Fiche mémo
Active Directory
Le vocabulaire et les mécanismes d'authentification à connaître pour comprendre un domaine Windows et lire ses journaux.
CJCADéfense
Vocabulaire
| Terme | Définition |
|---|---|
| Domaine | Ensemble d'objets (utilisateurs, machines, groupes) partageant une base d'annuaire. |
| Contrôleur de domaine (DC) | Serveur qui héberge l'annuaire et authentifie les utilisateurs. |
| Forêt | Un ou plusieurs domaines partageant un schéma et un catalogue global. |
| Approbation (trust) | Relation permettant aux comptes d'un domaine d'accéder aux ressources d'un autre. |
| OU | Unité d'organisation : conteneur pour organiser les objets et appliquer des GPO. |
| GPO | Objet de stratégie de groupe : paramètres appliqués aux utilisateurs et machines. |
| NTDS.dit | Base de données de l'annuaire sur chaque contrôleur de domaine. |
| SYSVOL | Partage répliqué sur les DC, contenant scripts et GPO. |
| SPN | Service Principal Name : identifiant d'un service pour Kerberos. |
| krbtgt | Compte dont la clé chiffre et signe tous les TGT du domaine. |
| SID | Identifiant de sécurité unique de chaque objet. |
| ACL / ACE | Liste de contrôle d'accès d'un objet, composée d'entrées (ACE) qui accordent des droits. |
Groupes sensibles
| Groupe | Pouvoir |
|---|---|
| Domain Admins | Administrateurs de tout le domaine. |
| Enterprise Admins | Administrateurs de toute la forêt (domaine racine). |
| Schema Admins | Peuvent modifier le schéma de la forêt. |
| Administrators | Administrateurs locaux des contrôleurs de domaine. |
| Backup Operators | Peuvent sauvegarder des fichiers sensibles des DC. |
| DnsAdmins | Gèrent le service DNS des contrôleurs de domaine. |
À surveillerTout ajout à ces groupes (Event IDs 4728, 4732, 4756) doit déclencher une alerte.
Authentification Kerberos
- AS-REQ / AS-REPLe client prouve son identité au KDC et reçoit un TGT (4768).
- TGS-REQ / TGS-REPAvec son TGT, il demande un ticket pour un service précis (4769).
- AP-REQIl présente ce ticket de service au serveur visé.
- Le KDC (Key Distribution Center) tourne sur les contrôleurs de domaine, port 88.
- La pré-authentification oblige le client à chiffrer un horodatage avec sa clé avant d'obtenir un TGT.
- Kerberos est sensible à l'heure : un décalage de plus de 5 minutes par défaut fait échouer l'authentification.
NTLM
- Protocole défi-réponse plus ancien, utilisé quand Kerberos n'est pas possible (accès par adresse IP, machine hors domaine).
- Trois messages : négociation, défi du serveur, réponse calculée à partir du hash du mot de passe.
- Validation journalisée par l'événement 4776.
- Bonnes pratiques : restreindre ou désactiver NTLM, imposer la signature SMB et LDAP.
Attaques courantes et leur trace
| Attaque | Trace dans les journaux |
|---|---|
| Kerberoasting | Nombreux 4769 avec chiffrement RC4 (0x17) vers des comptes de service. |
| AS-REP roasting | 4768 pour des comptes sans pré-authentification. |
| Pulvérisation de mots de passe | Beaucoup de 4625 ou 4771, un même mot de passe sur de nombreux comptes. |
| DCSync | 4662 avec droits de réplication, depuis une machine qui n'est pas un DC. |
| Golden Ticket | Tickets aux durées ou attributs anormaux ; seule vraie remédiation : renouveler deux fois le compte krbtgt. |
Pour la démarche d'enquête, voir Journaux Windows et Sysmon.