les autorisations attribu\u00e9es aux utilisateurs et aux syst\u00e8mes actifs et inactifs ou mis hors service. Existe-t-il des moyens de s\u00e9parer les autorisations des comptes d’utilisateurs typiques et de les attribuer \u00e0 des comptes administratifs sp\u00e9ciaux avec un niveau de s\u00e9curit\u00e9 plus \u00e9lev\u00e9\u00a0?<\/p>\n
L’activation de l’authentification multifacteur avec une politique de mot de passe fort est essentielle pour cr\u00e9er certaines des protections les plus solides disponibles. Comme de nombreuses attaques d’ing\u00e9nierie sociale reposent sur l’apprentissage et la compromission des sites externes d’un utilisateur o\u00f9 un mot de passe r\u00e9utilis\u00e9 pourrait offrir un pied, une organisation doit imposer des mots de passe forts.<\/p>\n
Maintenir la s\u00e9curit\u00e9 d’Active Directory avec la politique de mot de passe Specops<\/h2>\n
De nombreuses recommandations de s\u00e9curit\u00e9 reposent sur une politique de mot de passe solide. Les configurations par d\u00e9faut d’Active Directory et les outils utilisateur sont inad\u00e9quats. Pour s’assurer que les utilisateurs respectent les politiques de mot de passe telles que NIST, CJIS et PCI, et bloquer les mots de passe faibles, les organisations peuvent utiliser Politique de mot de passe Specops<\/a>. Il donne \u00e0 votre organisation la possibilit\u00e9 de cr\u00e9er des listes de dictionnaires personnalis\u00e9s et de bloquer les noms d’utilisateur, les noms d’affichage, les mots sp\u00e9cifiques, les caract\u00e8res cons\u00e9cutifs, les mots de passe incr\u00e9mentiels et de r\u00e9utiliser une partie du mot de passe actuel\u00a0; tout en fournissant des commentaires en temps r\u00e9el aux utilisateurs. <\/p>\n Le module compl\u00e9mentaire Breached Password Protection am\u00e9liore encore la s\u00e9curit\u00e9 en alertant les utilisateurs en temps r\u00e9el si le mot de passe choisi figure sur une liste de mots de passe viol\u00e9s. Il fournit \u00e9galement une analyse approfondie pour d\u00e9tecter plus de 3 milliards de mots de passe compromis sur les comptes d’un domaine AD.<\/p>\n Bien qu’il puisse \u00eatre impossible de se prot\u00e9ger contre toutes les menaces, en examinant en profondeur les structures d’autorisation existantes, les utilisateurs actifs et la mise en \u0153uvre technique d’Active Directory, une organisation peut faire beaucoup pour s\u00e9curiser son environnement. Avec Politique de mot de passe Specops<\/a>faites passer votre politique de mot de passe au niveau sup\u00e9rieur gr\u00e2ce \u00e0 la protection contre les violations de mot de passe et en imposant des mots de passe uniques et s\u00e9curis\u00e9s \u00e0 tous les niveaux.<\/p>\n <\/p>\nProtection d’Active Directory contre les menaces internes<\/h2>\n