Voici une question \u00e0 laquelle il est difficile de r\u00e9pondre\u00a0: “Combien de comptes de service avez-vous dans votre environnement\u00a0?”. Une question plus difficile est\u00a0: \u00ab\u00a0Savez-vous ce que font ces comptes\u00a0?\u00a0\u00bb. Et le plus difficile est probablement\u00a0: ”\u00a0Si l’un de vos comptes de service \u00e9tait compromis et utilis\u00e9 pour acc\u00e9der \u00e0 des ressources, seriez-vous capable de le d\u00e9tecter et de l’arr\u00eater en temps r\u00e9el\u00a0?”. <\/p>\n
\u00c9tant donn\u00e9 que la plupart des \u00e9quipes d’identit\u00e9 et de s\u00e9curit\u00e9 fourniraient une r\u00e9ponse n\u00e9gative, il n’est pas \u00e9tonnant que l’une des actions imm\u00e9diates que les attaquants d’aujourd’hui entreprennent apr\u00e8s la compromission d’un point de terminaison initial consiste \u00e0 traquer les comptes de service non surveill\u00e9s.<\/strong> Et il est encore moins \u00e9tonnant que dans la plupart des cas, ils r\u00e9ussissent \u00e0 en trouver un et \u00e0 en tirer parti pour se propager dans tout l’environnement, ne se faisant remarquer que lorsqu’il est trop tard – apr\u00e8s que les postes de travail et le serveur ont \u00e9t\u00e9 chiffr\u00e9s par un ransomware ou que des donn\u00e9es sensibles ont \u00e9t\u00e9 vol\u00e9es. <\/p>\n Dans cet article, nous expliquons les raisons qui ont fait que les comptes de service sont devenus l’une des faiblesses les plus dangereuses dans un environnement Active Directory, expliquons comment cette puissance de faiblesse alimente les attaques de ransomwares, et enfin, apprenons comment la plate-forme de protection unifi\u00e9e de l’identit\u00e9 de Silverfort permet aux organisations pour surmonter ce qui \u00e9tait jusqu’\u00e0 pr\u00e9sent un d\u00e9fi de s\u00e9curit\u00e9 insoluble.<\/p>\n Comptes utilisateur<\/strong> sont l’un des principaux \u00e9l\u00e9ments constitutifs de l’environnement de l’entreprise. Intuitivement, nous associons les comptes d’utilisateurs \u00e0 des personnes r\u00e9elles. Cependant, il existe \u00e9galement des comptes d’utilisateurs qui ne sont associ\u00e9s \u00e0 aucun \u00eatre humain. Ces comptes sont cr\u00e9\u00e9s pour la communication de machine \u00e0 machine, l’automatisation des t\u00e2ches r\u00e9p\u00e9titives et d’autres t\u00e2ches cens\u00e9es se d\u00e9rouler en arri\u00e8re-plan sans intervention humaine. Ils sont g\u00e9n\u00e9ralement appel\u00e9s “comptes de service” et, hormis leur dissociation d’une personne r\u00e9elle, sont identiques en tous points aux autres comptes d’utilisateurs “associ\u00e9s \u00e0 des personnes”. <\/p>\n Ces comptes de service sont cr\u00e9\u00e9s de deux mani\u00e8res principales. Le premier est un personnel informatique qui d\u00e9termine qu’une certaine hygi\u00e8ne, surveillance ou toute autre t\u00e2che serait mieux effectu\u00e9e de mani\u00e8re automatis\u00e9e plut\u00f4t que manuelle. La seconde est en cours d’installation d’un logiciel d’entreprise sur site. Dans ce cas, certains comptes de service sont cr\u00e9\u00e9s selon les instructions du logiciel sp\u00e9cifique – au cours de l’installation elle-m\u00eame – et sont charg\u00e9s de la num\u00e9risation, de la distribution des mises \u00e0 jour et des t\u00e2ches de maintenance similaires. <\/p>\n Voyons ce qui fait des comptes de service une surface d’attaque sans surveillance\u00a0:<\/p>\n Il existe d’innombrables comptes de service dans une organisation donn\u00e9e. Ces comptes peuvent devenir des actifs \u00e0 haut risque qui, s’ils ne sont pas contr\u00f4l\u00e9s, peuvent permettre aux menaces de se propager sur le r\u00e9seau sans \u00eatre d\u00e9tect\u00e9es. Consultez cet eBook pour d\u00e9couvrir 4 \u00e9tapes simples pour vous aider \u00e0 s\u00e9curiser vos comptes de service.<\/p>\n<\/div>\n <\/p>\n Supposons qu’un acteur ran\u00e7ongiciel ait r\u00e9ussi \u00e0 compromettre un point de terminaison (le poste de travail ou le serveur sont les m\u00eames d’ailleurs). Ceci, bien s\u00fbr, n’est que la premi\u00e8re \u00e9tape. L’\u00e9tape suivante consiste \u00e0 commencer \u00e0 analyser l’environnement pour d\u00e9couvrir les comptes d’utilisateurs \u00e0 compromettre, ce qui permettrait \u00e0 l’adversaire de se d\u00e9placer lat\u00e9ralement dans l’environnement et d’installer la charge utile du ransomware sur autant de machines que possible. <\/p>\n Mais quel compte choisir ? L’adversaire a besoin d’un compte suffisamment privil\u00e9gi\u00e9<\/strong> pour acc\u00e9der \u00e0 d’autres serveurs et postes de travail. Mais cela devrait aussi \u00eatre un compte qui peut \u00eatre utilis\u00e9 sous le radar sans attirer l’attention ind\u00e9sirable.<\/strong><\/p>\n C’est pourquoi les comptes de service sont la meilleure cible de compromis. <\/strong>Les attaquants savent qu’il y a de fortes chances, que personne ne cherche sur ce compte, ou mieux encore – que personne m\u00eame sait<\/em> que ce compte existe. Il a peut-\u00eatre \u00e9t\u00e9 cr\u00e9\u00e9 il y a des ann\u00e9es par un administrateur qui a depuis quitt\u00e9 l’entreprise sans se soucier de supprimer les comptes de service qu’il a cr\u00e9\u00e9s. <\/p>\n Le diagramme ci-dessous montre un exemple d’attaque – l’une des nombreuses que nous avons analys\u00e9es au cours de l’ann\u00e9e r\u00e9cente – dans laquelle l’adversaire a utilis\u00e9 le compte de service d’un serveur Exchange compromis pour la premi\u00e8re partie de son mouvement lat\u00e9ral, suivi d’une compromission suppl\u00e9mentaire des informations d’identification d’un administrateur.<\/p>\n Voir les d\u00e9tails de chaque \u00e9tape ci-dessous :<\/p>\n La fameuse attaque contre Uber qui a eu lieu il y a quelques mois a incorpor\u00e9 un recours important \u00e0 la compromission et \u00e0 l’utilisation du compte de service. Dans ce cas, il s’agissait d’un compte de service qui avait acc\u00e8s au PAM en place. Les attaquants ont trouv\u00e9 le script avec les informations d’identification du compte de service dans un lecteur r\u00e9seau partag\u00e9 et l’ont utilis\u00e9 pour extraire les mots de passe de plusieurs ressources du coffre-fort du PAM.<\/p>\n Voir les d\u00e9tails de chaque \u00e9tape ci-dessous :<\/p>\n La plate-forme de protection unifi\u00e9e de l’identit\u00e9 de Silverfort est la premi\u00e8re solution qui automatise enti\u00e8rement le cycle de vie de la s\u00e9curit\u00e9 du compte de service avec un effort quasi nul de la part de l’utilisateur\u00a0:<\/p>\n L’int\u00e9gration native de Silverfort avec Active Directory lui permet d’analyser chaque authentification entrante et tentative d’acc\u00e8s de tous les comptes d’utilisateurs, et de d\u00e9tecter facilement si un compte pr\u00e9sente le comportement pr\u00e9visible et r\u00e9p\u00e9titif qui diff\u00e9rencie les comptes de service des utilisateurs standard. Sur la base de cette analyse, Silverfort g\u00e9n\u00e8re une sortie de tous les comptes de service dans l’environnement. De plus, cette d\u00e9couverte va au-del\u00e0 d’une simple liste de comptes pour afficher \u00e9galement les privil\u00e8ges du compte, ses sources et destinations, son niveau d’activit\u00e9 et d’autres caract\u00e9ristiques comportementales. <\/p>\n Silverfort identifie le comportement de base de chaque compte de service et surveille en permanence son activit\u00e9. Pour un compte de service, l’indication la plus claire de compromis est un \u00e9cart par rapport \u00e0 son comportement fixe, donc chaque fois qu’un \u00e9cart se produit – comme acc\u00e9der \u00e0 un nouveau poste de travail ou serveur, ou augmenter soudainement le volume d’activit\u00e9 – le moteur de Silverfort augmentera le score de risque du compte. <\/p>\n Silverfort automatise la cr\u00e9ation d’une politique d’acc\u00e8s pour chacun des comptes de service qu’il d\u00e9couvre. Cette politique est activ\u00e9e chaque fois que le compte de service s’\u00e9carte de son comportement normal (comme expliqu\u00e9 pr\u00e9c\u00e9demment) ou lorsque son niveau de risque augmente en raison de menaces d’identit\u00e9 d\u00e9tect\u00e9es (Pass-the-Hash, Kerberoasting, Pass-the-Ticket, etc.). La strat\u00e9gie peut d\u00e9clencher une alerte ou un blocage r\u00e9el de l’acc\u00e8s au compte de service, selon la configuration de l’utilisateur. La seule interaction requise du c\u00f4t\u00e9 de l’utilisateur est de cliquer sur le bouton d’activation de la politique.<\/p>\n Vous cherchez un moyen de s\u00e9curiser vos comptes de service\u00a0? Programmer un appel<\/a> avec l’un de nos experts pour savoir comment Silverfort peut vous aider.<\/p>\n <\/p>\nComptes de service\u00a0: comptes d’utilisateurs qui ne sont associ\u00e9s \u00e0 aucune personne r\u00e9elle et qui sont utilis\u00e9s pour la communication de machine \u00e0 machine<\/h3>\n
D\u00e9fis de s\u00e9curit\u00e9 des comptes de service\u00a0: invisibles, hautement privil\u00e9gi\u00e9s et extr\u00eamement difficiles \u00e0 prot\u00e9ger<\/h3>\n
\n
4 \u00e9tapes pour une s\u00e9curit\u00e9 compl\u00e8te du compte de service<\/h3>\n
Comment les attaquants exploitent le fruit \u00e0 port\u00e9e de main des comptes de service pour le mouvement lat\u00e9ral et la propagation des ransomwares<\/h3>\n
Exemple d’attaque de compte de service n\u00b0\u00a01\u00a0: Mod\u00e8le d’attaque de ransomware utilisant le compte de service compromis de Microsoft Exchange Server<\/h3>\n
![\"D\u00e9fi](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1681313688_644_Le-defi-des-comptes-de-service-impossible-de-les-voir.png\" "\\"D\u00e9fi")
<\/div>\n\n
Exemple d’attaque de compte de service n\u00b0\u00a02\u00a0: mouvement lat\u00e9ral dans l’environnement hybride d’Uber <\/h3>\n
![\"D\u00e9fi](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhlAzr6Su5apelxr8P12b1OCYUqM0224-K9HX4aCnOfyIvthpDJrDEKYsw-YWd8mxr9NC9Q94onrGar_dDwmf13d6Vv6R1wXlclys3iM_rr8LNFHNPO-BeVh3PY6F3G5bejCSe1R0MhmjQtHmKWQEQOtzU4SZgIFs1NEMsqzUuplOXJq2H1ikubVGK8\/s728-e3650\/image2.png\" "\\"D\u00e9fi")
<\/div>\n\n
D\u00e9couverte, surveillance et protection automatis\u00e9es de Silverfort pour les comptes de service<\/h3>\n
D\u00e9couverte de tous les comptes de service et cartographie de leur activit\u00e9<\/strong><\/h4>\n
Analyse continue des risques pour divulguer si un compte de service pr\u00e9sente des signes de compromission<\/strong><\/h4>\n
Protection active avec des politiques cr\u00e9\u00e9es automatiquement, activ\u00e9es en un seul clic<\/strong><\/h4>\n