Zenk - Security

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
====== Protéger un Active Directory ======


**intro**

Le problème est que la plus part des Active Directory ont été mis en place vers  2005  et  ils n'ont pas été conçu pour les menaces d'aujourd'hui.

Les Active Directory gèrent tout qu'on parle de local ou en cloud.

La sécurité périmétrique (règles ACL , Firewall),  ne corrigent que 10% de la sécurité.

Cette note vient en plus du document de l'ANSSI "Recommandations de sécurité relatives
à Active Directory.", https://www.ssi.gouv.fr/uploads/IMG/pdf/NP_ActiveDirectory_NoteTech.pdf


**Petits QCM, Pour voir quel est le niveau de sécurité de votre Active Directory ? Répondez par oui ou non**

Question1

Sans vérifier , pouvez vous me dire combien de comptes sont administrateurs de vos domaine d'Active Directory?

Question2

Avez vous la liste de tous les changements réalisés ? par qui ? quoi ? sur votre Active Directory depuis 90 
jours?

Question3

Avez vous une trace vidéo ou texte de l'ensemble des actions réalisés par  vos comptes à pouvoir ?

Question4

Êtes vous capable de restaurer toute la forêt de l'Active Directory  dans les 24h? 

Question5

Si un utilisateur utilise un outil pour accéder à la mémoire du PC, êtes vous capable de le détecter ?

Question6

Est ce qu'un compte d'administrateur de domaine à la possibilité d'ouvrir une session sur un serveur membre afin de l'administrer ?

Question7

Est ce que le compte de service utilisé pour faire tourner vos antivirus sur vos poste de travail est membre du groupe "Domain admins" ?

Question8

Est ce que vos comptes administrateurs de domaine utilisent un deuxieme facteur d'authentification pour ouvrir une session ?

Question9

Dans votre RACI lié à l'activité de gestion Active Directory, avez vous identifier la notion de Data et services ?

Question10

Utilisez vous un systeme de recertification de vos objets GPOs et Security Group sur un intervalle inférieur à 1 ans.


Question 11

Connaissez-vous la version du Schéma Active Directory actuellement utilisée ?


**Réponse**

Question 1

Oui

Question 2

Oui

Il faut avoir des outils pour suivre les changements ( les outils qui auditent les logs et qui enregistrent un flux vidéos des actions utilisateurs)

Question 3

Oui

C'est obligatoire pour être habilité PCI DSS

Question 4

Oui

Question 5

Oui

La plus part des attaques ransomware et pour dump les hashs utilisent la ram.

Question 6

Non

Il faut empêcher  absolument un admin de se connecter n'importe où pour eviter qu'un pirate crack le mot de 
passe de l'admin si par erreur l'admin s'est connecté à un serveur infecté

Question 7

Non

Question 8

Oui

Question 9

Oui 

Il faut séparer la partie service et data. La partie data c 'est elle qui gère le contenu  et la partie service qui gère les privilèges.

Question 10

Oui 

La notion de recertification . Il faut recertifier les GPO ou les objets non utilisé depuis plus de 5ans

Question 11

Oui 





====== Exemple d'attaque d'un Active Directory via les comptes de service ======

Les antivirus sur l'Active Directory utilisent le compte de services admin qui est executé sur une machine en  local.

Pour la démo :

On se connecte sur une compte local  admin de la machine pour ce hack. On creé un service démo comptedeservicetest

Dans les options du service (via l'acces à la gestion de service de win) , on met le mot de passe du compte de service)

Pou le hack :

On  rentre dans un invite de command : psexec.exe -s -i -d cmd.exe

Le but est d'executer un invite de command uniquement en local

on lance l'outil scpd pour cracker le mot de passe d'un utilisateur de service  : scpd.exe comptedeservicetest 

on crack le mot de passe .

====== Les solutions globales pour se protéger : ======

Utiliser des smartcards pour vérifier l'intégrité des identités des utilisateurs

Ne pas utiliser un LDAP pour se connecter  à un Active Directory mais utiliser un Kerberos pour s'authentifier

Limiter les admins

Avoir un MFA (Multificator Authentification) , par exemple un token , smartcard; apel téléphonique, .. .

Avoir une MFA pour une authentification et pour une action que demande des droits.

Par exemple si un compte non admin demande une action pour élever les privilèges il a besoin de MFA.

Gérer les privilèges depuis un seul point, chaque groupe d'utilisateur a des rôles dans l'Active Directory .

Auditer en temps réel une sessions, 

Avoir une session vidéo de chaque machine à l'ouverture de session et sur une demande d’augmentation des droits.

Limiter les machines qui peuvent se connecter à l'Active Directory .Autoriser dans l'AD que certaines machine à se connecter sur l'Active Directory .




====== Comment réaliser un bon design de votre Active Directory  ? ======

Il faut utiliser trois couches qui correspondent à des niveaux de couche de l'Active Directory .

Par exemple : la première couche, la couche domain controller ( Domain controller, domain admin)

la deuxième couche, les serveurs membres.

la troisième couche, les devices (workstation , imprimante , les téléphones ..)

Il faut que ces couches n’accèdent pas aux autres couches directement.

Certain serveur doivent être dans plusieurs couches

Le but est que si on a une couche compromise , elle ne compromet pas tout

Par exemple si je suis admin , j'ai 4 comptes un compte admin local et un compte par couche.



====== Se protéger des attaques d'un Active Directory ? ======


** Se protéger du social engineering**

no comment.. Il faut former les utilisateurs..


** Se protéger de l'élévation de privilége verticale d'un compte** 


Chiffrer le disque dur 

Avoir un mot de passe bios 

Pas d'authentification admin sur Worksation

Rotation des mots de Passe 

Respect de design 3 tiers

Aucun user ne doit être admin local . 

Limiter le nombre de sessions en cache qui se connecte sur la machine

Faire du MFA 

Mettre en place un compte admin comme honey pot. (Mettre une règle dans le système de log qui vérifie des tentative de connexion de ce compte ou de changement de groupe de ce groupe)

Avoir un plan B en cas d'attaque. Il y a deux façons de le faire , restaurer  via des outils de Microsoft . Ou utiliser un outil tiers pour faire un backup de la forêt.




====== Pour aller plus loin ======
 

**Active Directory & Enterprise Security, Methods to Secure Active Directory, Attack Methods & Effective Defenses, PowerShell, Tech Notes, & Geek Trivia… :** https://adsecurity.org/ 


**L’administration en silo, Aurélien Bordes , SSTIC – 7 juin 2017**,__powerpoint__ : https://www.sstic.org/media/SSTIC2017/SSTIC-actes/administration_en_silo/SSTIC2017-Slides-administration_en_silo-bordes.pdf
__video__ : https://static.sstic.org/videos2017/SSTIC_2017-06-07_P02.mp4 


**Auditer un AD** : https://bitbucket.org/iwseclabs/bta

**Active Directory Control Paths auditing and graphing tools** : https://github.com/ANSSI-FR/AD-control-paths
Zenk - Security

Outils d'utilisateurs

Outils du Site

Outils de la Page
