Ariovis

Sécurité des identités

Sécuriser Active Directory et réduire les chemins d'attaque

Identifier comment une identité, une délégation ou une mauvaise configuration peut conduire jusqu'aux ressources les plus sensibles.

Une liste de vulnérabilités ne dit pas ce qui est réellement atteignable. Un chemin d'attaque, si : il relie une identité ordinaire à un actif critique, et il se corrige par priorité d'effet.

Échanger avec Ariovis

Vous reconnaissez cette situation ?

  • Les groupes et les délégations se sont accumulés au fil des années.
  • Les comptes privilégiés sont nombreux ou mal segmentés.
  • Des comptes inactifs ou orphelins subsistent.
  • Les changements sensibles manquent de surveillance.
  • Les équipes connaissent les vulnérabilités, mais pas les chemins d'exploitation.
  • Les remédiations ne sont pas priorisées selon leur effet réel.

Ce que vous cherchez à obtenir

  • Visualiser les chemins d'attaque.
  • Identifier les comptes et groupes à risque.
  • Réduire les délégations dangereuses.
  • Corriger les configurations prioritaires.
  • Surveiller les changements.
  • Détecter les interactions anormales avec les actifs sensibles.

Les capacités Ariovis à mobiliser

Chaque offre garde son rôle propre. Voici ce qu'elle apporte précisément dans cette situation.

  • Sécurité des identités et Active Directory

    Analyser les comptes, les délégations et les groupes sensibles, puis construire une trajectoire de remédiation priorisée.

    Découvrir l'offre

  • PAM et gestion des secrets

    Retirer les privilèges permanents qui alimentent les chemins d'attaque les plus courts.

    Découvrir l'offre

  • Trapster — Deceptive Security

    Déposer des leurres sur les chemins identifiés pour détecter une progression au plus tôt.

    Découvrir l'offre

  • Pentest identités et accès

    Confronter l'analyse à une exploitation réelle et vérifier ce qui est effectivement atteignable.

    Découvrir l'offre

  • RUN IAM

    Surveiller les changements sensibles et maintenir le niveau obtenu après remédiation.

    Découvrir l'offre

Comprendre les principales techniques d'attaque Active Directory

Un chemin d'attaque Active Directory repose rarement sur une seule mauvaise configuration. Un attaquant combine des identités, des droits, des protocoles, des comptes de service et des relations de confiance pour progresser vers une ressource plus sensible. Connaître les techniques utilisées permet d'identifier les chemins réellement exploitables, et surtout de savoir où les casser.

  • Comptes de service

    Kerberoasting

    Demander un ticket de service pour un compte porteur d'un SPN, puis tenter de casser hors ligne le mot de passe qui le protège.

  • Configuration Kerberos

    AS-REP Roasting

    Exploiter les comptes dispensés de pré-authentification Kerberos pour récupérer un élément attaquable hors ligne.

  • Tier 0 / critique · MITRE T1003.006

    DCSync

    Abuser des droits de réplication Active Directory pour accéder à des secrets du domaine sans extraire directement NTDS.dit.

  • Protocoles hérités

    NTLM Relay

    Relayer une authentification héritée vers un autre service pour agir avec les droits d'une identité que l'on ne contrôle pas.

  • Mouvement latéral

    Pass-the-Hash

    Réutiliser une empreinte de mot de passe récupérée sur un poste pour s'authentifier ailleurs, sans jamais connaître le mot de passe.

  • Mouvement latéral

    Pass-the-Ticket

    Réutiliser un ticket Kerberos valide pour prolonger un accès ou se déplacer vers une ressource plus sensible.

  • Délégations

    Kerberos delegation

    Détourner une délégation mal cadrée pour se faire passer pour un autre utilisateur, parfois jusqu'à une identité d'administration.

  • PKI Active Directory

    AD CS — ESC1

    Un modèle de certificat mal configuré peut permettre à une identité peu privilégiée de demander un certificat utilisable pour s'authentifier sous une autre identité. ESC1 montre pourquoi une PKI AD CS peut créer un chemin vers le Tier 0 sans compromettre directement un contrôleur de domaine.

Une technique n'est pas un chemin d'attaque

Le Kerberoasting, DCSync ou Pass-the-Hash ne constituent pas, à eux seuls, une attaque complète. Ce sont des étapes qu'un attaquant enchaîne lorsque l'environnement le lui permet.

C'est l'enchaînement qui crée le risque, pas la technique isolée.

  1. Identité compromise
  2. Découverte des possibilités
  3. Récupération ou abus d'un secret
  4. Élévation de privilèges
  5. Mouvement latéral
  6. Accès à une identité ou ressource critique
Détecter chaque technique séparément ne suffit pas. Ce qui compte, ce sont les relations entre identités, privilèges et ressources qui permettent d'enchaîner plusieurs étapes jusqu'à un actif critique.

Identifier une technique ne suffit pas : il faut casser le chemin

La remédiation ne consiste pas à installer un outil de plus. Elle consiste à retirer les conditions qui rendent l'enchaînement possible, en commençant par les corrections qui suppriment le plus de chemins.

  • Réduire les privilèges inutiles et les droits permanents.
  • Revoir les comptes de service, leurs SPN et leurs secrets.
  • Corriger les délégations trop larges ou historiques.
  • Supprimer les mauvaises configurations et les mécanismes hérités.
  • Protéger les identités privilégiées et les chemins d'administration.
  • Durcir Active Directory et sa PKI.
  • Surveiller les changements et les comportements sensibles.
  • Renforcer la gouvernance des identités et des habilitations.

Par où commencer

Cartographier les actifs critiques, les identités privilégiées, les délégations et les principaux chemins permettant de les atteindre.

  1. 01Définir ce qui compte réellement : contrôleurs de domaine, applications et données critiques.
  2. 02Analyser les groupes, délégations et ACL qui y donnent accès.
  3. 03Reconstituer les chemins les plus courts depuis une identité ordinaire.
  4. 04Prioriser les remédiations selon le nombre de chemins supprimés.

Cas d'usage proches

Pour poursuivre la lecture sur des situations qui touchent la même surface : identités techniques, privilèges permanents, API et accès applicatifs.

  • Accès et privilèges

    Réduire les privilèges permanents

    Remplacer les droits administratifs permanents par des accès proportionnés, temporaires et traçables.

  • Sécurité des identités

    Prévenir les fuites de données

    Empêcher qu'une identité légitime ou compromise puisse atteindre trop de données, trop longtemps, sans que personne ne le remarque.

Commencer concrètement

Un format court, déjà en ligne, pour objectiver votre situation avant d'engager un chantier.

  • Sécurité Active Directory

    Donne un score de maturité et des risques priorisés pour engager les premiers correctifs.

    Sécurité Active Directory

Voir ce que cela donne en pratique

Des missions réelles dont la démarche éclaire cette situation.

  • Secteur : Organisation à but non lucratif

    Rationaliser un paysage IAM autour de Microsoft

    Une organisation à but non lucratif souhaitait rationaliser un paysage IAM hétérogène, simplifier son exploitation et construire un socle d’identité cohérent.

    Illustre une démarche proche de remise en ordre d'un socle Microsoft d'identité.

    Lire la référence : Rationaliser un paysage IAM autour de Microsoft

Approfondir le sujet

Nos contenus publiés qui traitent directement de cette situation.

Comprendre les concepts

Les notions utiles pour discuter de ce sujet avec vos équipes.

Ce cas d'usage ressemble au vôtre ?

Décrivez-nous votre contexte. Nous identifions ensemble les capacités prioritaires et la première étape utile.

Échanger avec AriovisVoir tous les cas d'usage