SISR / Réseaux / Active Directory — sécurisation et audit

Active Directory — sécurisation et audit

Un annuaire mal sécurisé, c'est tout le système d'information mal sécurisé. Cette fiche rassemble les mesures à appliquer une fois le domaine en place.

1. Les comptes à privilèges

Le principe fondateur est le moindre privilège : chacun ne dispose que des droits nécessaires à sa fonction, et rien de plus.

Le scénario d'attaque classique tient en trois étapes : un administrateur consulte ses mails avec son compte à privilèges, ouvre une pièce jointe piégée, et le code malveillant s'exécute avec les droits Admins du domaine. Le domaine entier est compromis en une pièce jointe. La séparation des comptes est la parade la plus efficace, et elle ne coûte rien.

2. Les comptes de service

Un compte de service fait fonctionner une application : sauvegarde, supervision, base de données. Il ne correspond à aucune personne.

Sur les versions récentes de Windows Server, les comptes de service administrés de groupe (gMSA) règlent le problème du mot de passe : Active Directory le gère et le change automatiquement, et personne ne le connaît.

3. Séparer les niveaux d'administration

Le modèle en niveaux (tiering) empêche qu'une compromission de poste utilisateur ne remonte jusqu'aux contrôleurs de domaine.

La règle d'or : un compte d'un niveau ne s'utilise jamais pour ouvrir une session sur une machine d'un niveau inférieur. Sinon son empreinte reste en mémoire sur cette machine, et un attaquant qui contrôle un simple poste récupère des identifiants d'administrateur du domaine.

Mise en œuvre pratique par GPO, dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Attribution des droits utilisateur : paramètres Interdire l'ouverture de session locale et Interdire l'ouverture de session par les services Bureau à distance, appliqués aux groupes d'administration des autres niveaux.

4. Activer la journalisation

Par défaut, AD journalise peu. Il faut activer explicitement ce qu'on veut tracer, dans une GPO liée à l'OU Domain Controllers.

Chemin dans l'éditeur :

Configuration ordinateur
└── Stratégies
    └── Paramètres Windows
        └── Paramètres de sécurité
            └── Configuration avancée de la stratégie d'audit
                └── Stratégies d'audit

Événements à surveiller en priorité :

Journaliser ne sert à rien si personne ne lit les journaux. Deux mesures rendent l'audit réellement utile : centraliser les journaux sur un serveur distinct — un attaquant qui compromet un DC efface ses traces locales — et définir quelques alertes sur les événements critiques, en particulier tout ajout au groupe Admins du domaine.

Penser aussi à augmenter la taille du journal Sécurité (Observateur d'événements > clic droit sur Sécurité > Propriétés) : la valeur par défaut est atteinte en quelques heures sur un contrôleur actif, et les événements les plus anciens sont écrasés.

5. La revue des habilitations

Les droits s'accumulent : un utilisateur change de service, garde ses anciens accès, en reçoit de nouveaux. Au bout de quelques années, plus personne ne sait qui a accès à quoi. C'est ce qu'on appelle la dérive des habilitations.

Procédure de départ d'un salarié, à écrire et à suivre :

1. Désactiver le compte — clic droit > Désactiver le compte — plutôt que le supprimer.
2. Le déplacer dans une OU Comptes désactivés, sans GPO.
3. Retirer les appartenances aux groupes.
4. Renseigner la description : date et motif.
5. Conserver le compte quelques mois : il porte les droits sur ses fichiers. Le supprimer transforme les ACL en SID non résolus.
6. Supprimer définitivement après la période convenue.

6. Sauvegarder l'annuaire

La sauvegarde d'un contrôleur de domaine porte un nom précis : la sauvegarde de l'état du système (System State). Elle contient l'annuaire, SYSVOL, le registre et la base des certificats.

1. Installer la fonctionnalité Sauvegarde Windows Server : Gestionnaire de serveur > Gérer > Ajouter des rôles et fonctionnalités > Fonctionnalités > Sauvegarde Windows Server.
2. Outils > Sauvegarde Windows Server > Sauvegarde locale.
3. Planifier une sauvegarde > Personnalisé > Ajouter des éléments > cocher État du système.
4. Choisir la destination : un volume dédié, idéalement hors de la machine.

Deux points qui font la différence :

• Tester la restauration. Une sauvegarde jamais restaurée n'est pas une sauvegarde. Voir la fiche PRA, PCA et sauvegardes.
• Protéger la sauvegarde. Elle contient ntds.dit, donc l'annuaire entier avec les empreintes de mots de passe. Une sauvegarde accessible en écriture depuis le réseau est une porte ouverte : chiffrement et isolation obligatoires.

Activer également la corbeille Active Directory, qui permet de restaurer un objet supprimé sans restaurer toute la base : Centre d'administration Active Directory > clic droit sur le domaine > Activer la Corbeille. L'opération est irréversible et exige un niveau fonctionnel 2008 R2 minimum — mais elle évite bien des restaurations complètes.

7. Liste de contrôle