Ariovis

Pass-the-Hash : comprendre et réduire le risque dans Active Directory

Le Pass-the-Hash (PtH) est une technique de mouvement latéral qui permet, dans certaines conditions, de s'authentifier avec le hachage NT d'un mot de passe sans connaître le mot de passe en clair. Dans un environnement Active Directory, le risque dépend surtout de l'exposition des identifiants sur les postes, des privilèges de l'identité concernée et de la réutilisation de ces droits sur d'autres systèmes. MITRE ATT&CK classe cette technique sous T1550.002.

Le PtH n'est pas, à lui seul, une compromission du domaine. Il peut toutefois transformer la compromission d'un poste en progression vers d'autres machines lorsque des comptes privilégiés s'y sont connectés, que leurs secrets sont accessibles ou que les mêmes privilèges sont présents sur plusieurs systèmes. La priorité défensive est donc de réduire les occasions d'exposition et de casser les relations de confiance qui rendent cette progression possible.

chemins d'attaque Active Directory

Pourquoi le hachage NT reste sensible

NTLM est une famille de mécanismes d'authentification historique encore présente dans certains environnements Windows. Un hachage NT récupéré dans un contexte compromis peut, selon le protocole, la configuration et les droits associés, être réutilisé sans déchiffrer le mot de passe. Le risque augmente lorsque des comptes d'administration se connectent à des postes de moindre confiance, lorsque des comptes disposent de privilèges étendus sur plusieurs systèmes ou lorsque NTLM demeure activé sans inventaire de ses usages.

Le Pass-the-Hash ne doit pas être confondu avec le NTLM Relay. Le premier suppose de posséder un hachage exploitable, tandis que le second consiste à relayer un échange d'authentification en cours vers une autre cible. Les conditions d'exploitation, les mécanismes de protection et les stratégies de détection ne sont donc pas identiques.

Credential Guard protège certains secrets d'authentification en les isolant grâce à la sécurité basée sur la virtualisation. Cette protection réduit les possibilités d'extraction de secrets sur les systèmes compatibles, mais ne protège pas les secrets présents dans la base SAM ou dans la base Active Directory. Elle ne remplace ni la segmentation des comptes, ni le contrôle des ouvertures de session, ni la surveillance des authentifications.

Mesures prioritaires pour réduire le risque

Séparer les usages et les privilèges. Utiliser des comptes distincts pour l'administration et les activités quotidiennes. Limiter les connexions des comptes privilégiés aux systèmes de confiance prévus à cet effet et éviter qu'ils ouvrent des sessions sur des postes utilisateurs ordinaires. Réduire les privilèges permanents et les droits locaux au strict nécessaire.

Protéger les postes et les sessions d'administration. Déployer des postes d'administration dédiés et durcis pour les opérations sensibles. Examiner où les comptes à privilèges ouvrent des sessions, puis supprimer en priorité les situations qui exposent des secrets de niveau élevé sur des machines moins protégées.

Évaluer Credential Guard. Vérifier les prérequis matériels, les versions de Windows, les dépendances applicatives et les effets sur les protocoles utilisés. Après un pilote représentatif, activer la protection sur les postes compatibles et contrôler son état réel de déploiement. Ne pas considérer une stratégie configurée comme preuve que la protection est effectivement active partout.

Réduire NTLM de façon progressive. Commencer par inventorier et auditer les usages, identifier les applications et équipements qui en dépendent, puis traiter les dépendances avant de restreindre les flux. Désactiver NTLMv1 et réduire les usages NTLM résiduels lorsque la compatibilité le permet. Une coupure générale non préparée peut interrompre des services légitimes ; chaque étape doit être testée et suivie.

Empêcher la réutilisation des secrets entre machines. Supprimer les comptes obsolètes, limiter les comptes locaux partagés et déployer Windows LAPS sur les systèmes compatibles pour gérer des mots de passe administrateurs locaux distincts et régulièrement renouvelés. Des mots de passe robustes restent nécessaires, mais leur complexité ne bloque pas la réutilisation d'un hachage déjà compromis. La maîtrise des secrets et des privilèges associés constitue une protection déterminante.

Détecter une utilisation anormale

La détection doit rapprocher les événements d'authentification NTLM des systèmes source et cible, du type de connexion et du contexte habituel du compte. Rechercher notamment des authentifications réseau inhabituelles d'un compte privilégié, des connexions depuis un poste où ce compte n'est normalement pas utilisé, ainsi que des séquences rapides entre plusieurs hôtes. Ces signaux sont à corréler avec les journaux de sécurité disponibles et les changements récents de privilèges.

MITRE ATT&CK propose la stratégie DET0409, centrée notamment sur l'analyse d'authentifications réseau NTLM atypiques, particulièrement les ouvertures de session de type 3, et leur corrélation avec d'autres événements de sécurité. Les règles doivent être adaptées au fonctionnement normal de l'organisation : un événement isolé n'établit pas à lui seul l'utilisation de PtH. La valeur vient de la corrélation, de la couverture des journaux et de la capacité à remonter rapidement du poste source à l'identité et aux ressources touchées.

Contrôles à suivre

  • Part des postes compatibles où Credential Guard est effectivement actif.
  • Comptes privilégiés détectés sur des postes non dédiés et délai de correction.
  • Couverture des comptes administrateurs locaux par Windows LAPS.
  • Usages NTLM recensés, dépendances non résolues et évolution après chaque étape de réduction.
  • Couverture et conservation des événements utiles à la détection des authentifications réseau.
  • Nombre de comptes locaux partagés ou obsolètes restant à traiter.

L'objectif n'est pas de viser un indicateur isolé, mais de réduire le nombre de chemins entre une identité exposée et les systèmes critiques. Un inventaire régulier des sessions privilégiées, des flux NTLM et des droits locaux permet de prioriser les corrections qui suppriment le plus de possibilités de mouvement latéral.

Pour replacer cette technique dans une démarche globale, consultez notre page sur la sécurisation d'Active Directory et les chemins d'attaque. Ariovis accompagne également l'analyse et la remédiation des environnements via son offre Sécurité des identités et Active Directory et son outil de diagnostic de sécurité AD.

Évaluer la sécurité de mon Active DirectoryDécouvrir notre accompagnement en sécurité Active Directory

Techniques liées

Sources techniques